电子支付的安全范文

前言：我们精心挑选了数篇优质电子支付的安全文章，供您阅读参考。期待这些文章能为您带来启发，助您在写作的道路上更上一层楼。

第1篇

关键词：电子支付；支付安全；SET协议

中图分类号：TP311文献标识码：A 文章编号：1009-3044(2008)12-20000-00

Electronic Payment Security Discussion

REN Gang

(Wuhu Radio & Tv University,Wuhu 241000,China)

Abstract: Electronic payment system is the core of electronic business. The key of electronic business is system security during business activities. This text discusses existing payment pattern. It points out the shortage in security, displaces encrypt algorithm, modifies payment process, makes the electronic payment to be higher safty level.

Key words: Electronic payment; Payment Secure; SET Protocol

1 引言

电子商务(Electronic Commerce，简称EC)是利用现有的计算机硬件设备、软件和网络基础设施，在通过一定的协议连接起来的电子网络环境下进行各种各样商务活动的方式。电子商务的一个重要组成部分就是电子支付系统，所谓电子支付，指的是交易各方通过电子手段，比如说银行的电子存款系统和电子清算系统来记录和转移资金的方式。是否具有在线支付功能是电子商务是否完整的一个重要标志，而支付的安全性又是整个支付过程乃至整个电子商务过程的核心问题。

2 现有电子支付系统的探讨与改进

2.1 三种电子支付模型

第一种：基于SSL协议的支付模型

安全套接字层协议(Secure Socket Layer，SSL)是网络安全协议的标准，最早是由Netscape公司提出的一种安全套接层协议，采用公开密钥技术，目的是保证两个应用间通信的保密性和可靠性，可在服务器和客户机两端同时实现支持。SSL使用多种密码技术和PKI数字证书技术来保护信息传输的真实性、机密性和完整性，主要适用于点对点之间的信息传输。SSL由两层协议组成：(1)握手协议：描述了协议的建立过程，在客户机和服务器之间进行相互的身份认证，并在传输数据之前，协商确定加密算法和会话密钥。(2)记录协议：用于对不同的高层协议进行封装，定义了数据传输的格式。

遵从SSL协议的电子交易过程：客户选择服务，提交购物请求商家回复客户的购买请求，客户端浏览器提示即将建立与银行端网络服务器的安全连接，经过身分认证后，SSL 握手协议介入开始，双方建立起安全通道出现相应银行的支付网页，显示从商家发来的相应的订单及支付金额信息，用户确认后支付。支付成功后，用户确认离开安全SSL 连接银行在后台把相关资金转入商家账号商家收到银行发来的付款成功消息后，发送收款确认信息给用户，支付过程结束。

目前国内大多数银行的网上银行业务都是基于SSL协议的。例如招商银行的“一网通”网上支付业务就是基于SSL协议的典型代表。

第二种：基于SET协议支付模型

SET(Secure Electronic Transaction)协议是针对开放网络上安全、有效的银行卡交易，由Visa和MasterCard两大信用卡组织联合国际上多家科技机构共同研制，为Internet卡支付交易提供高层的安全和反欺诈保证。SET协议实现信息在Internet上安全传输，不能被窃取或篡改；实现持卡人购买订单和个人账号信息的隔离，使商家只能看到订货信息而金融机构只能看到账号信息；实现持卡人、商家、支付中心、支付网关等交易参与方身份的相互认证；软件遵循相同的协议和消息格式，使不同厂家开发的软件具有兼容性和互操作能力，并且可以运行在不同的硬件和操作系统平台上。

遵从SET协议的电子交易过程：客户选择服务，提交购物请求客户计算机自动激活电子钱包的客户端软件，用户取出里面的电子现金准备支付，SET协议开始介入；客户端软件自动与商家服务器软件进行SET 协议规定的信息交换与身份认证，然后自动提取信息连同订货单一起发送给商家商家收到信息并验证通过后回复客户，同时发出结算请求，并将客户端信息一起发给支付网关支付网关收到支付信息后，转入后台银行网络处理，在收到银行端发来的确认信息后向商家回复支付成功客户收到商家发来的购货确认与支付信息后，客户端软件关闭，支付过程结束。

国内的网上银行支付系统基于SET协议的极少，中国银行是一家。它的CA是中国银行认证中心(CCA)。持卡人通过Internet由中国银行主页中下载电子钱包软件后，通过Internet在线获得中国银行认证中心批准的借记卡网上交易电子证书。

第三种：以支付工具为中介的支付模型

国内除了上述两种支付方式外，还有种以网上支付工具为中介的支付流程，即第三方支付。这种在线实时的支付方式实质上还是网上银行。这种支付模式主要解决的不是信息流在网上传递的安全性问题，而主要解决的是，因付款和发货不同时进行而可能引起的争执。作为支付工具的第三方当了一个临时存钱罐的功能。

第三方支付的交易过程：买方在网上选中自己所需商品后就与卖方取得联系并达成成交协议，这时买方需把货款汇到第三方中介账户上。中介立刻通知卖方钱己收到可以发货，待买方收到商品并确认无误后，中介才会把货款汇到卖方的账户，整个交易就完成了。

第三方支付的典型代表有贝宝公司的PayPal、阿里巴巴旗下的支付宝等。

2.2 SSL、SET协议的不足

SSL协议存在的问题：第一，客户的信息首先传递到商家，商家可以任意阅读，这样客户资料的隐私性就得不到保证。第二，SSL只能保证资料信息传递的安全，而传递过程是否被人截取无法保证。第三，SSL没有对应用层的消息进行数字签名，因此也无法保证不可否认性。所以，SSL并没有实现电子支付所要求的保密性、完整性和不可否认性，而且多方互相认证也很困难。

SET协议存在的问题：第一，SET协议使用的对称加密算法DES，随着计算机处理速度和存储效率的提高，己经不是计算上安全的算法了。第二，协议没有担保非拒绝服务，无法证明交易是否由签署证书的使用者发出。协议签名的内容无法保障持卡者和商家，在协议最后收到的签名，是针对交易内容的认证。第三，协议没有考虑交易个体的公平性，持卡人的信用卡信息经过商家转发，虽然是经过加密的，但无论如何也会留下痕迹，这是个很大的安全隐患。第四，从实用性来讲，SET协议对商家系统的开发来说是个不小的负担，很多的小商户都会认为成本太高，不甚划算。并且，应用SET协议需要在持卡人端安装电子钱包，这也是个不太容易让普通持卡用户很快接受的地方。还有，SET协议仅仅针对信用卡，对个人信任制度不成熟的我国现状来说，也是一个制约因素。

