手机支付安全研究

赵庆兰

（西安邮电大学 通信与信息工程学院，陕西 西安 710121）

手机支付安全研究

赵庆兰

（西安邮电大学 通信与信息工程学院，陕西 西安 710121）

针对手机支付安全问题，通过介绍手机的现场支付和远场支付业务，分析了手机终端、无线网络、支付平台所面临的安全威胁，提出了解决手机支付安全问题的安全框架。该安全框架通过综合应用密码技术、访问控制、安全协议、安全审计等4种安全技术手段和手机终端安全管理策略、通信传输安全管理策略、支付平台安全管理策略等3种安全管理策略为保障手机支付的安全提供了一种解决方案。

手机支付；第三方支付；安全威胁；安全策略

手机支付也称移动支付，是一种允许用户使用其移动终端对所消费的商品或服务支付的服务方式[1]。从2003年开始，国内的移动通信运营商看到了手机支付市场的巨大潜力，牵头搭建了以移动运营商、银行和第三方支付服务运营商为主体的手机支付产业链[2]。但由于手机功能、移动网络带宽等的限制，致使在前些年移动支付业务发展比较缓慢。 而在今年年初，市场研究和咨询公司Gartner发布最新调查报告，中国手机用户总数在2013年首次超过10亿。Gartner分析师预测，2014年，中国市场上将销售4.435亿部手机，而使用中的手机将超过10.75亿部。根据360发布的2014年第一期的中国手机支付的安全报告显示，截至2013年12月底，手机支付用户规模达到1.25亿，同比增长了126.0%，占手机网民总量的25.0%。手机支付用户的增长速度远远高于网民总规模的增长速度和手机网民规模的增长速度，这标志着移动支付的时代已经到来。

由于智能手机系统的某些先天性不足，移动支付安全一直受到手机安全漏洞和各类手机木马的威胁。此外，手机还是传统网上支付（PC端）的重要验证途径和消费通知途径，也是各类诈骗短信攻击的目标。与此同时，相对于有线网络的连接方式，无线网络没有特定的界限，窃听者无需进行搭线就可以轻易获得无线网络信号[3]。尽管目前所有的移动支付产品都非常重视支付的安全性，但移动支付的安全性问题仍然存在很多隐患，因此，我们有必要对移动支付的安全性进行分析研究，并通过应用各种技术手段来提供相应的解决方案。

1 手机支付业务分类

手机支付从支付场景来看可分为远场支付和现场支付。

1.1 远程支付

远场支付的处理是在远程服务器中进行的，支付的信息需通过移动网络传送到远程服务器中才可完成支付过程。用户可通过SMS、WAP、USSD等方式购买商品或服务。

其支付方式主要包括以下3种：

1）SMS（Short Message Service，短消息业务）。 终端用户通过发送短信息的方式请求服务内容，从用户的话费中扣除费用。它通常只适合于小额支付，如：利用短信支付服务进行彩玲下载等。

2）WAP（Wireless Application Protocol，无线应用通讯）。终端用户通过访问WAP站点，进行简单的金融业务，用户可通过手机上网进行远程操作。如：在互联网上进行购物、缴话费、水费、电费、燃气费等。

3）USSD（Unstructured Supplementary ServiceData，非结构话补充数据业务）。是一种基于GSM网络的新型交互式数据业务，如证券交易、移动银行等。

1.2 现场支付

现场支付是指客户在购买商品或服务时，实时通过手机终端来向商家进行支付，支付的处理是在现场进行的。

其支付方式主要包括以下3种：

1）短距离通讯（Near Field Communication，NFC），又称近距离无线通信。是一种短距离的高频无线通信技术。NFC技术提供了一种简单、触控式的解决方案，可以让消费者简单直观地交换信息、访问内容与服务。诸如坐地铁、公交等可以直接刷手机通过NFC通信芯片绑定的账户直接支付。

2）双界面SIM技术。双界面SIM卡技术即SIMpass卡技术，是一种多功能的SIM卡，支持接触与非接触两个工作接口，接触界面实现SIM功能，非接触界面实现支付功能。其优势是不需要对手机进行任何改造，只增加了一个天线组件。缺点是天线占用了SIM卡中用于OTA（Over the Air，空中下载）业务的接口，对运营商的网络造成一定压力。另外，发卡后，卡片内部加载新的应用不是很方便，卡片不支持第三方开发的应用加载等。

