[[104506]]

客觀來看，在線支付認(rèn)證Keypasco這一方案引發(fā)了一個(gè)值得深入思考的問題，即我們是否為了安全而需要在硬件上不斷的升級(jí)和投資，能否通過云端服務(wù)的新方式低成本又較好的實(shí)現(xiàn)在線身份安全認(rèn)證?

在線支付安全問題大家關(guān)注已經(jīng)很多，簡(jiǎn)要總結(jié)一下，以下三個(gè)方面可以看到在線支付的安全性在未來幾年可能會(huì)成為有增無(wú)減的越發(fā)頭疼課題。

一是在線支付用戶數(shù)量的不斷增長(zhǎng)。CNNIC發(fā)布的《第30次中國(guó)互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告》顯示，截至2012年6月底，中國(guó)網(wǎng)民數(shù)量達(dá)到5.38億，手機(jī)網(wǎng)民規(guī)模達(dá)到3.88億，其中網(wǎng)絡(luò)購(gòu)物用戶規(guī)模達(dá)到2.1億，網(wǎng)民使用率為39.0%，四成的網(wǎng)民已經(jīng)在使用網(wǎng)絡(luò)購(gòu)物和電子支付等方式，網(wǎng)絡(luò)、智能手機(jī)、PAD等網(wǎng)絡(luò)終端已成為大眾日常生活和購(gòu)物支付的重要工具。這么多的用戶，并不能確保每個(gè)人都會(huì)應(yīng)用安全的支付工具、有足夠強(qiáng)的安全意識(shí)、能夠在安全的環(huán)境下進(jìn)行支付。

二是芯片卡遷移趨勢(shì)的加快。全球除了美國(guó)外，芯片遷移已經(jīng)是支付卡行業(yè)基本的共識(shí)和行動(dòng)。在中國(guó)，2011年3月人民銀行發(fā)布64號(hào)文件，提出了金融IC卡遷移的時(shí)間表，要求2011年打開局面，2012年擴(kuò)大應(yīng)用，2013年規(guī)模發(fā)卡，2015年全面實(shí)現(xiàn)，正式啟動(dòng)芯片化遷移。今后在芯片卡片和現(xiàn)場(chǎng)交易交互的情況下，支付的安全性是基本能夠得到保障的，那么，傳統(tǒng)針對(duì)磁條卡的欺詐和風(fēng)險(xiǎn)，勢(shì)必隨著在線支付的發(fā)展而直接遷移到網(wǎng)絡(luò)上，金融IC卡的遷移也意味著風(fēng)險(xiǎn)的遷移。

三是在線支付欺詐手段的防不勝防和不斷翻新。網(wǎng)絡(luò)空間的虛擬性、間接性、廣泛性、快速性等特征，一方面使得欺詐行為難以被發(fā)現(xiàn)，另一方面即便被發(fā)現(xiàn)了，查找的成本也很高，時(shí)效性差。而且，很多行騙者一次得手后，換個(gè)馬甲再出來，成為打不死的小強(qiáng)。

據(jù)統(tǒng)計(jì)，在過去一年間，在有網(wǎng)購(gòu)經(jīng)歷的網(wǎng)民中，31.8%的網(wǎng)民曾直接遭遇詐騙網(wǎng)站，網(wǎng)購(gòu)遭遇詐騙風(fēng)險(xiǎn)的網(wǎng)民規(guī)模達(dá)到6169萬(wàn)。保守估算，每年因詐騙網(wǎng)站給網(wǎng)民造成的損失不低于308億元，對(duì)比2011年我國(guó)在線購(gòu)物市場(chǎng)交易額7566億元，在線支付詐騙損失率達(dá)4.07%，這要在傳統(tǒng)的磁條支付卡線下支付行業(yè)，就是整體風(fēng)險(xiǎn)都達(dá)到了高風(fēng)險(xiǎn)商戶的水準(zhǔn)(4%)。