2.3 基于SET协议模型的改进

替换密码算法：SET协议规定加密算法为DES加上RSA，而通过上文分析DES加密算法存缺陷，因此可选择用IDEA算法作为DES的代替算法。IDEA的密钥长度为128位，是目前公认比较安全的加密算法。另IDEA和DES算法同是对称加密算法，分组长度都是64位，使用IDEA对原有系统的影响不大。

增加支付中心：由于在SET协议中，商家除了要处理订购信息，还要将持卡人发来的包含信用卡账号等机密数据的支付信息转发给支付网关，虽然支付信息是经过加密的，但不免在商家处留下了痕迹，存在着安全隐患。对照现实中商场中“柜台”与“收银台”相分离，对基于SET协议的电子支付系统进行改进，引入了支付中心这一概念，相当于电子的“收银台”。这样，电子商户主要承担商品展示功能，在消费者下订单后，商户执行“开票”功能，而“支付”这个敏感，对技术安全性、信誉度要求高的功能由第三方“支付中心”来负责。消费者的支付信息不必先发送给商家再由商家来发送给支付网关，而是发送给大家都信任的第三方―支付中心。这样，商家看不到持卡人的支付信息，银行也无法获得持卡人的购买信息，从而加强了信息流和资金流在网上实时传递的机密性和安全性。

3 结束语

随着电子商务和金融电子化的日益成熟和不断发展，对网络支付的要求也更加严格。虽然网络支付工具随着技术的变化层出不穷，但网络支付并不是非常成熟，只有加强电子支付的安全保障，建立起电子支付业的统一行业规范，完善电子支付的法律体系，才能使我国的电子商务和电子支付具有更强的生命力，在我国经济建设中发挥更大的作用。

参考文献：

[1] 吴琦.电子商务代表网站及业务模式分析[M].通信世界，2007.2.

[2] 肖群.电子支付协议和电子现金的研究[M].陕西师范大学出版社，2004.2.

[3] 王蝉 姚赤丹.SSL/SET协议比较与改进模型[J].现代计算机，2002.8.

第2篇

在互联网概念重新被资本市场追捧的同时，“鼠标＋水泥”的电子商务也同样开展得如火如荼。从2001年至2003年，虽然不少企业的传统商业模式借助互联网平台得以进化，但传统的支付手段仍然阻碍着新商业模式挺进的步伐。而近三年来，电子支付市场每年都以高于30%的速度在成长，据相关市场调查公司的数据显示，到2007年这一市场的总交易额可达到605亿元人民币。作为电子商务核心的支付环节正在加速电子化，网上支付、移动支付、电话支付等多种支付形式的出现使得电子商务企业的步伐更加轻快起来。

从某种角度来看，电子支付产业就是安全产业。那么，相关安全技术经过不断的完善和发展之后，安全电子支付的技术发展之路又将走向何方？

Web2.0的安全浪潮

支付安全的现象从1999年8848等电子商务网站风起云涌开始， 那时电子支付就成为电子商务发展过程中最重要的环节。然而正是出于对这个环节的安全顾虑，使得电子交易的普及与发展受到了巨大阻碍，而“网银大盗”、“证券大盗”的出现，更使其蒙上了一层阴影。

一份业内调查数据显示，在Web2.0时代，在选择电子支付考虑的诸多因素中，64.5%的商户首选安全因素。39.8%的商户很关注电子支付是否快捷和方便。这同时也是支付公司和银行共同关心的要素。因为支付产业从某种角度而言就是安全产业。业内人士一致认为，从技术角度看，国内电子支付的安全系数远远高于国外，但是从支付安全管理而言，与国外还有一定距离。通过调查,我们还了解到，为了进一步提高安全管理水平，不少商业银行都采取了各种措施，比如使用第三方证书和动态密码作为支付安全的双保险等等。在关注安全的同时，电子支付的快捷和方便等因素也受到商户的重视。如何让商户更安全地完成支付，同时又能保证这一过程快捷方便，这是商业银行面临的很大挑战。

面对目前市场现存的几十家第三方支付公司，商户以实际行动进行了投票。76%的商户首选支付宝，同时也选择YeePay、网银在线、银联电子支付等公司作为自己的支付合作伙伴。

从字面的定义来看，电子支付是指单位、个人通过电子终端，直接或间接向银行业金融机构发出支付指令，实现货币支付与资金转移。近五六年来，国内电子支付产业在发展过程中，大致形成了几个模式。

一类是支付网关模式，这是电子支付产业发展最成熟的一种模式。包括银行和很多第三方支付公司提供的在线支付实际都是银行卡网关支付。但是这种提供的实际应用价值相对有限，而且并不十分方便。

第二类是拷贝PayPal。PayPal在美国做得很成功，但是从美国到国内，有巨大的时空变化，银行体系，商家和消费者习惯也是不一样的。现在看来这个模式在中国会遇到巨大的困难。

移动支付是第三类模式，通过手机让用户随时随地支付，然而手机可用性和安全性还是大问题。如果想通过手机发送短信买机票或者买一本书的话，操作起来还是很麻烦，而且短信通道加密也存在问题，安全得不到保证。这可能要等待3G网络发展比较成熟时才会蓬勃发展起来。

最后一种是账户支付模式。比如淘宝的支付宝、拍拍网的财付通、易趣的贝宝等都是属于账户支付模式。此外，我们还看到由YeePay易宝创新的多元化支付模式。这种支付模式会根据国内不同行业和不同地区支付需求采取多元化的方式量身订制。

