NFC技术下近场支付安全性探讨

胡治宇 利莉 景德镇学院

NFC技术下近场支付安全性探讨

胡治宇 利莉 景德镇学院

NFC是一种短距离高频的无线电通信技术，近年来发展迅猛，被广泛应用。此技术主要融合了非接触式射频技术和互联互通技术，发展成为了能在无线环境下通过使用移动终端从而实行近场支付的一种新型系统。本文介绍了NFC技术在近场支付中的原理和特点，分析近场支付的整个流程中存在的安全隐患，针对这些安全隐患探讨基于NFC技术下，近场支付中交易如何保障信息的安全。

NFC技术 近场支付 支付安全

近几年，NFC与智能设备的有效融合，简化了交易，给移动支付带来了极大方便，使得具有NFC功能的移动终端被广泛普及。NFC技术具有距离近、带宽高、能耗低、启动时间短等特点。NFC技术的优势，使得在移动支付、门禁系统、电子票务等发展前景远大。用户可以在两个NFC装置接近时快速传输标签所含的数据信息，并在极短的时间内获取想对应的服务。随着NFC移动支付的不断进步、发展，NFC移动支付手机有可能会取代银行卡，成为用户个人的电子钱包。随着网络的普及和NFC技术的发展，近场移动支付开始成为最主要的支付方式。但是，NFC技术下近场支付安全性问题不容忽视，它是NFC移动支付普及和推广的前提。

1 NFC支付模式

具体包含以下几种模式：（1）NFC的工作模式，NFC的工作通常是发生在启动设备和目标设备之间，任意一个NFC设备都可以充当启动设备和目标设备两个中的一个。NFC通信有三个工作模式：卡模拟模式、读写器模式、点对点通信模式。（2）卡模拟模式，卡模拟模式主要是在非接触式移动支付上应用，比如交通、商场、电子票务。用户可将智能手机贴近读卡终端，然后输入支付密码，就可完成支付交易。在卡模拟模式中NFC设备工作的原理是电磁感应耦合，完成数据传输任务。这便使得在不改变现有设备的情况下就能够使用NFC手机完成非接触的交易支付，其实就相当于一张采用RFID技术的IC卡，因此，卡模拟模式主要的应用领域也与传统的IC卡应用领域一致，例如零售刷卡支付、门票、交通卡等。这种模式还有一优点，就是卡片通过非接触读卡器的RF域来提供供电，也就是说手机没电也可以进行支付。

（3）读卡器模式，读卡器模式中NFC主动启动无线通信，读取或修改NFC标签中的数据信息。与卡模拟模式区别在于其支付应用中充当发起终端，且必须有电才能工作。其主要应用包括从NFC海报信息中读取信息以获取相关内容，海报中嵌入NFC标签，在上面写入有关海报的信息，通过设备读取NFC标签中的信息，从而方便进行下一步操作。（4）点对点模式，点对点模式就是网络中两个平等节点间的无线数据交换，也就是说两台具有NFC功能的设备链接，在不需要服务器介入的情况下，以点对点的方式进行彼此间数据的直接传输，比如：下载音乐、传输图片、同步设备地址库等。点对点模式数据传输距离短、传输创建速度较快、传输速度也快、功耗低等特点，通过NFC，多个设备如数码相机、计算机、手机和PDA之间都可以交换资料或服务。典型应用有蓝牙连接、交换手机名片。

2 NFC技术下近场支付存在的安全问题和支付安全原则

2.1 NFC技术下近场支付存在的安全问题

近场支付是买家和卖家两者之间发生的商业关系，在这个交易过程中，涉及到用户的个人隐私、商业隐私，这些隐私信息在交易过程中确保安全对移动支付来说至关重要。支付交易过程中可能存在的安全问题如下所示：