五花八門不離其宗的手法

我們?nèi)粘Ｒ捕悸牭娇吹?，不斷出現(xiàn)一些支付案件，對(duì)在線支付業(yè)務(wù)和用戶個(gè)人都造成很大影響。在線支付形式多樣，環(huán)節(jié)很多，包括客戶端、電子商務(wù)網(wǎng)站、電子支付平臺(tái)，一直到銀行，從現(xiàn)在的情況來看，安全問題更多的還是集中在客戶層面或交易界面，導(dǎo)致用戶支付信息被泄露而發(fā)生欺詐。目前常見的欺詐手法包括：

1、制作釣魚網(wǎng)站或虛假的電商網(wǎng)站，通過中獎(jiǎng)郵件、訪問跳轉(zhuǎn)、形色誘惑等各種手段誘騙客戶登陸釣魚網(wǎng)站盜取客戶信息，得到用戶名及口令后即到真實(shí)的銀行網(wǎng)站進(jìn)行轉(zhuǎn)賬或支付。

2、通過木馬病毒竊取文件證書或盜取網(wǎng)上銀行賬號(hào)及密碼，從而進(jìn)行冒名轉(zhuǎn)賬、復(fù)制卡等盜用客戶資金。

3、破解用戶“弱口令”竊取資金，利用部分用戶貪圖方便、設(shè)置“弱口令”的漏洞，隨機(jī)的掃號(hào)，導(dǎo)致密碼簡(jiǎn)單的用戶賬戶被盜。

4、殺“熟”。獲知某人的卡號(hào)、生日、手機(jī)號(hào)等信息后，冒名嘗試登陸。

此外，還有其他各類詐騙手法，目的無(wú)外乎獲取卡號(hào)、密碼等支付信息。根據(jù)CNNIC《2012年中國(guó)網(wǎng)絡(luò)支付安全狀況報(bào)告》，網(wǎng)上支付用戶遭遇支付不安全事件比例為3.2%，與之前所計(jì)算的4%在線欺詐損失率差別不大。其中，釣魚網(wǎng)站誘騙支付占首位。有3.2%的網(wǎng)上支付用戶表示自己最近半年曾經(jīng)遇到過支付不安全事件。用戶遇到的最主要不安全問題是遭遇虛假網(wǎng)站欺騙后貿(mào)然支付，有64.4%的比例;第二位的是支付賬號(hào)或密碼被盜，有19.2%的比例。遇到支付不安全事件的用戶中，40%有實(shí)際的資金損失。

為防范在線支付風(fēng)險(xiǎn)，2011年6月，支付寶聯(lián)手百家公司成立安全支付聯(lián)盟，保障用戶權(quán)益。安全聯(lián)盟成員包括銀行、安全公司、瀏覽器、第三方支付、電商企業(yè)等橫向產(chǎn)業(yè)鏈成員。安全聯(lián)盟旨在將通過成員間共享技術(shù)、數(shù)據(jù)、情報(bào)，實(shí)現(xiàn)更為緊密的合作，在產(chǎn)業(yè)鏈各環(huán)節(jié)對(duì)支付安全嚴(yán)密保護(hù)，打消公眾的疑慮，助推中國(guó)電子商務(wù)產(chǎn)業(yè)的發(fā)展。然而這種松散型的聯(lián)盟，固然會(huì)通過兩兩之間或一對(duì)多之間的合作來實(shí)現(xiàn)一定程度的風(fēng)險(xiǎn)防控，但從行業(yè)角度而言，并沒有出現(xiàn)實(shí)質(zhì)性的風(fēng)險(xiǎn)防范手段或技術(shù)的革新。

身份認(rèn)證仍是關(guān)鍵

無(wú)論是線上還是線下交易，要做到真正安全，就要確保在兩個(gè)核心問題上的保障。

***，對(duì)交易者身份的確認(rèn)，這一點(diǎn)來說，線上線下交易有著根本的區(qū)別。線下交易以卡為基礎(chǔ)，無(wú)論是憑密交易，還是簽名交易，持有卡片交易、完成密碼或簽名就代表了本人，這樣在安全責(zé)任界定上就沒有問題。當(dāng)然，磁條卡因?yàn)樾畔⒋嬖诒粋?cè)錄的可能性，致使身份認(rèn)證也受到更大威脅，因而，磁條的芯片卡將增強(qiáng)對(duì)線下交易交易者身份的認(rèn)證。對(duì)比起來，線上交易無(wú)卡無(wú)磁無(wú)芯片，身份認(rèn)證就更加重要，最傳統(tǒng)的認(rèn)證方式包括銀行柜臺(tái)簽約+密碼支付，單一密碼驗(yàn)證支付已經(jīng)成為比較脆弱的驗(yàn)證方式了。

