一、網絡支付安全概述
網絡支付是指單位或個人直接或授權他人使用通用終端，通過公共網絡以網絡應用協議規定的格式發出支付指令，實現貨幣支付與資金轉移的行爲。網絡支付安全問題已成爲電子商務支付體系的最大威脅，如何遏制機密竊取、權限濫用、網上欺詐和釣魚等不法行爲，是網絡支付安全技術領域中亟待解決的關鍵問題。
如圖5-10所示，在2013年危害網絡支付安全的事件中，假冒網站/詐騙網站的比例達57.1%，個人信息泄露的比例達39.3%，資金被盜/被騙和賬號或密碼被盜的比例達32.1%。
圖5-10 2013年網絡支付發生的安全問題
從安全和信任關係來看，在傳統交易過程中，銷售者與消費者是面對面的，因此較容易保證交易過程的安全性，進而建立起互信關係。而在電子商務過程中，銷售者與消費者通過Internet聯繫。Internet既不安全，也不可信，在網絡支付過程中銷售者和消費者都面臨着不同的安全威脅，因此，交易雙方難以建立安全和信任關係。
銷售者所面臨的安全威脅主要包括：
1．入侵者假冒成合法用戶，改變商品送達地等用戶數據、解除用戶訂單或生成虛假訂單。
2．惡意競爭者以他人的名義來訂購商品，從而瞭解有關商品的遞送狀況及貨物的庫存情況。
3．欺詐者通過僞造與銷售者服務器域名類似的另一個服務器來假冒銷售者。
4．消費者提交訂單後不付款或生成虛假訂單等。
消費者所面臨的安全威脅主要包括：
1．在客戶付款後，銷售內部人員不將訂單和資金轉發給執行部門，使客戶無法收到商品。
2．客戶的個人私密信息可能被攻擊者通過竊聽或冒充銷售商等手段非法獲取。
3．攻擊者可能向銷售商的服務器發送大量的虛假訂單來耗盡它的資源，使合法用戶不能正常獲取服務。
二、網絡支付安全措施
1．安全認證技術
安全認證技術是網絡安全的基礎，認證是指驗證所傳輸的消息和數據是否屬實、是否有效的過程，即驗證消息及數據的完整性。認證技術一般可分爲身份認證和消息認證兩種技術。
1）身份認證技術
身份認證用於鑑別用戶身份，是驗證用戶所聲稱身份與其真實身份是否一致的過程。在計算機網絡系統中，常通過三種途徑來對用戶身份進行驗證：
● 根據用戶所掌握的信息來驗證身份，如用戶名和口令等。
● 通過用戶所擁有的工具來驗證身份，如USBKey等。
● 根據用戶的某些生理特徵來驗證身份，如指紋和視網膜等。
表5-8比較了上述幾種身份認證技術的特點。
表5-8 身份認證技術對比
|
認證方式 |
特點 |
應用 |
產品 |
|---|---|---|---|
| 用戶名/口令 | 簡單易行，極不安全 | 保護非關鍵性的系統，不能保護敏感信息 | 各種應用軟件 |
| 動態口令 | 一次一密，較高安全性 | 使用煩瑣，有可能造成新的安全漏洞 | 動態令牌等 |
| 動態口令 | 一次一密，較高安全性 | 使用煩瑣，有可能造成新的安全漏洞 | 動態令牌等 |
| USB Key認證 | 一次一密，安全可靠，成本低廉 | 易於部署，方便使用，便於擴展 | 數字證書等 |
| 生物特徵認證 | 安全性高，成本高昂 | 技術不成熟，準確性和穩定性有待提高 | 指紋認證系統等 |
2）消息認證
消息認證是確保消息來源的真實性和消息內容的完整性的方法，通過對消息或者與消息有關的信息進行加密或簽名變換來防止傳輸和存儲的消息被篡改或僞造。
目前，消息認證技術主要包括：數字指紋、數字簽名、數字信封和數字時間戳等。
數字指紋
數字指紋（Digital Fingerprinting）也稱爲信息摘要，是RonRivest發明的一種單向加密算法。如圖5-11所示，數字指紋技術利用哈希（Hash）函數對原信息進行數學變換，得到一個固定長度（128位）的散列值。不同信息產生的散列值並不相同，相同信息產生的散列值必定相同，因此信息摘要類似人的“指紋”，可通過數字指紋鑑別原信息的真僞，驗證信息的完整性。
圖5-11數字指紋的使用過程
數字簽名
數字簽名是利用非對稱密碼體系的特點，在數字指紋的基礎上發展的一種技術。如圖5-12所示，數字簽名技術使用發送方的私鑰加密數字指紋，並與原文一起發送給接收方。利用數字簽名，一方面可通過數字指紋驗證原信息是否被修改，另一方面可利用私鑰私有的特點，用私鑰加密來表明身份。因此，數字簽名解決了信息傳輸過程中的冒充、僞造、篡改和發送者抵賴的問題。
圖5-12數字簽名過程
數字信封
