电子支票系统的反欺诈取证研究

张萍 何毅俊

摘  要： 香港于2015年12月在中国银行（香港）、香港上海汇丰银行、恒生银行等九家银行推出电子支票服务。电子支票是纸张支票电子化和网络化的对应物，开票及入票程序可在网络系统中闭环进行，具有系统高度自动化，方便快捷，成本低廉的特点。虽然其他国家数年前开始研究电子支票，但是因为安全性问题，使得电子支票被延迟数年后才被香港首次应用于日常生活。通过研究香港的电子支票系统，发现了系统中可能出現的多种欺诈行为，提出了基于区块链技术的解决方案。

关键词： 电子支票; 反欺诈; 电子取证; 区块链

中图分类号：TP302.1，F713.36          文献标识码：A     文章编号：1006-8228（2021）08-32-05

Research on anti-fraud forensics of electronic cheque system

Zhang Ping1， He Yijun2

（1. Department of Network and Information Security， Guangdong Police College， Guangzhou， Guangdong 510230， China;

2. Hong Kong R&D Centre for Logistics and Supply Chain Management Enabling Technologies）

Abstract： Electronic cheque is rolled out in Hong Kong in December 2015. Nine banks such as Bank of China （Hong Kong）， The Hongkong and Shanghai Banking Corporation， and Hang Seng Bank， etc. offer the e-Cheque services. The electronic cheque is an electronic and network counterpart of the paper cheque， and the procedure of issuing and entering of cheques can be carried out in a closed loop in the network system. It has a number of new strengths： a high level of system automation， convenient and efficient， low cost. While other countries began to study the electronic cheque some years ago， but because of some security issues， electronic cheque was delayed for several years before it was first time used in daily life in Hong Kong. By studying the electronic cheque system in Hong Kong， a variety of frauds that may arise in the system are found， and the solution based on block-chain technology is proposed accordingly.

Key words： electronic cheque; anti-fraud; digital forensics; block-chain

1 电子支票概述

电子支票于1990年由Chaum首次提出[1]，随后美国、欧盟及新加坡先后尝试进行电子支票的实验和运营。第一个电子支票系统模型在1998年由美国金融服务技术联盟（FSTC）提出[2-3]，现有的大部分电子支票模型都与该模型类似。2015年12月香港政府正式推出电子支票系统，并同步在九家香港银行中试用[4]，这是世界上首次将电子支票正式广泛地应用在日常生活中。

在香港，电子支票是以PDF文件格式展示与纸张支票相似的基本资料，并印有电子支票的标志。如图1、图2所示，纸张支票和电子支票的异同点具体体现在表1中。其中电子支票的独有特征体现了其信息安全层次的保障，关于设计细节本文将在第2节中详细分析。

电子支票与纸张支票相比，具有便捷、环保、集成安全等突出的优点。电子支票技术并不是新技术，但目前尚未广泛使用。这主要是因为引入电子支票的安全问题，其中关键的安全设计问题如下。

⑴ 在当前的电子支票模型中，电子支票是某种意义上纸质支票的电子文档形式，可轻易的复制出“完美副本”，很难从一个拷贝中识别出一个“原文”。

⑵ 机密性是电子支票的另一个需关注的问题，攻击者可以入侵电子记录或拦截传输以获得电子支票详细信息，如收款人、付款人、帐户、金额等。

⑶ 隐私也是电子支票系统中参与各方关心的关键问题。通过监控传输流程和电子邮件，攻击者可以了解交易属性，如付款人与收款人之间的关系、付款人与收款人之间的行为等，同时电子支票还涉及到伪造、篡改等安全威胁。

关于电子支票的安全性问题一直是政府及相关金融、科研各界的重点关注[5-6]，针对电子支票中采取的签名方式，已有的研究成果分别从数字水印和数字签名、门限群签名、椭圆曲线签名等方面论证过在电子支票系统中的可行性[7-9]，时间戳在增强电子支票安全性方面也有相关的研究被提出[10]。2020年年初爆发的全球性新型冠状病毒感染的影响下，全球贸易受到了前所未有的冲击，电子支票的应用对于疫情下推动全球贸易的持续健康发展有着积极的作用。因此建立一个安全、保密的电子支票系统就尤为重要和迫切。本研究旨在针对电子支票技术的安全性和隐私性，提出一个可增强安全性、创新性和环保性的电子支票系统，并尝试借助区块链技术抵御电子支票欺诈行为，以促进跨国及本地贸易、零售业的发展。