第二，對(duì)從商戶、終端開始的交易參與環(huán)節(jié)的確認(rèn)，保證交易信息在各環(huán)節(jié)的完整性、保密性和不可否認(rèn)性，保證信息不被篡改、不被泄露、來源合法。在這點(diǎn)上，支付卡行業(yè)已經(jīng)形成了較完善的加密處理技術(shù)標(biāo)準(zhǔn)和實(shí)踐，分層密鑰體系、SSL加密、3DES加密、PCI認(rèn)證、銀聯(lián)賬戶信息安全標(biāo)準(zhǔn)等。在線支付中，主要通過數(shù)字證書來實(shí)現(xiàn)確認(rèn)，或者是銀行、支付機(jī)構(gòu)自主發(fā)放數(shù)字證書，或者是權(quán)威第三方認(rèn)證機(jī)構(gòu)發(fā)放數(shù)字證書。以數(shù)字證書為核心的加密技術(shù)可以對(duì)網(wǎng)絡(luò)上傳輸?shù)男畔⑦M(jìn)行加密和解密、數(shù)字簽名和簽名驗(yàn)證，確保網(wǎng)上傳遞信息的機(jī)密性、完整性。從實(shí)際來看，國(guó)內(nèi)還尚未出現(xiàn)大規(guī)模因支付機(jī)構(gòu)原因?qū)е碌某挚ㄈ私灰仔畔⑿孤妒录?/p>

目前提高在線支付安全性、加強(qiáng)身份認(rèn)證的基本思路都是從交易者輸入信息的那一刻，就確定交易者的身份，并將交易信息全程保密處理。國(guó)內(nèi)最常用的是動(dòng)態(tài)口令和數(shù)字證書兩種多因素認(rèn)證方式。動(dòng)態(tài)口令或動(dòng)態(tài)密碼可以通過令牌(大部分是銀行)或手機(jī)方式(如支付寶的手機(jī)ME令、銀聯(lián)在線的手機(jī)短信動(dòng)態(tài)碼)提供，目前來看還相對(duì)安全，主要風(fēng)險(xiǎn)是遺失手機(jī);數(shù)字證書則是給用戶發(fā)放一個(gè)***的數(shù)字證書作為用戶的身份憑證，并基本實(shí)現(xiàn)移動(dòng)數(shù)字證書(USB Key，U盾等)，證書方式認(rèn)證的不便在于需攜帶，且需要在已安裝證書的終端使用，而且有一定成本，U盾本身的安全性并非無(wú)懈可擊，也是需要不斷升級(jí)的。龐大的用戶數(shù)量可能導(dǎo)致更換U盾成本高昂的無(wú)底洞。

KeyPasco，基于云端的多因素機(jī)制

今天和今后的互聯(lián)網(wǎng)服務(wù)都需要解決用戶的身份認(rèn)證，即你是誰(shuí)這一關(guān)鍵。沒有好的在線安全解決方案，不解決在云計(jì)算服務(wù)提供時(shí)代用戶安全性的問題，號(hào)稱互聯(lián)網(wǎng)第三次變革的云計(jì)算就不能真正的起飛，沒有好的在線安全解決方案，用戶上網(wǎng)就是中存在隱憂，而網(wǎng)絡(luò)實(shí)名制和個(gè)人隱私保護(hù)的需求都在持續(xù)的增長(zhǎng)。