數字信封的功能類似於普通信封，在法律的約束下，普通信封可保證只有收信人才能閱讀信件的內容；數字信封則採用對稱密碼體制和公鑰密碼體制相結合的密碼技術，保證只有規定的接收人才能閱讀信息的內容。信息發送者首先利用隨機產生的對稱密碼加密信息，再利用接收方的公鑰加密對稱密碼，被公鑰加密後的對稱密碼被稱爲數字信封。在傳遞信息時，信息接收方若要解密信息，必須先用自己的私鑰解密數字信封，得到對稱密碼，才能利用對稱密碼解密所得到的信息，這樣就保證了數據傳輸的真實性和完整性。
數字時間戳
數字時間戳服務（DTS，Digital Time Stamp Server）利用數字指紋、數字簽名等技術，爲客戶提供電子文件日期和時間信息的安全保護。如果在簽名時加上時間標記，即是有數字時間戳的數字簽名。
數字時間戳是一個經DTS加密後形成的憑證文檔，它包含加時間戳的文件的摘要、DTS收到摘要的日期和時間、DTS的數字簽名3個部分。如圖5-13所示，用戶首先使用Hash編碼加密生成需要加時間戳的文件的摘要，然後將該摘要發送到DTS，DTS在加入了收到該摘要的日期和時間信息後，對該文件進行數字簽名，並返回給用戶。
圖5-13數字時間戳產生過程
2．PKI體系
公鑰基礎設施（PKI，Public Key Infrastructure）技術使用證書管理公鑰，通過第三方的可信任機構——認證中心（CA，Certificate Authority），把用戶的公鑰、名稱、E-mail和身份證號等標識信息捆綁在一起，用於在Internet 上驗證用戶的身份。可將PKI 技術與數字證書結合，通過加密保證信息傳輸的保密性和完整性，並通過簽名保證身份的真實性和抗抵賴性。
如圖5-14所示，一個典型的 PKI 實體主要由3個部件組成：[認證機構]；[註冊機構]；[證書發佈庫]。
PKI作爲安全基礎設施，能夠提供數據完整性服務、數據保密性服務、不可否認服務、公證服務和認證服務等多種服務。
如圖5-15所示，在用戶A與用戶B的認證過程中，首先，用戶B要驗證用戶A的證書的真僞，當用戶A在網上將證書發送給用戶B時，用戶B使用用CA的公鑰，對證書上由CA發佈的數字簽名進行驗證，若簽名通過驗證，則證明用戶A持有的證書是真實的；然後，用戶B還要驗證用戶A身份的真僞，用戶A可將自己的口令用私鑰進行數字簽名，然後發送給用戶B，用戶B從用戶A的證書中或從證書庫中獲取用戶A的公鑰，並用該公鑰驗證用戶A的數字簽名。如果該簽名通過驗證，用戶A在網上的身份就得以確認。
三、網絡支付安全協議
如何通過電子支付安全地完成整個交易過程，是人們在網上交易時必須面對的問題。目前，電子支付安全問題的解決方案還尚處於探索階段，IPSec協議、SSL安全協議和SET安全協議是國際上應用比較廣泛的網絡支付安全協議。
1．IPSec協議
IP安全（IPSec，IP Security）協議是IETF制定的一組IP安全協議集，其目的是將安全機制引入IP協議，通過使用相應的密碼學技術，使IP協議支持加密和認證服務，向用戶提供所期望的安全服務。
IP層安全由認證、機密性和密鑰管理3種機制提供保障。認證機制保證收到的報文確實是由報頭所標明的源IP地址發送的，並且在傳輸過程中沒有被篡改。機密性機制爲通信雙方提供加密和解密功能，以防止數據在傳輸過程中被第三方竊聽和解密。密鑰管理機制關注如何保障密鑰的安全交換。
1）IPSec的體系結構
2）IPSec的運行模式
隧道模式
隧道模式爲整個IP數據包提供保護。如圖5-19所示，隧道模式首先爲原始的IP數據包增加一個IPSec頭，然後增加一個新的IP頭，從而將要保護的整個IP數據封裝在另一個IP數據包的載荷中。所有受保護的數據包通過隧道從IP網的一端傳輸到另一端，沿途的路由器只檢查數據包最外面的IP報頭，不檢查內部IP報頭。由於增加了一個新的IP報頭，因此，新IP數據包的目的地址可能與原來的不一致。
圖5-19隧道模式的數據格式
當數據傳輸的安全保護需要由一個設備來提供，而該設備又不是數據包的始發點，或者數據包需要保密傳輸到與實際目的地址不同的地址時，需要採用隧道模式。典型的隧道模式應用如圖5-20所示，在該模式中，由安裝IPSec處理模塊的安全網關實現IPSec處理。此時，兩個安全網關的子網被認爲是內部可信的，稱爲相應網關的保護子網。保護子網內部以明文形式通信，但當數據包經過安全網關1與安全網關2間的公網時，將受到IPSec機制的安全保護。
圖5-20隧道模式的實現
2．SSL協議
SSL（Secure Sockets Layer）協議，旨在保障Internet上Web應用間數據傳輸的安全性，是國際上最早應用於電子商務的一種安全協議。