2 电子支票系统模型

2.1 电子支票系统支付过程

电子支票，简单来说，是纸张支票的电子版替代品，应遵循和纸张支票相同的支付过程。同时，电子支票系统的设计要考虑到保护信息的完整性，保密性，可认证性和不可抵赖性，以及防止支票欺诈等等安全因素。香港的电子支票系统如图3所示，包含5个对象：付款人、付款银行、收款人、收款银行、香港银行同业结算有限公司。系统的运行流程分为以下几个步骤。

⑴ 付款人通过双重认证（2FA）登录自己的网上银行，输入收款人姓名，付款金额，并且请求签发电子支票。

⑵ 付款银行生成电子支票，先用付款人的私钥签名，再用付款银行的私钥签名。

⑶ 付款人下载已经进行双重数字签名的电子支票。

⑷ 付款人可以选择以下两种方式之一把电子支票发送给收款人：（4A）付款人要求付款银行通过Email把电子支票发送给收款人，或（4B）付款人本人通过Email把电子支票发送给收款人。

⑸ 同时，付款银行把电子支票发给香港银行同业结算有限公司做记录。

⑹ 收款人收到电子支票后，通过双重认证登录自己的网上银行，递交电子支票要求兑付。

⑺ 收款银行认证付款银行和付款人的签名，并且确认收款人身份后，为收款人兑付支票。

⑻ 收款银行发送清算文件和签名的电子支票给香港银行同业结算有限公司。

⑼ 香港银行同业结算有限公司发送清算文件和签名的电子支票给付款银行。

⑽ 付款银行认证自己的签名和付款人的签名，检查内部记录，并检查是否有电子支票重复兑付的情形，若验证通过则同意支付，否则将中止兑付。

2.2 电子支票的设计

电子支票系统的核心部分是电子支票的设计，电子支票应包括表2所列出的基本元素。

其中，数字签名以及支票编号是电子支票与纸张支票最大的区别。数字签名包括付款人自己的数字签名，以及付款银行的数字签名，任何企图更改支票信息的举动都会使电子支票无效。支票编号的功能是防止电子支票重复兑付，因为电子支票是可以进行完美拷贝的，拷贝后的支票副本与原始支票毫无区别。当两张支票编号一模一样的电子支票去银行兑付时，银行无法区分哪一张是原始支票，哪一张是副本。银行现行的做法是只兑付最先递交给银行的支票，拒绝之后所有的支票编号相同的支票，以防止重复兑付。而在纸张支票中没有支票编号，因为纸张支票都是实物支票，一旦兑付，支票就被银行收回，不存在重复兑付的可能。

2.3 电子支票系统的安全保障

综合2.1节和2.2节的内容，电子支票系统的安全保障设计具体有以下三点。

⑴ 双重认证 （2FA）：付款人须通过双重认证才可发出电子支票，除了网上银行密码外，还需要输入由银行发出的一次性密码（如通过短信收到或保安装置发出的一次性密码）。

⑵ 公开密钥基础设施（PKI）技术：电子支票采用数字签名技术以保障真实性，任何尝试篡改电子支票的举措都会令签名变成无效及导致电子支票无法存入账户。

⑶ 中央入票核对机制：中央银行需要通过核对电子支票编号，避免收款人重复存入同一张电子支票。

3 电子支票系统的欺诈行为分析

在本研究提出的电子支票系统中，通过PKI技术，伪造或者修改电子支票的可能性极低，同时通过中央入票核对机制，同一张支票也不可能在银行重复兑付两次。

然而，经过对香港电子支票系统的研究发现，现有的安全措施并不能避免几种可能的欺诈行为的产生。经分析本节提出四种可能的欺诈行为，并逐一分析这几种欺诈行为。

3.1 欺诈行为1：以电子支票为标题的恶意欺诈邮件

图4提供的是一个真实的恶意欺诈邮件案例。邮件接收者收到一封关于电子支票的邮件，通知电子支票传送出现问题，并且给出了两个下一步操作的链接。而事实上，邮件接收者从来没有进行过电子支票的操作，如果邮件接收者不小心按到链接，可能出现钱财欺诈、信息盗取电脑中毒等后果。

该种邮件欺诈行为利用的是电子支票系统具有邮件通知功能这个特点。在电子支票系統中，当付款者请求签发电子支票成功，便会收到系统发来的提示邮件。攻击者利用这点，可将电子支票作为标题发送各种恶意邮件给被攻击者，一旦被攻击者真的有请求签发过电子支票，很大概率上会打开邮件的链接，最后导致各种损失。

3.2 欺诈行为2：以收款人提交的电子支票作抵押向第三方借贷

若收款人收到一张真实且可兑付的电子支票，收款人可以任意复制多个副本，然后以此作为抵押，同时向多个第三方借贷。因为每张电子支票副本都是真实有效的，第三方很有可能会批准贷款，此类欺诈行为就可成功执行。