问题在于细节

面对众多的网络交易和电子支付方式，安全问题主要隐藏在哪些细节之中呢？

以目前火热的电子支付网站拍拍网为例，在构建安全稳定的系统架构上，主要是通过以下几方面实现的:在应用层上采取措施确保不存在单一故障点，提高系统的稳定性;在架构设计上，确保水平扩展的能力，以便应付将来大流量、大容量时期，对系统进行相应的扩容;在物理层上建立若干物理隔绝的功能区，避免黑客入侵后长驱直入;使用高端防火墙将重要的数据库保护在核心数据区，提高了数据的安全性;在信息存储方面，使用公开加密算法对数据通信以及数据存储进行加密，确保了数据的完整以及安全性。

不仅如此，网页防篡改的技术也需要重视，以防止网站信息被非法篡改，避免对用户产生错误的引导;此外，采用高可靠的Linux操作系统，并对操作系统进行额外的主机加固措施，也是提升操作系统安全级别的重要手段。

在安全平台搭建方面，多元化的支付平台由于用户交易量非常庞大，对系统的安全性、稳定性、可靠性要求非常高。大多数的支付网关都很难杜绝拒付及坏账的现象。YeePay支付平台采用了双保险的支付架构，在拥有银行卡支付的同时还兼容了预付费充值记费的功能，彻底杜绝了拒付及坏账问题的出现。

走出安全迷途

电子支付系统的各种安全需求依赖于系统的特征和定义在其操作上的信用假设。一般来说，电子支付系统必须具备授权、完整性、保密性、可用性和可靠性，电子支付系统的各种安全需求依赖于系统的特征和定义在其操作上的信用假设。

完整性与授权

一个具有完整性的支付系统不允许一个用户在没有另一个用户明确授权的情况下取走资金。为了防止行贿受贿，没有允许，系统也不能接收款项。授权构成支付系统中最重要的环节。支付授权有三种方式:外部授权、口令和签名。

一、外部授权:在这种方式中，检验方（银行）通知交易的授权方（付款人），授权方通过一个安全的外部通道（如邮件或电话）同意或否定支付，这是目前用信用卡进行邮汇和电汇的通用方法。任何知道用户信用卡数据的人都可以发起交易，所以合法用户必须检查有关记录并主动地控告非授权交易。如果用户没有在一定时间内（通常为三个月）提出控告，所做交易被默认为有效。

二、口令授权:对于一个用口令保护的交易，每个从授权方发来的信息需要一个密码检查值，这个值由只有授权方和检验方知道的密码计算得出，而这个密码可以是一个个人标识号（PIN）、一个口令或一个任意形式的共享密码。然而，短的共享PIN，如一个六位数字很容易遭受攻击，它们本身不能提供高级的安全性，应该只用于控制访问象智能卡这样的物理标记，因为智能卡采用安全密码机制（如数字签名）执行实际授权。

三、数字签名:在这种类型的交易中，检验方要求授权方的数字签名。数字签名提供一个原始的非拒绝支付证据，因为只有签名密码的拥有者才能签署有关信息，而知道相应公开密钥的任何人都可以验证签名的真实性。

保密性

这里所说的保密性是指防止泄露有关交易的各种信息，如付款人和收款人的标识、交易的内容和数量等。保密性要求这些信息只能让交易的参与者知道，有时甚至要求只让参与方的部分人知道。

可靠性和可用性

所有的交易方要求无论何时都可以进行支付和接收支付。支付必须是原子的，即它们要么完整发生要么根本不发生，不能处于一种未知或不一致的悬挂状态。付款人不希望它们的钱由于网络或系统的故障而丢失。可用性和可靠性假设基本网络服务和软硬件系统具有足够的可靠性，为能恢复故障系统的信息，所有交易方需要某些可靠的存储器和专用重同步协议。

联机支付与脱机支付

脱机支付在支付过程中不牵涉第三方，支付活动只涉及付款人和收款人。脱机支付存在着明显的问题，它很难防止付款人透支。在纯数字世界中，不诚实的付款人很容易在每次付款后将它的系统的本地状态重新设置到支付前的状态。联机支付的每次支付中包含一项授权服务（通常是开状行或押汇行的一部分）。显然，联机支付的通信量更大，但一般来说比脱机支付更安全。大多数已提出的Internet支付系统是联机支付系统。

所有的基于电子硬件的支付系统，包括Modx和CAFE（Condition Accessfor Europe），都是脱机系统。Modx是唯一具有脱机可传输性的支付系统，收款人无需去银行就可以利用他收到的资金进行新的支付。目前，CAFE是唯一强有力地支持付款人匿名和不可追踪性的支付系统。这两个系统为付款人提供了一个电子钱包，并防止伪终端攻击付款人的PIN码。

可信赖的硬件

为了防止（不仅仅是检测）透支，脱机支付系统（如智能卡）的付款人一端需要安装抗干扰硬件。抗干扰硬件也可以安装在收款人的一端，如POS终端的安全部件。在共享密钥密码系统中，若收款人没有预约单价而只有交易的总价值时，抗干扰硬件的使用是强制性的。在某一方面来说，抗干扰硬件是银行的一个袖珍部门，必须为开状行所信赖。

开状行的安全考虑无关，有一个可以信赖的保护密钥和执行必要操作的安全设备符合付款人的利益。开始，这可能只是一个简单的智能卡，但最终将发展成为具有小键盘和显示的不同形式的安全智能设备，即常说的电子钱包。

如果没有这样的安全设备，付款人的密码甚至他的钱就容易受到能访问其计算机的任何人的攻击，这是多用户环境存在的明显的问题。能够被其他人直接或间接访问的单用户计算机也存在同样的问题。例如，非法分子设计的有些病毒程序能够窃取用户的PIN和口令，从而直接要求智能卡将资金转入指定的帐户。因此为确保安全，在用户和智能卡之间必须设置可信赖的输入 /输出通道。

安全密码

在很少甚至没有物理安全机制的开放式网络环境建立安全的支付系统必须采用各种安全技术，如用户认证、保密通信等。这就涉及到了密码系统

一、无密码系统:根本不采用密码意味着支付的安全完全依赖于外部的安全操作。如电子定货，只有在付款人发来的确认定货的传真到达后才能发货。First Virtual是一个无密码的系统，系统中的每个用户有一个帐号，在交换信用卡号时接收一个口令，但口令在Internet上传输时无保护，这样的系统易于因口令被窃取而受到攻击。