3）RF-SIM卡技术，RF-SIM卡 （Radio Frequency Subscriber Identity Module）实现移动通信的同时能够通过附于其上的RFID模块、读卡器与天线进行近距离无线通信。通信距离范围在10-500 cm内。优点是用户更换原有SIM卡即可，无需更换手机。缺点是RF-SIM技术采用2.4 GHz通信频率，与银行目前基于13.56 MHz的NFC标准相冲突。

2 手机支付存在的安全威胁

手机支付的两种方式中，现场支付由于其现场通信的特性，使得交易中数据难以被盗取，安全性比远程支付较好一点，而相比现场支付，远程支付因涉及到数据的远程传输，因此对支付平台在数据传输、验证、加密等方面有更高要求.手机支付安全威胁可分为3方面。

2.1 手机终端面临的安全威胁

2 .1 .1 一般性安全威胁

手机支付终端面临的一般性安全威胁包括4个方面[4]：

1）空中接口的安全威胁

当用户数据经由通话、短信等方式传输时，用户私密信息面临被截获和窃取的风险。

2）外围接口的安全威胁

手机支持的外围接口包括蓝牙、红外、USB、NFC等。这些外围接口的存在为非法的数据访问和传输提供了渠道，还可能导致手机病毒的传播，直接威胁手机上的数据的安全。

3）信息存储的安全威胁

手机及其附属的存储卡上存储着通讯录、短消息、日程安排、支付卡号等各种私密信息。

当手机或存储卡发生借用、维修、更换等情况时，存储信息的安全性就会受到威胁。即便可以删除信息，但删除可能不够彻底。

4）系统漏洞和刷机的安全威胁

和PC类似，手机的操作系统也存在各种各样的潜在漏洞，可能涉及硬件、软件、协议等方面。在漏洞被发现后、被修复前，存在着被攻击者恶意利用的可能。

刷机指通过更改或替换手机原版系统中固有的一些语言、软件版本或操作系统等使手机功能更完善，但是这些修改在很大程度上破坏了手机操作系统本来就不是十分可靠的安全体系，使得病毒程序和恶意代码有了可乘之机。

2 .1 .2 支付应用特定的安全威胁

1）修改支付应用进行攻击

随着反编译技术的发展，攻击者在获取原版支付应用的可执行程序后，通过反编译、分析二进制代码等技术手段对支付应用进行解析，然后对某些内容进行修改，加入窃取私密信息的恶意代码，重新生成一个可执行程序，用户看起来没有什么差异。

2）植入恶意程序进行攻击

恶意程序被植入手机后，往往在后台运行，用户不会有感觉。恶意程序通过读取支付应用的相关数据、捕捉输入键盘的输入内容等手段，窃取用户输入的敏感数据，如银行卡号、PIN码等。

2.2 无线网络的安全威胁

由于自身的限制，无线通信网络在给用户带来通信自由和灵活性的同时也带来了诸多不安全因素。无线通信网络无法像有线网络那样依靠信道的安全加以保护。攻击者正是利用此点假冒某合法用户的身份，或通过对传输媒介的监听，非法获取传输信息，打到破坏的目的。

此外，手机支付涉及到很多无线网络标准，其中使用较广泛的是实现手机无线访问因特网的WAP标准和构建WLAN（无线局域网）的802.11标准。WAP中WTLS（无线传输层安全）协议仅仅加密有WAP设备到WAP网关的数据，数据通过SSL传送至网关上有短暂的时间处于明文状态；802.11标准使用的WEP（无线等效协议）安全机制存在密钥容易泄露且难以管理等缺陷；这些缺陷容易造成数据被拦截和窃取，给手机支付的应用带来了很大的安全隐患。

2.3 支付平台运营管理漏洞造成的安全威胁

手机支付平台中各核心服务器、网管服务器、安全服务器、业务前置机器以及相关管理工作站，都可能由于系统软件故障、系统安全漏洞、拒绝服务、操作失误、非授权访问、病毒蠕虫等原因导致系统破坏。

