移动支付安全解决方案

字号：大中小

　　1、背景

　　移动支付也称为手机支付，就是允许用户使用其移动终端(通常是手机)对所消费的商品或服务进行账务支付的一种服务方式。

　　移动支付作为未来金融类创新服务之一，不仅可与PC网上银行、互联网支付系统发挥同等作用，还能够提供更具价值的增值服务。通过与其他渠道协同，移动支付可以把各行业、各类型的产品低成本、高效率、无缝隙地传递到用户手中。

　　然而，随着移动支付应用的不断推广，所面临的安全需求也日益迫切，CFCA针对移动支付的业务特点，提出了基于PKI认证技术移动支付安全解决方案。

　　2、移动支付面临的安全挑战

　　根据调查研究，目前国内移动支付业务仍存在很大的安全风险，所采用的安全手段及措施还不足以应对其所面临的安全挑战：

　　·支付人身份真实性保证

　　支付人作为动帐的一方是整个支付环节中最容易发生风险的地方，需要保证支付人的真实性，防止冒充或非法操作行为的发生。

　　·支付数据、密码等敏感信息保护

　　支付数据、密码等是客户的敏感信息，必须采取有效的手段保护这些信息的安全输入和安全传输，防止信息被窃听窃取。

　　·交易保护及抗抵赖

　　移动支付，涉及到客户资金的转移，必须是客户真实意思的表示，必须采取有效的手段保证交易的“合法”性，提供交易抗抵赖凭证。

　　·便捷性与安全性的平衡

　　移动支付，便捷、客户体验是移动支付的王道，安全是移动支付的根本。

　　3、移动支付安全解决方案

　　CFCA针对移动支付业务的特点，研究移动支付所面临的安全挑战，提出了基于电子认证的移动支付安全解决方案，采用数字签名技术实现了对支付人身份的认证、支付信息的防篡改、完整性校验以及抗抵赖；采用数字证书的安全套接字层（SSL）技术能够解决支付数据的传输安全。

移动支付安全解决方案

　　4、方案产品

　　·简单便捷的手机证书 – Mobile Cert

　　CFCA设计和开发了安全的手机证书，它是将数字证书保存在移动设备存储区域内，手机证书绑定了设备硬件信息，能够有效地防止非法拷贝使用，同时CFCA特有的移动终端安全扫描和修复技术可以为用户提供一个相对清洁的运行环境。

　　·安全高效的硬件证书 – Device Cert

　　CFCA硬件证书支持SD卡、音频KEY、蓝牙KEY、苹果专用Key等设备作为证书存储介质，除SD卡外，所有设备均可带有签名显示屏，能够有效保护用户的使用安全，同时各种硬件设备通过USB接口可直接连接到PC上做网银应用，硬件证书方案代表了移动支付的最高安全性。

　　·双通道SIM卡证书 – Sim Cert

　　CFCA SIM卡证书是利用用户手机SIM卡作为存储介质，在应用时用短信方式触发签名授权的创新证书应用方式。由于数字证书相关操作都是在SIM卡的STK中运行，手机操作系统的病毒木马无法介入，因此该方案也同样具有很高的安全性。

　　·安全的证书应用过程中间件 – SCAP

　　SCAP是移动设备上安全的证书应用组件，它能够面向客户端提供基于数字证书的管理和应用功能，SCAP本身具有很高的安全防护措施，能够防止静默调用等风险，同时SCAP亦可集成移动操作系统环境扫描功能，这能为客户端应用程序提供一个相对清洁的运行环境，SCAP制定了数字证书底层库规范，通过规范向下支持各种硬件存储方式，这也包括CFCA安全的手机证书库。

　　·安全的输入过程中间件 – SIP

　　SIP能够保障用户密码（含支付密码、交易密码、账户密码等）的输入和传输安全。该方案具有反调试、反屏幕录像、反键盘监听和内存加密等机制，同时利用数字证书或其他安全有效的安全加密技术对密码进行高强度加密传输，以满足业务系统的各项安全需求。

　　5、方案特点

　　·高适配性

　　CFCA移动支付安全方案可同时支持多种设备、多证书情况。

　　·平台多样化

　　CFCA移动支付安全方案中涉及硬件设备不但能够用于移动平台，同样适用于传统的PC业务。

　　·通用性

　　CFCA移动支付安全方案可与各移动支付系统紧密结合，根据业务的不同为各业务系统提供安全、可靠的认证服务。

　　·易用性

　　CFCA移动支付安全方案操作简单、易用，可以完全不改变业务系统正常的操作流程。

　　6、适用行业

　　移动银行

　　移动证券

　　移动办公

　　移动电子商务

　　卫生、医疗