二、一般的支付交换设备:支付交换设备是一个提供预付和延迟支付两种模式的联机支付系统，如Open Market支付交换设备。体系结构支持几种认证方法，具体取决于所选择的支付方法。实际上， Open Market使用口令和两类可选的响应生成设备（安全NetKey和安全ID），因而用户认证是建立在共享密钥密码之上的。而授权建立在公开密钥之上， Open Market支付交换设备签署一个发送给收款人的认证信息。使用共享密钥密码的用户完全相信支付交换设备。

三、共享密钥密码:基于共享密钥密码的授权需要认证方和检验方有共享的密钥。DES加密、口令和PIN都是共享密钥密码的例子。由于双方完全有相同的密码信息，共享密钥密码不提供非拒绝支付。如果支付方和开状行对一项支付意见不一，就无法决定付款人或开状行是否进行该项支付。如果付款人要承担假支付的风险，那么用基于共享密钥的方式认证传送定单是不合适的。

四、公开密钥数字签名:基于公开密钥密码的认证要求认证方有一个密码签名的密钥和相应的公共密钥证书，这个证书由著名权威机构授予。现在的许多系统使用RSA加密，但有几种选择。数字签名能够提供非拒绝支付，这就解决了开状行与押汇行之间的矛盾。

一个使用相当普遍的用公开密钥签名的安全方案是SSL(Secure Socket Layer)。SSL是插口层通讯接口，它允许双方在国际互联网上安全通信。就其本身而论，它不是一种支付技术，而是作为一种保证支付消息安全的方法提出的。SSL不支持非拒绝支付。目前，使用公开密钥的完全支付系统有e-cash,Netcash,ikp的变种3kp和安全电子交易(SET)。

付款人匿名

付款人希望他们每天的支付活动保密，不希望无关的第三者观察和跟踪他们的支付，有时，也不希望收款人（甚至银行）观察和跟踪他们的支付。匿名意味着在支付时不使用支付人的身份，不可跟踪意味着同一个人不同的两笔支付没有联系。通过隐藏付款人与收款人之间的信息流，所有支付系统能够使外人不可跟踪。为了尊重收款人，付款人匿名能通过使用假名代替真名达到，有些电子支付系统提供匿名或不可跟踪性。

当前e-cash和CATE是提供匿名和对收款人与开状行不可跟踪的支付系统，两者都基于公开密钥和一种被称为“盲签名”的签名形式。所谓“盲签名”是指签名者不知道信息的确切内容。DigiCash公司的基于盲签名概念的e-cash，是一种提供高级匿名和不可跟踪的现金式支付系统。

在e-cash系统中，用户能从银行提取e-cash硬币，用来支付别人。每一个e-cash硬币有一个序号。为了提取e-cash硬币，用户准备一个随机序号的空白币，使序号不可见，并送到银行，如果用户被允许取得指定数量的e-cash，银行就签名盲币并返回给用户，用户然后使不可见的序号可见，以取得签名的硬币。签名的硬币就可用于支付另外的e-cash用户，收款人把e-cash硬币存在银行。银行记录序号以防透支，然而由于银行签名时没有看到序列号，所以它不能把硬币与先前提取的人联系起来。

技术原则上为确保Internet电子支付系统的安全提供了保障，但实现对各贸易方都安全（包括支付者的完全不可跟踪性）的系统是可能的。目前还没有一个占优势的系统，几个支付系统仍将共存。难以预言保护付款人隐私的支付系统的将来，因为这要涉及许多法律问题。面对汹涌而来的电子商务浪潮，我们正面临着前所未有的机遇和挑战。

编者手记

安全之匙“随身行”

本刊记者 瑜文

在信息安全所涉及的众多领域中，电子支付是最为引人注目的一个，其原因有两点：一是它和金钱直接挂钩，稍有差池就会带来巨大的经济损失，并且引起整个金融链的恐慌。二是其客户端分布广泛，形式各异，再加上应用水平参差不齐，难以形成统一标准的安全技术平台。

受中国传统文化的限制，很多人宁肯相信硬件也不相信软件，因为诚信比支付更难解决。在缺乏诚信的大背景和环境下，消费者不论是在网上还是在线下，都不喜欢用电子支付，因为面对面的交易存在诚信问题，更不用说是远程交易。所以通过电子支付的方式，很多人会心存戒备，普及起来也十分的困难，这就使得电子支付陷入困境。不但诚信是挡在电子支付面前的阻碍，如行业监管、支付安全、消费者习惯的改变、风险管理和新技术的推出等等一系列问题，都是电子支付发展的瓶颈。

我们知道，采用电子支付最重要的就是方便、快捷、高效、经济等优势。用户只要拥有可以上网的终端设备，便可足不出户地完成整个支付过程。支付费用仅相当于传统支付的几十分之一，甚至几百分之一。然而另一方面，这些优势的建立，需要电子支付的工作环境是基于一个开放的系统平台之中，而不像传统支付，是在较为封闭的系统中运作。这就带来了安全上不可避免的隐忧。

第3篇

论文摘要：电子支付系统是电子商务交易的核心，实现电子商务的关键是要保证商务活动过程中系统的安全性。本文对现有的支付模式进行了比较论述，指出安全性方面的不足，在基于SET协议支付模型基础上，替换加密算法，修改支付流程，使其具有更高的安全级别。

1 引言

电子商务(Electronic Commerce，简称EC)是利用现有的计算机硬件设备、软件和网络基础设施，在通过一定的协议连接起来的电子网络环境下进行各种各样商务活动的方式。电子商务的一个重要组成部分就是电子支付系统，所谓电子支付，指的是交易各方通过电子手段，比如说银行的电子存款系统和电子清算系统来记录和转移资金的方式。是否具有在线支付功能是电子商务是否完整的一个重要标志，而支付的安全性又是整个支付过程乃至整个电子商务过程的核心问题。

2 现有电子支付系统的探讨与改进

2.1 三种电子支付模型

第一种：基于SSL协议的支付模型

安全套接字层协议(Secure Socket Layer，SSL)是网络安全协议的标准，最早是由Netscape公司提出的一种安全套接层协议，采用公开密钥技术，目的是保证两个应用间通信的保密性和可靠性，可在服务器和客户机两端同时实现支持。SSL使用多种密码技术和PKI数字证书技术来保护信息传输的真实性、机密性和完整性，主要适用于点对点之间的信息传输。SSL由两层协议组成：(1)握手协议：描述了协议的建立过程，在客户机和服务器之间进行相互的身份认证，并在传输数据之前，协商确定加密算法和会话密钥。(2)记录协议：用于对不同的高层协议进行封装，定义了数据传输的格式。