该欺诈行为的成功是因为任何一张电子支票是可以被完美复制的，根据电子支票的数字化特征，无法区别哪一张是原始支票，哪一张是副本。而第三方借贷公司在去银行兑现支票之前都无法发现这种欺诈行为。

3.3 欺诈行为3：假扮付款人，从支持使用电子支票的商家获得利益

作为网络化支付手段，电子支票必然会被网络企业用户所采纳，如线上购物网站、游戏网站等等可以支持用户使用电子支票付款。若付款人A成功从银行申请到一张以商家B作为收款人的电子支票，在还没有支付给商家B前，恶意攻击者C可以利用付款人A在本地存储或网上存储的不安全性、传送电子支票的电子邮件服务提供商的脆弱性、付款人A的各种通信渠道的易被攻击性等等，获取付款人A的电子支票。如果商家B不要求用户实名认证注册或者接受第三方代替支付，攻击者C可以利用盗取的A的电子支票支付，而真正的付款人A将无法正常执行支付。

该欺诈行为的成功是因为收款人是网络企业用户，商家的每一个客户都可能是潜在被攻击者，可被攻击范围广，成功概率高。

3.4 欺诈行为4：假扮收款人，从银行兑现电子支票

恶意攻击者B可以利用多种手段获取付款人A的电子支票，例如利用收款人A本地存储或网上存储的不安全性，或者利用传送电子支票的电子邮件服务提供商的脆弱性，还可以利用收款人A的各种通信渠道的易被攻击性等等。攻击者B获得A的电子支票后，再通过其他非法渠道，在短时间内获得A的造假身份证明文件。攻击者B就可成功在银行以A的身份开立银行户口，并兑现盗取的A的电子支票。

该欺诈行为成功的前提是攻击者可以获得假的身份证明文件，并成功开立银行户口。虽然办理假的身份证明文件比较困难，但是依然是可行的方案。

4 电子支票反诈系统

区块链技术因其安全、便捷的特性已逐步在银行与金融业领域得到应用，区块链技术对我国金融带来了新挑战和新发展[11-12]，也将影响征信体系、风险防控体系的重塑[13]等。为了提高现有电子支票系统的安全性，防范可能的欺诈行为，本研究提出以区块链技术来记录每一张电子支票的每次交易行为，实现所有的电子支票交易都有根可寻，有据可依，且可成功抵御第3节中提出的电子支票欺诈行为。

4.1 电子支票区块链反诈设计

本研究设计的区块链反诈系统是一套与电子支票系统并行的系统。电子支票系统依旧负责支票的生成、交易和认证，而与生成、交易相关的支票信息，比如支票编号，生成时间则在区块链反诈系统中存储、广播。因此，该区块链反诈系统具备以下几个特点：①最大限度的利用现有的电子支票的基础设施;②无需更改现有的电子支票系统模型;③不会降低现有电子支票系统的效率。整个取证系统架构如图5所示。

类似于比特币网络，同样定义电子支票系统中的所有用户是P2P网络中的节点。用户包括企业用户（包括线上购物网站、借贷网站、游戏网站和电子支票发行银行等等），以及个人用户（任何使用电子支票的个人）。每个节点安装电子支票钱包相互通信，每个钱包都分配一个公钥地址，且对应一个电子支票账户。所有的交易记录都公布在P2P网络上，并存储在每一个银行的本地服务器上。网络运行的步骤是类似于比特币网络，具体如下。

⑴ 付款人通过电子支票系统签发一张电子支票后，电子支票交易信息{付款银行付款人，电子支票编码，时间戳……}被广播到区块链反诈系统中的所有节点。

⑵ 每个节点都把收到的新的交易信息添加到一个数据块中。

⑶ 每个节点开始为这个数据块计算工作量证明。

⑷ 最先计算出工作量证明的节点，把结果广播到所有节点上。

⑸ 网络中的其他节点开始认证该结果，如果结果正确，且该交易不是重复的，节点接受该块，否则该交易将被拒绝。

⑹ 该数据块会和以前数据块的hash值，当前时间戳一起计算hash值，再被添加到区块链中，该交易生效。

⑺ 当付款人发送电子支票给收款人时，电子支票交易信息{付款人收款人，电子支票编码，时间戳……}被广播到区块链反诈系统中的所有节点，区块链反诈系统将重复⑵-⑹步。

⑻ 如果收款人不是个人，而是企业用户（线上购物网站），电子支票交易信息{付款人企业用户，电子支票编码，时间戳……}被广播到区块链反诈系统中的所有节点，区块链反诈系统将重复⑵-⑹步。

⑼ 当收款人发送电子支票给收款银行时，电子支票交易信息{收款人收款银行，电子支票编码，时间戳……}被广播到区块链反诈系统中的所有节点，区块链反诈系统将重复⑵-⑹步。