Keypasco安全認(rèn)證解決方案由曾創(chuàng)辦網(wǎng)上銀行安全認(rèn)證知名企業(yè)Todos的創(chuàng)始人林茂聰?shù)忍岢?，用他的話說，要革自己的命，過去他用硬件Token作為身份認(rèn)證，現(xiàn)在則走向純?cè)贫思軜?gòu)，以服務(wù)為主題實(shí)現(xiàn)同樣的目標(biāo)。他認(rèn)為，近年來云端概念服務(wù)逐漸成形，移動(dòng)設(shè)備的概念也更加成熟，才可能出現(xiàn)這樣的商業(yè)運(yùn)營(yíng)模式，以擺脫Todos過去存在的一些拼鏡，例如成本高、推廣難、一旦被破解就需要馬上大量更換設(shè)備等，更重要的是，採(cǎi)取硬件身份認(rèn)證的概念將難以在云端環(huán)境中被使用。

簡(jiǎn)要的來說，Keypasco想解決的問題很簡(jiǎn)單，其一是確保用戶的支付卡只有在其所在的地方才能使用，那么就不會(huì)有信用卡被盜刷的可能;其二只有用戶能在自己的終端設(shè)備上登陸自己的賬號(hào) 。這意味著全世界70億人口中，包括用戶本人，除了用戶自己的終端設(shè)備，沒有人可以在全世界其他100多億的設(shè)備中，登陸用戶的賬號(hào)。

這樣，Keypasco提供的認(rèn)證方法是：在用戶名和密碼的雙因素基礎(chǔ)上，增加了可綁定的個(gè)人終端設(shè)備ID、地理位置定位，甚至是上線時(shí)間，再加上消費(fèi)者行為分析相關(guān)的風(fēng)險(xiǎn)評(píng)估機(jī)制(可以分析其他用戶是否嘗試通過其他終端登陸用戶賬戶)，采取多重因素認(rèn)證方式提升安全性。

為了安全因素與保護(hù)客戶隱私，Keypasco運(yùn)用云端資源，通過加密的分散式存放等方式存放用戶登記信息。用戶只有通過所綁定的一臺(tái)或多臺(tái)終端，在自己提前設(shè)定的地理區(qū)域，以自己的身份登陸，所有的訪問和嘗試登陸日志都會(huì)保留在系統(tǒng)中，用戶可以方便查詢。由于這一認(rèn)證方式基于軟件和云服務(wù)實(shí)現(xiàn)，成本極低，在沒有大規(guī)模增加成本的前提下提高了整個(gè)行業(yè)的安全水平。

用戶操作起來也比較方便，***次使用某一終端簡(jiǎn)單的注冊(cè)登陸，用戶即被賦予一個(gè)***的Keypasco ID，登錄設(shè)備也被賦予一個(gè)***的設(shè)備ID，兩個(gè)ID及設(shè)備本身在今后的登錄中即被關(guān)聯(lián)，其后進(jìn)入系統(tǒng)可設(shè)定綁定其他設(shè)備、使用區(qū)域等。提供該服務(wù)的支付機(jī)構(gòu)或網(wǎng)絡(luò)服務(wù)提供機(jī)構(gòu)可以在其中設(shè)定自己的風(fēng)險(xiǎn)規(guī)則，確定某些情況下的風(fēng)險(xiǎn)閥值和使用要求。應(yīng)該說，Keypasco基本在不太改變用戶現(xiàn)有習(xí)慣的基礎(chǔ)上，以云端認(rèn)證單點(diǎn)登陸的方式，確保了用戶身份的合法性。

在電子支付之外，電子商務(wù)公司、網(wǎng)絡(luò)游戲、網(wǎng)上銀行、電子政務(wù)等運(yùn)營(yíng)機(jī)構(gòu)，均可使用這一身份認(rèn)證方式以確定和管理其客戶身份，臺(tái)灣已經(jīng)有游戲公司在使用這一方案，效果良好?？陀^來看，這一方案引發(fā)了一個(gè)值得深入思考的問題，即我們是否為了安全而需要在硬件上不斷的升級(jí)和投資，能否通過云端服務(wù)的新方式低成本又較好的實(shí)現(xiàn)在線身份安全認(rèn)證?