遵从SSL协议的电子交易过程：客户选择服务，提交购物请求商家回复客户的购买请求，客户端浏览器提示即将建立与银行端网络服务器的安全连接，经过身分认证后，SSL 握手协议介入开始，双方建立起安全通道出现相应银行的支付网页，显示从商家发来的相应的订单及支付金额信息，用户确认后支付。支付成功后，用户确认离开安全SSL 连接银行在后台把相关资金转入商家账号商家收到银行发来的付款成功消息后，发送收款确认信息给用户，支付过程结束。

目前国内大多数银行的网上银行业务都是基于SSL协议的。例如招商银行的“一网通”网上支付业务就是基于SSL协议的典型代表。

第二种：基于SET协议支付模型

SET(Secure Electronic Transaction)协议是针对开放网络上安全、有效的银行卡交易，由Visa和MasterCard两大信用卡组织联合国际上多家科技机构共同研制，为Internet卡支付交易提供高层的安全和反欺诈保证。SET协议实现信息在Internet上安全传输，不能被窃取或篡改；实现持卡人购买订单和个人账号信息的隔离，使商家只能看到订货信息而金融机构只能看到账号信息；实现持卡人、商家、支付中心、支付网关等交易参与方身份的相互认证；软件遵循相同的协议和消息格式，使不同厂家开发的软件具有兼容性和互操作能力，并且可以运行在不同的硬件和操作系统平台上。

遵从SET协议的电子交易过程：客户选择服务，提交购物请求客户计算机自动激活电子钱包的客户端软件，用户取出里面的电子现金准备支付，SET协议开始介入；客户端软件自动与商家服务器软件进行SET 协议规定的信息交换与身份认证，然后自动提取信息连同订货单一起发送给商家商家收到信息并验证通过后回复客户，同时发出结算请求，并将客户端信息一起发给支付网关支付网关收到支付信息后，转入后台银行网络处理，在收到银行端发来的确认信息后向商家回复支付成功客户收到商家发来的购货确认与支付信息后，客户端软件关闭，支付过程结束。

国内的网上银行支付系统基于SET协议的极少，中国银行是一家。它的CA是中国银行认证中心(CCA)。持卡人通过Internet由中国银行主页中下载电子钱包软件后，通过Internet在线获得中国银行认证中心批准的借记卡网上交易电子证书。

第三种：以支付工具为中介的支付模型

国内除了上述两种支付方式外，还有种以网上支付工具为中介的支付流程，即第三方支付。这种在线实时的支付方式实质上还是网上银行。这种支付模式主要解决的不是信息流在网上传递的安全性问题，而主要解决的是，因付款和发货不同时进行而可能引起的争执。作为支付工具的第三方当了一个临时存钱罐的功能。

第三方支付的交易过程：买方在网上选中自己所需商品后就与卖方取得联系并达成成交协议，这时买方需把货款汇到第三方中介账户上。中介立刻通知卖方钱己收到可以发货，待买方收到商品并确认无误后，中介才会把货款汇到卖方的账户，整个交易就完成了。

第三方支付的典型代表有贝宝公司的PayPal、阿里巴巴旗下的支付宝等。

2.2 SSL、SET协议的不足

SSL协议存在的问题：第一，客户的信息首先传递到商家，商家可以任意阅读，这样客户资料的隐私性就得不到保证。第二，SSL只能保证资料信息传递的安全，而传递过程是否被人截取无法保证。第三，SSL没有对应用层的消息进行数字签名，因此也无法保证不可否认性。所以，SSL并没有实现电子支付所要求的保密性、完整性和不可否认性，而且多方互相认证也很困难。

SET协议存在的问题：第一，SET协议使用的对称加密算法DES，随着计算机处理速度和存储效率的提高，己经不是计算上安全的算法了。第二，协议没有担保非拒绝服务，无法证明交易是否由签署证书的使用者发出。协议签名的内容无法保障持卡者和商家，在协议最后收到的签名，是针对交易内容的认证。第三，协议没有考虑交易个体的公平性，持卡人的信用卡信息经过商家转发，虽然是经过加密的，但无论如何也会留下痕迹，这是个很大的安全隐患。第四，从实用性来讲，SET协议对商家系统的开发来说是个不小的负担，很多的小商户都会认为成本太高，不甚划算。并且，应用SET协议需要在持卡人端安装电子钱包，这也是个不太容易让普通持卡用户很快接受的地方。还有，SET协议仅仅针对信用卡，对个人信任制度不成熟的我国现状来说，也是一个制约因素。

2.3 基于SET协议模型的改进

替换密码算法：SET协议规定加密算法为DES加上RSA，而通过上文分析DES加密算法存缺陷，因此可选择用IDEA算法作为DES的代替算法。IDEA的密钥长度为128位，是目前公认比较安全的加密算法。另IDEA和DES算法同是对称加密算法，分组长度都是64位，使用IDEA对原有系统的影响不大。

增加支付中心：由于在SET协议中，商家除了要处理订购信息，还要将持卡人发来的包含信用卡账号等机密数据的支付信息转发给支付网关，虽然支付信息是经过加密的，但不免在商家处留下了痕迹，存在着安全隐患。对照现实中商场中“柜台”与“收银台”相分离，对基于SET协议的电子支付系统进行改进，引入了支付中心这一概念，相当于电子的“收银台”。这样，电子商户主要承担商品展示功能，在消费者下订单后，商户执行“开票”功能，而“支付”这个敏感，对技术安全性、信誉度要求高的功能由第三方“支付中心”来负责。消费者的支付信息不必先发送给商家再由商家来发送给支付网关，而是发送给大家都信任的第三方—支付中心。这样，商家看不到持卡人的支付信息，银行也无法获得持卡人的购买信息，从而加强了信息流和资金流在网上实时传递的机密性和安全性。

3 结束语

随着电子商务和金融电子化的日益成熟和不断发展，对网络支付的要求也更加严格。虽然网络支付工具随着技术的变化层出不穷，但网络支付并不是非常成熟，只有加强电子支付的安全保障，建立起电子支付业的统一行业规范，完善电子支付的法律体系，才能使我国的电子商务和电子支付具有更强的生命力，在我国经济建设中发挥更大的作用。

参考文献：

[1] 吴琦.电子商务代表网站及业务模式分析[M].通信世界，2007.2.