3 手机支付的安全框架

针对上述提出的安全威胁，提出一种解决手机支付安全问题的安全框架，以降低手机支付业务的风险，减少其危害和损失。该框架针对手机支付面临的安全威胁，从手机终端，通信网络和支付平台3个层面实施不同的安全管理策略，并在不同层面应用多种安全技术全面保障手机支付的安全，常用的安全技术包括密码技术、访问控制、安全协议、安全审计以及入侵检测和防病毒技术。框架结构如图1所示。

3.1 安全技术

3 .1 .1 密码技术

图1 手机支付安全框架Fig.1 Security framework of mobile payment

数据加密技术是指将一个信息——称为明文，经过加密钥匙及加密函数转换，变成无意义的密文，而接收方则将此密文经过解密函数、解密钥匙还原成明文。根据密钥使用方式的不同，密码体制可分为对称密码体制和非对称密码体制。针对手机终端具有硬件成本低、网络健壮性、数量众多、适用性广泛的特点[6]，现有的密码算法对于手机终端仍然负担较大。非对称算法在手机设备的支付应用中有重要的作用，其实现需要更多的计算资源。为满足手机终端的安全需求，无论是软件实现，还是硬件实现，都需要进一步设计出低能耗的，轻量级的密码算法，比如PRESENT算法

3 .1 .2 访问控制

为了保证授权用户对资源的正常访问，非授权用户禁止访问，需要系统各个模块进行访问控制。访问控制技术的一个重要部分就是身份认证技术。使用的身份认证机制包括静态口令认证、动态口令认证、智能认证、短信密码认证、共享密钥认证和基于PK（IPublic Key Infrastructure，公钥基础设施）的认证等。 在移动支付应用中可以通过WPKI来实现身份认证。

WPKI[7]是基于无线应用协议 WAP下的安全机制，它借用PKI的理论，发展成为无线网下的公钥基础设施。WPKI与PKI有着最为主要的共同点——执行移动电子商务策略都是依赖于管理密钥和证书。WPKI是为无线应用环境提供安全服务，WPKI以WAP的安全机制为基础，通过管理实体间关系、密钥和证书等来增强移动支付的安全。WPKI作为安全基础设施平台，一切基于身份验证的应用都需要 WPKI技术的支持，它可与 WTLS、TCP/IP相结合，实现身份认证、私钥签名等功能。

3 .1 .3 安全协议

为了使得通信达到通信数据加密、通信数据完整性和不可否认性的目标，在通信协议的基础上实现应用安全通信机制，常用的安全协议有 SSL/TLS、GSM03.48等。也可以在标准的通信协议基础上使用安全工具，比如对于文件传输和远程登录等通信接口，要求采用标准的应用层安全通信协议，其中文件传输，建议采用SFTP协议，远程登录建议采用SSH协议。

3 .1 .4 安全审计

安全审计是针对各类安全相关的事件进行记录、分析及跟踪的过程。主要事件包括系统管理员、应用管理员的关键操作、各类应用异常事件、各业务流程中的关键操作等。

3 .1 .5 入侵检测和防病毒

对手机网络进行监控和扫描，尤其是当网络环境发生变化时，入侵检测工具会自动感知到网络的变化并自动进行检测，检测内容包括当前WiFi网络是否未设置密码、DNS是否被篡改及是否存在WiFi钓鱼等情况。安装病毒查杀工具，扫描以判断当前手机是否存木马和其他病毒，并引导用户在支付之前完成处理操作，以避免由木马病毒所造成的财产损失。

3.2 安全管理策略

3 .2 .1 手机终端安全管理策略

对于手机终端的各种不同接入方式将提供相应的安全手段，除基本的密码方式外，对于短消息方式，不用STK时，采用封闭网络保证安全，使用STK时，在应用层对短消息进行加密；对于WAP2.0，通过端到端的TLS保证安全；对于BREW方式由应用层与移动终端动态口令系统共同保证安全。