⑽ 如果收款人不是银行，而是企业用户（借贷网站），电子支票交易信息{收款人企业用户，电子支票编码，时间戳……}被广播到区块链反诈系统中的所有节点，区块链反诈系统将重复⑵-⑹步。

4.2 区块链反诈系统安全性能分析

区块链的一个独特优势是能防止一个比特币被重复支出。如用户A的钱包里有1个比特币，A在某一次交易中想将这个比特币同时给用户B和用户C，则交易将失败，并会立即被发现。区块链中发现此次重复交易的节点会拒绝此次交易，区块链的这个特点可以被用于防范本文3.2节的欺诈行为。如果把电子支票看成是一个比特币，把所有的交易信息存储在区块链中，区块链就能够追踪到关于电子支票的过往的交易信息。对于任何想要重复抵押借贷的电子支票，第三方借贷公司能在第一時间追踪到该支票曾经的借贷纪录，从而避免反复借贷的危险。

区块链的另外一个独特点是能记录每一个比特币从产生开始的每一条交易信息，包括交易的时间戳，交易中比特币的发送方和接收方。每一个比特币，每一场交易都留下详细的电子证据，真正做到有根可寻，有据可依，并且这些证据是公开的，可以供下载。区块链的这个特点可以被用于防范本文3.3节的欺诈行为，因为每一张电子支票都是最新由付款银行产生。在区块链中，支票由付款银行发送给付款人A被当作是一个交易纪录下来。根据区块链纪录，攻击者B没有出现在与这张支票相关的任何交易中，所以攻击者B根本没有支票使用权，从攻击者B发出的交易不会被接受。

区块链的第三个独特点是用公钥作为每一个钱包的地址，也就是说每一个交易的发生都是从一个公钥到另一个公钥。每个公钥都是唯一，不会重叠，每一个公钥只对应一个钱包。不像电子支票系统中，收款人的姓名作为电子支票的唯一收款人标识，却可以对应和收款人同名同姓的所有银行账户。区块链的这个特点可被用于防范3.4节的欺诈行为，因为A与B作为两个不同的用户，永远不可能共用同一个公钥地址。

5 结束语

本文分析了香港电子支票系统的安全性，并列举了四种可能的电子支票欺诈行为。针对这些欺诈行为，建立了区块链化电子支票取证系统，可成功抵御这些欺诈行为并可实现全链条的电子取证。目前，该系统模型设计已经基本完成，基于开源代码所开发的电子支票追踪功能已经基本实现。但是整个区块链电子支票系统还正在内部测试阶段，稳定性及功能上都还有待提高。本项目的研究成果将为新的网络支付途径提供一个更加安全的区块链化可行性解决方案，从而促进网络支付手段更快的适应全球经济新常态。

参考文献（References）：

[1] Chaum D， Fiat A， Naor M. Untraceable Electronic Cash[J].Lecture Notes in Computer Science，1990.403：319-327

[2] J. Dogget： “FSTC Electronic Check Project”; Boston，1995http：//www.fstc.org/echeck/

[3] Marlin， Steven. FSTC Puts eCheck Project in New Hands[J].Bank Systems & Technology， 2000.

[4] Hong Kong Monetary Authority， Electronic Cheque （e-Cheque） Service Launching Ceremony， https：//www.hkma.gov.hk/eng/news-and-media/press-releases/2015/12/20151211-4/，2015-12-11.

[5] Ajay R. Dani， P. Radha Krishna： An E-check Framework for Electronic Payment Systems in the Web Based Environment. EC-Web，2001：91-100

[6] 尹华.浅析电子支票中的安全技术[J].网络安全技术与应用，2005.10：52-54

[7] 李尤.基于数字水印和数字签名的电子支票支付方式安全研究[J].计算机与信息技术，2008.4：1-4

[8] 祁明，阳文.基于门限群签名的电子支票系统的设计和研究[J].计算机应用研究，2004.12：126-128

[9] 王婷娟.基于椭圆曲线数字签名和DCT数字水印的电子支票支付方案[D].兰州大学硕士学位论文，2009.

[10] 朱彦，施勇，薛质.时间戳对电子支票支付模型安全性的研究[J].信息技术，2009.11：147-150

[11] 李政道，任晓聪.区块链对互联网金融的影响探析及未来展望[J].技术经济与管理研究，2016.1：75-78

[12] 李長银，李虹含，高寒，陈涛.区块链技术的发展趋势及其对金融业的影响[C].国际货币评论合辑，2017：31-37

[13] 郭永珍.区块链对互联网金融发展的重塑与挑战分析[J].商业时代，2017.2：169-171