第4篇

【关键词】电子商务 电子支付 网络安全 网上支付

一、电子商务与电子支付概述

（一）电子商务概述。

电子商务的英文翻译为ELECTRONIC COMMERCE，是相关市场经营者或者企业对现代化网络信息化技术的综合应用，通过利用电子商务网络，快速便捷、及时有效的实现相关交易操作，作为一种现代化的新型商务模式，电子商务可通过多种电子通讯方式来完成，比如当前的电子商务交易一般多以EDI（电子数据交换）和INTERNET来实现操作。

电子商务利用现代化的网络信息技术，进行虚拟化的低成本低交易，能够最大限度的为卖方双方提供及时、方便、快速的网络交易服务，能够有效的降低成本、提高交易的效率，具有极为重要的发展意义。现代电子商务的积极发展已经渗透到了人们生产生活以及社会经济发展的各个环节，并且随着经济的不断发展，人们收入水平的不断提高而不断的发展与完善，对国民经济与人们生活的发展具有极为重要的影响。总之，电子商务是一项现代化的高科技、高效率、高效益的移动商务模式，对社会经济、文化、科技、法制以及人们生活的影响极为巨大，具有重要的发展与研究意义。

电子商务有效的把市场经济活动的货币转移与资金流动虚拟化、网络化，有效突破了传统的时间与空间局限。电子商务之所以能得到迅速的发展必然离不开它支付工具的发展。电子支付在降低交易成本、提高交易效率、支持经济金融发展等方面发挥的作用日趋明显，提高了人们的生活质量。

（二）电子支付概述。

在电子商务的积极发展与广泛应用中，电子支付发挥了极为重要的地位与作用，具有重要的发展影响。电子支付简而言之，主要是发生在计算机网络上的买卖双方的电子交易的货币支付或者资金流转行为，有效的突破了传统交易与支付的局限，具有及时快捷、方便便利、高效安全的重要特点，能够有效降低买卖双方的经营与交易成本，具有重要的意义。

纵观电子商务的积极发展，可以将电子支付的发展阶段归纳如下：（1）积极有效的电子结算阶段，利用计算机处理银行之间的业务。（2）利用计算机处理银行和其他机构之间的资金结算。（3）利用网络终端为客户提供各项银行服务。（4）通过银行销售点终端积极有效的为客户提供自动扣款服务。（5）利用互联网络进行直接转账结算—网上支付。

电子支付是经济社会进入信息化时代的必然产物，电子支付体系的不断发展与完善为电子商务发展提供了必要的支持和保障，而电子商务的发展又推动了电子支付体系的不断完善与持续发展。

二、电子支付在电子商务中的应用现状

经济的不断完善与发展，国际经济一体化的日益深入与渗透，计算机技术、网络信息化操作越来越普遍的被应用到人民生产生活与社会经济的不断发展中，经济领域的电子商务化进程日益加速，对经济的发展，企业的经营与提高、社会的进步都产生了极为重要的影响，电子商务也越来越多的被人们所关注与重视，尤其是电子商务交易中的电子支付问题，因有效涉及买卖双方的货币支付或者资金流转行为，更是社会各界极为关注的重要问题。

1998年招商银行将电子商务中的电子支付行为在网上银行业务中有效推出，其后陆陆续续的网络电子支付行为快速发展，其范围越来越广，大到银行的各种网上缴费业务，小到个人的网络购物支付、话费、水电费缴纳等等诸多方面都获得极为有效的发展与提高，电子商务突破时空的局限，快速发展，积极渗透，已发展到社会经济与人们生活的各个层面，人们生产经营与消费方式的网络化得到了普遍的应用。因此更好的应用电子支付，保证消费者信息的安全性是十分必要的。我们现实生活中经常出现虚假交易和网上诈骗的行为，在电子支付过程中的法律、信用、监管等问题也急需得到解决。积极有效的建立健全相关电子商务运营与服务中的法律法规，大力规范企业相关经营行为，加强网络电子商务的安全化支付与信息保护，积极有效的监督、维护市场的交易秩序，加大打击虚假交易、网上诈骗等违法违规行为，加强社会的诚信建设、网络交易的诚信体系建设，以更好的维护并促进电子商务的可持续发展。

三、电子支付安全性分析

（一）电子支付的安全问题。

1.密码管理问题

在电子商务交易的过程中，因密码管理不善所引发的网络电子支付安全问题大量存在。由于人类记忆能力的限制，该字串不会太长。当前很多发卡行采用6位数字密码方式。可是仅6位数字的密码设计还是会有很多人记不住，容易泄露自己的密码设置，另外有一些违法犯纪份子，利用强大的计算机运算能力，通过违法乱纪的行为操作，大肆破获他人的密码，牟取他人财物，给网络电子商务的发展带来了极为严重的损害，造成了严重的社会负面影响。

2.网络病毒、木马问题

电子商务的发展以计算机网络为依托，电子支付的行为也必须借助相关的计算机网络，为牟取个人私利，部门违法者不惜以网络病毒、网络木马进行病毒式侵入，窃取相关网上银行的交易信息，破坏网络用户的账号和交易密码，通过一系列不合法行为获取他人财物信息，然后诱骗、牟取、盗用他人财物，严重损害了网上电子商务的交易与使用安全，造成了极为严重的负面影响。病毒破坏成为发展电子商务的面临的信息安全重大威胁。

3.钓鱼平台

钓鱼网站是欺诈性的网站，功击者可以采用“钓鱼”方式达到目的。具体方式有假冒网站、虚假短信（邮件）。这些网站页面、短信或邮件是他们的“诱饵”。不能识别这些诈骗手段的持卡人容易被攻击者诱骗，受骗者往往会泄露自己的财务数据，如信用卡号、账户号和口令等。在钓鱼骗术中，很多第三方支付平台经常被无辜利用。常见的利用假淘宝链接，让用户付款，从而骗取用户资金。据中国反钓鱼网站联盟中心统计，截至2010年初，处理的钓鱼网站域名已累计八千多个。