3 .2 .2 通信传输安全管理策略

通信安全是通过安全协议实现的。为保证应用之间通过网络进行通信过程中的数据安全、数据完整性，根据业务场景的不同以及业务需求的不同，采用合适的安全协议。对于手机支付系统与第三方系统或移动其它系统间的通信，优先采用业内标准安全协议进行通信或与第三方协商定制专用安全协议。

3 .2 .3 支付平台安全管理策略

手机用户在第三方机构建立手机号码与银行账号的对应关系；支付平台不保留用户账号关键信息，在交易过程中只将手机号码、交易金额等内容发送到第三方机构，并不涉及用户账号及密码，以避免支付安全问题。

4 结束语

文中根据手机支付的业务分类、手机支付面临安全威胁，对手机支付安全[8]的解决方案进行了探讨，提出了一种保障手机支付安全的框架体系。随着智能手机爆发性的增长以及4G网络的逐步普及，移动支付必将成为支付体系的发展方向，而手机支付的安全问题也将会越来越突出。因此对于手机支付的安全性问题的研究就显得尤为重要，只有解决了安全性问题，移动支付才能取得长远的发展。

[1]孟佳伟.手机支付客户端安全登录及防盗用的研究与实现[J].福建电脑，2012（4）：106-108.

MENG Jia-wei.The research and implementation for security log and anti-theft of mobile payment client[J].FuJian Computer，2012（4）:106-108.

[2]石增玖.移动支付业务发展现状调查报告[J].运营调查，2008（5）：22-25.

SHI Zeng-jiu.Status survey report of mobile payment development[J].Operation&Survey，2008（5）:22-25.

[3]冯韵.移动支付中身份认证分析与研究[J].信息通信，2012（3）：107-109.

FENG Yun.Analysis and research of mobile payment authentication[J].Information&Communications，2012（3）:107-109.

[4]华锦芝，冀乃庚，吕旭峰，等.手机支付的终端安全威胁及应对措施综述[J].软件产业与工程，2012（6）：28-31.

HUA Jin-zhi，JI Nai-geng，LV Xu-feng，et al.Overview of security threatsand countermeasuresofmobile phone payment applications[J].Software Industry and Engineering，2012（6）:28-31.

[5]周建华.浅谈手机移动支付中的安全问题[J].吉林工商学院学报，2012， 28（5）：102-105.

ZHOU Jian-hua.Brief discussion on mobile payment security[J].Journal of Business and Technology College，2012，28 （5）:102-105.

[6]Daniel Engels，Xinxin Fan，Guang Gong，et al.Hummingbird:Ultra-LightweightCryptography forResource-Constrained Devices[C]//Financial Cryptography and Data Security 2010，LNCS 6504，2010：3-18.

[7]赵文，戴宗坤.WPKI应用体系架构研究[J].四川大学学报：自然科学版，2005， 42（4）:725-730.

ZHAO Wen，DAI Zong-kun.Research on WPKI applications architecture[J].Journal of Sichuan University：Natural Science Edition，2005，42（4）:725-730.

[8]刘亚军.网上支付系统的安全性研究[J].现代电子技术，2013（8）:74-75，78.

LIU Ya-jun.Security of online payment systems[J].Modern Electronics Technique，2013（8）:74-75，78.

A study on mobile payment security

ZHAO Qing-lan
（School of Telecommunication and Information Engineering， Xi’an University of Posts and Telecommunications， Xi’an 710121， China）

For the mobile payment security， the mobile field payment and far-field payment service is introduced， the security threat which mobile terminals， wireless network， payment platform faced is analyzed， the security framework which can solve the problem of mobile payment is proposed.The security framework provides a solution for protecting the security of mobile payment by comprehensive application of four security technology methods， such as cryptographic technique， access control，security protocol， security audit， and three security management policy， such as mobile terminals security management policy， communication networks security management policy， payment platform security management policy.

mobile payment； third-party payment； security threat； security policy

TN918

A

1674-6236（2014）15-0059-04

2014-04-22 稿件编号：201404209

陕西省自然科学基础研究计划重点项目（2013JZ020）；西安邮电大学校青年基金项目（ZL2013-12）

赵庆兰（1981—），女，山东曹县人，硕士，讲师。研究方向：信息安全与密码学。