2．1．1 通信窃听

窃听发生在交易过程中，无线数据传输遭到窃听，被获取交易信息数据，包括用户交易订单信息、用户ID、甚至是交易支付密码等。如果受到攻击会造成用户的隐私信息、交易信息被泄露、被滥用，甚至造成一定或大量的财产损失。

2．1．2 篡改数据

攻击者通过插入无用数据、删除SE模块中的部分数据、修改交易数据等破坏数据的完整性。攻击者恶意修改SE模块中信息，比如故意增大或减少交易金额，导致SE模块安全功能失去作用，使交易双方无法正确识别交易数据信息以及无法形成信任关系。

2．1．3 假冒交易方进行交易

数据传输前，ID容易被其他没有认证的设备假冒，从而使非法用户可以在其他场合应用。攻击者可以假冒参与交易双方中任何一方，虚构虚假交易信息瞒骗用户，在用户不知道的情况下，进行交易，导致用户造成经济损失，从而从中谋取非法利益。

2．1．4 交易抵赖

网络环境下，买家、卖家双方交易过程是资金从买家向卖家的转移，任何一方存在交易否认都意味着交易的不可信赖，所以，必须采取有效方法来保障双方交易无从抵赖。

2.2 近场支付安全原则

针对上述四种安全问题，从通信安全方面考虑，提出了一个符合近场支付系统的安全性原则。即保密性原则、完整性原则、认证、不可抵赖性原则、访问控制与可用性原则。同时对密钥的安全性和系统多边安全性加以保障。

2．2．1 保密性原则

近场支付和互联网支付最大的区别就在于近场支付中是以电磁波的形式进行传送的，但是近场网络比有线网络具有更大的开放性，数据被窃听的可能性更大，因此，需要对传输的数据进行更高强度的加密。

2．2．2 完整性原则

为了防止在支付交易过程中，攻击者在双方不知情的情况下，篡改数据，或者干扰电磁波，或者在信道传输过程中信号发生畸变，所以需要确保传输信息的完整性。

2．2．3 认证原则

就是支付交易过程中，卖家和商家双方需要鉴别认证的过程，来确保支付交易的双方身份的合法，防止假冒交易的现象出现。

2．2．4 不可抵赖原则

为了防止在支付交易完成后其中交易的一方否认交易的合法性，从而造成另一方利益受到损失。

2．2．5 访问控制和可用性原则以及密钥安全性和多边安全性

访问控制与可用性原则就是以此来保护支付交易的双方的隐私信息，能随时进行交易支付。密钥安全性体现在密钥的产生、分发、传输、更新过程中都必须要保证安全，而多边安全性，支付过程是多方参与的，交易的安全可信度是支付交易系统安全的重要体现。

3 NCF技术下近场支付安全问题的建议

NFC技术下近场支付安全问题从技术手段和应用管理两个方面着手，控制和保障移动支付的安全。技术手段着重从信息系统的科学技术方法上入手，通过控制访问、加密、鉴别身份等一系列的科学技术手段消除安全威胁，而应用管理主要在NFC移动终端用户无线支付过程中对相关人员和其他相关的事项进行有效管理。

3.1 技术方法

对于近场支付安全性问题，NFC通过手机完成支付功能，整个系统的参与者是NFC手机用户、商家、移动支付处理中心和银行系统。用户和商家是移动支付的主要参与者，商家的NFC设备读取商品数据信息，生成商品订单，然后通过NFC将订单信息传输给用户手机，用户手机再去验证商家的证书，核对订单信息，核对无误后，用户手机输入PIN码，通过验证后在移动支付平台提交个人支付申请，移动支付平台验证用户信息，根据其账户账号金额余额来确定用户支付请求的有效性，移动平台再将用户支付请求传输给商家，商家确认无误有效后，交易完成。这一整个交易支付的过程，都是通过无线电进行的数据交换，由此可见，移动处理中心是整个支付交易的核心为各方提供支付处理。假如攻击者攻击了RF射频通信链路，用户的个人信息和订单信息就会被泄露和滥用。SE模块是主要负责通信安全的，那么当SE受损或失去保障效用时，支付交易过程中验证证书、签名、数据加密等都无法进行，甚至发生数据被篡改、获取用户信息造成用户巨大经济损失。