（二）社会信用问题。

目前我国信用体系的发育程度还比较低，社会信用体系也不完善，信用心里不健康，通过网上开店进行欺诈的情况越来越多，信用问题一直是困扰网络用户进行网络交易的最大问题。电子商务必须以计算机网络进行交易的依托，而计算机网络的虚拟性是难以修改的，在虚幻的环境中进行交易本身就存在诸多的不确定性风险，容易造成安全的隐患问题。目前我国的网络电子商务交易市场中，对于网络的社会信用问题，还缺乏积极有效的处理，在网络交易中缺乏统一的信用认证机构，导致现行的电子支付行为缺乏更多更好的网络使用与交易安全保障，发展缓慢。

（三）电子支付的法律问题。

在当前我国电子商务快速应用与发展的同时，电子支付业务的发展也获得了相当大的提高，但是纵观电子商务在我国的发展历程，除了《中华人民共和国电子签名法》、《电子支付指引》两部法律外，与电子支付相关的专门立法还极为缺乏。很多方面都要急切的修正与完善，以体现当事人法律地位的平等，切实保护消费者利益。如今制约电子支付发展的立法问题主要包括：谁来发行电子货币；怎样监管网络银行业务；如何进行网络银行的资格认证等。这对于电子商务中电子支付业务的持续快速稳健发展具有极大的制约作用，需要政府相关部门进行积极的立法与完善的标准制定，以更好的维护电子支付的快速发展。

（四）电子支付的安全认证问题。

安全认证技术主要作用是进行信息认证，而信息认证是用来确认信息发送者身份并且验证信息的完整性。良好的规范的信息认证工作，能够有效的确认发送者的身份信息，并积极有效的保全信息的完整性与真实性，这些需要有效的第三方提供良好的确认与认证服务，而电子商务认证机构也就是在这种情况下产生的。目前，我国电子支付的安全认证机构比较混乱，阻碍了电子商务的进一步发展。

四、加强电子支付安全的建议及对策

（一）健全的法律保障体系。

必须积极有效的建立并健全相关电子支付的方面的法律法规，以持续稳定的推动电子支付的健康发展。《电子签名法》的出台，《合同法》里对电子合同法律效力的肯定，信息产业部出台了《电子认证服务管理办法》，中国电子商务行业协会推出了《网络交易平台服务规范》，这些大大鼓励了电子商务发展。但是电子商务领域，尤其是电子支付方面的立法还有很大的空白地带，比如电子支付的使用工具、相关设备、相关使用规则，如何对于这些机构进行控制与管理等等。这些都需要政府相关部门通过对相关法律法规的制定和实施，给电子支付的发展提供规范明确的法律环境。

（二）电子支付监督管理机制。

为积极有效的维护网络电子支付业务的健康发展与有效操作，建立健全完善的社会电子支付监督管理机制极为重要，具有重要的发展意义。对电子支付进行积极有效的监督管理，最主要的是针对银行等金融机构而言，他们有效的涉及了网络资金的流动与货币的转移，必要公开、公正的加强相关金融监管，有效维护网络交易中买卖双方的合法权益，加强法制监督，建立良好的第三方信用服务认证机构，全面系统、科学合理的对网络企业进行相关的资格评定和认证，对于网络消费者实现良好的购买实名认证，同时积极有效的强化第三方安全认证机构的监督与管理工作，建立以政府为背景跨部门（银行、工商管理、公安、税务等）监管体系，降低因欺诈等行为引起的支付风险。

（三）信用体系建设。

网络电子支付的相关操作与实现过程，涉及到了多方参与者，除了交易的双方，银行机构、第三方支付平台、工商等其他相关机构都被有效的涉及，在这个交易的循环中，只有大家都积极有效的维护诚信化的交易与操作，构建一个完整的信用体系，才能持续不断的推动网络电子支付的积极健康发展。但是长期以来，我国诚信体系很不完善，企业的信用评估和个人资信状况都不透明，交易双方对彼此都不确定，这极大的阻碍了电子支付的发展。因此，急需建立个人和企业的完善的诚信体系。目前，我国已经建立起了由人民银行负责的个人征信系统，并积极有效的呼吁社会各界进行社会诚信化建设，建立社会信用体系，让诚信深入人心，让诚信、信誉做为电子商务运营的立业之本，以更好的规范电子商务的健康发展，维护电子支付的交易安全，有效的维护网络交易的安全，包装相关消费者的合法权益。

（四）用多样化的电子支付手段。

网上支付已经超出了网上银行用户的比例，除了网上银行是目前国内最重要的网上支付渠道之外，还有其他的支付方式可以帮助用户完成网上购买。而第三方支付企业支付宝2006年11月就推出了“卡通”正说明了这点。第三方支付平台的出现与运营能够良好的规范网络交易中的信息认证工作，能够有效的确认发送者的身份信息，并积极有效的保全信息的完整性、真实性、安全性，它属于第三方的服务中介机构，在网络电子交易的过程中，能够妥善的完成第三方的担保与支付功能，具有极为重要的作用。第三方交易平台的出现，大大的降低了消费者网上购物的安全隐忧，有效的保护了付款人的利益与相关合法权益，对于我国网络电子商务的积极发展具有重要的推动作用，而且在网络经济的不断完善与发展，电子支付方式的应用与发展将会更多的丰富与完善，其支付所涉及的相关领域也会越加宽广，比如与人们生活息息相关的水电费缴纳、话费充值、网上购物支付等等都会大量的涉及网络电子支付，在未来电子支付将会极为普遍的融入进人们的生产与生活中。

五、结束语

伴随着电子货币的快速普及，电子支付已经成为新兴的发展领域。电子商务活动的积极运营，离不开电子支付的安全健康操作与实现，电子支付的顺利实现，离不开社会信用体系的建立与发展，要求建立良好的第三方支付平台，完善电子支付的法律法规制度，引入诚信的支付工具，通过这些安全措施积极有效的建立电子支付的安全交易环境，更好地维护电子商务中各利益主体的安全化操作与交易实现，让电子支付在不断前进的信息时代、网络时代健康快速的发展，走进千家万户。

参考文献：

[1]邵兵家.电子商务概论[M].北京：高等教育出版社，2006.