SSL協議是Web應用安全協議，它是一種在HTTP和Telnet等應用程序協議和傳輸層TCP協議之間提供數據安全性分層的機制。SSL協議爲TCP連接提供數據加密、服務器認證、消息完整性和可選的客戶機認證等服務，主要用於提高應用程序之間數據傳輸的安全性，並通過對數據進行加密，確保數據的完整性。
1）SSL協議的分層結構
2）SSL協議的分層結構
3）HTTPS
3．SET協議
安全電子交易（SET，Secure Electronic Transaction）協議是由美國Visa和Master Card兩大信用卡公司在IBM和Netscape等多家計算機公司的支持下，於1996年聯合推出的信用卡網上結算協議，是在Internet上進行在線交易時，爲保證信用卡支付的安全而設計的一個開放規範。SET協議是一種面向電子商務的應用層電子支付協議，也是一種基於消息流的協議。SET提供消費者、商戶和收單銀行的認證，確保網上交易數據的安全、完整可靠和交易的不可抵賴性，具有保護消費者信用卡信息不暴露給商戶等優點，已成爲目前公認的保障信用卡網上支付安全的國際標準。
1）SET交易的參與者
SET改變了支付系統中各個參與者之間交互的方式。在面對面的零售交易或郵購交易中，電子支付始於商家或付款銀行；而在SET交易中，電子支付始於持卡人。如圖5-24所示，SET交易的參與方包括持卡人、商家、髮卡銀行、收單銀行、支付網關和數字證書認證中心CA。
圖5-24 SET交易的參與者
（1）持卡人，在SET協議中將購物者稱爲持卡人。
（2）商家，商家要參與SET交易，首先，必須要開設網上商店，在網上提供商品或服務；其次，商家的網上商店必須集成SET交易商戶軟件，顧客在網上購物時，由網上商店提供服務，購物結束進行支付時，由SET交易商戶軟件提供服務；然後，商家必須到接收網上支付業務的收單銀行申請並設立賬戶；最後，同持卡人一樣，商家必須在Internet上申請一張數字證書。
（3）髮卡銀行，是負責爲持卡人建立賬戶併發放支付卡的金融機構。
（4）收單銀行，是商家建立賬戶並處理支付卡認證和支付的金融機構。
（5）支付網關，用於連接銀行專用網絡和Internet。SET交易中買賣雙方必須通過銀行支付進行交易，SET交易在Internet上進行，而銀行的計算機及專用網絡出於安全考慮不能直接與Internet連接。
（6）數字證書認證中心CA，負責提供SET交易數字證書的發放、更新、廢除和建立證書黑名單等各種證書管理服務。爲保證SET交易的安全性，SET協議規定參與交易的各方都必須持有數字證書。在交易過程中，每次交換信息都必須向對方出示自己的數字證書，並驗證對方的數字證書。因此，參與SET交易的各方在交易開始前必須到CA處申請數字證書，且在證書到期時，必須去CA處更換新的證書。此外，CA還應隨時瞭解哪些證書已經被廢除，並將其寫入證書黑名單，作爲交易時驗證對方證書的依據。
2）SET交易流程
如圖5-25所示， SET協議的工作流程可分爲下面7個步驟：
圖5-25 SET協議工作原理
（1）消費者通過互聯網選擇所要購買的物品，並在計算機上輸入訂貨單。訂貨單包括在線商店、購買物品名稱及數量、交貨時間及地點等相關信息。
（2）在線商店通過與電子商務服務器聯繫做出應答，告訴消費者所填訂貨單的貨物單價、應付款數和交貨方式等信息是否準確，是否有變化。
（3）消費者選擇付款方式，確認訂單，簽發付款指令，此時SET開始介入交易。
（4）在SET中，消費者必須對訂單和付款指令進行數字簽名。SET利用雙重簽名技術保證商家無法看到消費者的信用卡賬號信息。
（5）在線商店接受訂單後，向消費者的髮卡銀行請求支付許可。之後，在線商店將髮卡銀行返回的信息通過支付網關發送給收單銀行，並由電子貨幣發行公司進行確認。交易批准後，返回確認信息給在線商店。
（6）在線商店發送訂單確認信息給消費者，消費者端軟件記錄交易日誌，以備查詢。
（7）在線商店發送貨物，並通知收單銀行進行轉賬，或通知髮卡銀行請求支付。在認證操作和支付操作中間一般會有一個時間間隔，例如銀行在每天下班前結算當天賬單。
在上述步驟中，前兩步與SET無關，SET從第3步開始介入，一直到第7步。在處理過程中，SET明確規定了通信協議、請求信息的格式和數據類型等。在每一步操作中，消費者、在線商店和支付網關都通過SET來進行身份驗證，以確保通信的對方不是冒名頂替。因此，也可以簡單地認爲，SET規範充分發揮了認證中心的作用，保證了電子商務參與者所提供的信息的真實性和保密性。