第一，采取加密机制，提高用户安全保障。强化SE控制访问量，设计加密算法，完成工作密码和支付密码的传输安全，支付交易中订单数据和用户隐私经密钥进行加密，才能在公开信道中进行数据信息传输，并对SE中存储的密钥实行多级管理，保证用户的安全。

例如，可采用DES对称加密算法，DES属于一个块加密算法，密钥长度是56bit，把64bit的加密数据(即明文)作为输入，产生64bit的输出(密文)，加密与解密使用相同的密钥。实际中明文不一定恰好是64bit，需要经过分组和填充变为满足要求的分组。而DES的初始密钥有64bit，在加密开始之前放弃每个第8位，即8,16,24,32,40,48,56,64，这些位可以用来进行奇偶校验。其伪代码可由以下表示：

其中⊕表示模2运算。

第二，保障机制。对支付交易过程中没有进行签名或无法验证来源的软件严禁下载和运行；相关密钥备份，避免密钥丢失或失效后机密数据无法正常运行；所有硬件都需要进行完整性检测避免运行时故障；对个人识别码错误尝试次数认证进行周期管理；对所有交易记录附加时间戳，避免数据重放攻击等。

第三，运行基带处理器的安全机制，防止PIN在输入时被截获，实行用户身份登记，保障手机应用的真实性和完整性，对不同的安全区域进行严格划分，与安全模块实行相互认证。首先消费者将身份认证请求通过加密形式发送给移动处理中心，移动处理中心采用身份认证机制认证消费者的身份是否合法，然后将验证结果反馈给商家，如果身份合法，就可以进行交易，否则终止交易。

第四，在NFC芯片上设立安全机制，使芯片ID不能被随意读取，用户能对NFC模块功能自主开关。

3.2 安全应用管理

新的技术需要对其进行宣传和培训，特别是安全问题，通过宣传、培训培养用户的安全使用意识。比如：怎样正确使用NFC智能手机，正确使用PIN码，正确设置手机密码，掌握一些正确的方法，预防用户个人NFC手机失窃或损坏。另外，对各种不同类型的智能手机的操作系统的应用软件和相关安全功能进行安全防护，在移动终端的操作系统中安装防毒软件和防火墙，在手机安全检测方面加以强化。

在移动互联网飞速发展的情况下，近场支付必将成为未来发展的趋势和未来移动支付的主流方式。尽管无线近场支付的应用发展受到各种因素制约，近场支付交易过程中仍存在一些安全问题，包括通信窃听、篡改数据、假冒交易方进行交易、交易抵赖，然而作为新型第四代支付方式，NFC技术下近场支付必将迎来远大的应用前景。当然，对NFC技术下近场支付安全性来说，还有很长一段路要走，不仅需要相关技术的不断开发和完善，还要完善其配套基础设施，针对使用NFC手机用户加强自身相关安全意识，预防NFC手机被盗或损坏等。

[1]范伟.移动商务安全性研究[D].北京：北京邮电大学，2010.

[2]韩景灵，张秀英.基于WPKI技术的安全移动支付系统研究[J].计算机技术与发展，2014,24（6）：156-160.

[3]李琳.NFC手机的需求和方案剖析[J].电信技术，2011,2（90）：49-53.

[4]贾凡，佟鑫.NFC手机系统的安全威胁建模[J].西安邮电大学学报（自然科学版），2012(10):1460-1464.

江西省教育厅科学技术研究项目《基于NFC技术的手机近场支付平台的研究》，项目编号：151283。

胡治宇（1983年3月），性别：男，汉族，安徽省黄山市人，学历：硕士，职称讲师，单位：景德镇学院，单位邮编：333000，研究方向：软件工程，影视多媒体。