[2]李美.电子商务网上支付安全问题的探究[J].中国科技博览，2009，（28）.

[3]刘东.浅谈电子商务的安全策略[J].商情，2009，（08）.

第5篇

【关键词】电子支付；网络安全；问题；对策

电子支付的出现，极大的便利了人们的工作与生活，因此依托网络，进行安全的电子支付工作，是当前人们关注的焦点问题。

1电子支付网络安全概述

1.1电子支付概述

电子支付是人们进行电子商务、日常生活消费的一个关键环节，其主要指的是电子交易的当事人，例如：消费者、商家、金融机构，这三者之间，通过网络电子支付的手段，对货币、资金进行的流通，进而实现支付的一种形式[1]。

1.2电子支付带来的网络安全概述

目前电子支付带来的安全隐患，主要包括技术层面、非技术层面两个方面。技术层面的安全隐患主要是：对于具有电子支付功能的计算机系统，进行的静态数据攻击（口令猜测、IP地址的欺骗、制定路由进行信息的发送），以及动态数据攻击（主动对其数据进行攻击、攻击者对于资金信息进行监控，进而被动的信息破坏），如图1所示。非技术层面的安全隐患主要是：网络交易支付款项存在着较多的安全风险，且未及时加强监督管理；基于网络的电子交易缺乏完善的法律体系，进行支付安全的保护

2基于电子支付时代下的网络安全问题以及改进对策分析

目前电子支付下网络安全问题频发，给人们的财产安全带来了隐患，本文以第三电子支付平台-支付宝、微信支付为例，分析了当前形势下的网络支付安全对策。支付宝是我国目前最受欢迎的电子支付形式之一，它可以为资金交易的双方提供代收、代付的中介服务，以及资金交易的第三方担保服务。微信支付，其是基于微信开放平台，发出支付申请的。

2.1密码保护

在现有的支付模式下，无论是支付宝电子支付、微信平台支付，还是其他的借记卡交易方式，都需要用户对其设置密码，保障资金的安全，因此加强用户的密码保护，可有效的规避支付中的安全问题。在电子支付的环境下，用户成功与商家进行资金交易的关键，就是密码的输入，因此可以使用数字签名的方法，进行网络支付。我国的银行机构，目前多使用了RAS算法，进行数字签名保护的。用户可以向银行提出申请，之后银行可以对用户发放一个数字证书，证书中包含着用户的个人信息，其在进行电子支付时，通过证书，可以向银行发送一个签名。比对一致后，银行可以根据客户的要求，进行网络电子支付。支付宝的款项支付也是如此，用户依托网络进行支付宝资金交易时，可以将需要支付的款项，从银行卡支付到第三方平台中去，由其代为保管，之后客户收到商家的货物且满意之后，可以通过支付宝账号，发出支付的指令，将货款支付给商家。微信支付，使用的B2C即时到账的接口，发出支付请求的，其还可以进行线下的POS机支付，即就是微POS。本地的生活服务商家，通过服务端口，输入相应的支付金额之后，就会生成二维码，用户使用微信扫码，即可进入支付页面，之后输入自己的密码，即可进行款项的支付。因此通过这样的数字签名的形式，极大的保证了用户电子支付的安全性.

2.2病毒预防保护

用户在进行网络电子支付时，常会遇到盗窃用户银行网银/支付宝账户/微信支付账户密码的行为。攻击者利用木马病毒，对用户的计算机系统进行攻击，使其能够对用户的访问页面、个人网银登录界面、微信登录界面、输入银行账号/支付宝账号/微信支付账号、输入的支付密码，进行监视，进而通过技术手段，伪造出相应的登录界面，诱骗用户在含有木马病毒的页面进行相应支付信息的输入，之后将其个人信息窃取。针对此种情况，用户需要对计算机系统加强病毒的预防维护。在计算机中可以安装病毒查杀应用软件，及时更新系统。在应用聊天工具时，如果接收到陌生信息或者邮件、网页时，切忌点开，或者是与发送方核对无误后，再进行点击处理。用户尽量不要在公共电脑上，打开个人的支付登录界面，或者是登入，避免公共电脑中病毒，对于用户支付宝/微信支付账户的入侵攻击。针对手机支付宝用户，其在接到陌生支付信息、电话时，要保持警惕，避免登入钓鱼网站，造成个人支付信息的泄露，给资金的使用造成安全隐患。

2.3法律保护

针对第三方交易平台中，存在的诸种资金使用问题，我国虽然采取了一些相应的法律规范条文，但是由于其在具体的使用中，依靠的是用户对于平台的信赖，以及用户与该平台之间的约定，来进行业务处理的，因此在很多方面，用户的个人资金权益，一旦遭遇到信任危机或是其他的问题，用户的个人权益，很难得到法律的保护。第三方平台，对于用户的大量资金代为监管，存在着资金被挪用、资金利息计算等问题，这些问题缺乏相关的法律保护，将会对用户的财产安全造成危害。例如支付宝，其主营业务是用户网络交易资金的代收、代管、代付，用户在使用资金的代管功能时，与该网站达成了以下的协议：用户可以向本平台，支付一定的资金，并且可以委托本平台对其资金进行保管。使用代付功能时，约定：用户可以要求本平台，使用存入的资金，对其交易项目，进行支付，如果是非经法律程序，以及非由于本条款约定事宜的交易，该项支付形式，不可逆转。这些协议，虽然符合当前用户、第三方支付的现状，但是从法律的角度来讲是存在着缺陷的。微信支付中，存在着未按照法律的相关要求，与用户签署相关的协议，也没有对安全验证的有效性，进行规定，其存在着交易金额超额准许的情况。因此针对上述问题，需立法部门及时制定相应的法律规范，对第三方支付平台进行有效的约束。此外，基于我国目前的电子支付形式，还缺乏一套较为完善的安全认证体系。

3结束语

在当今社会，电子支付给人们的工作、生活带来了便利，但是与此同时也带来了网络支付安全问题，因此需要支付平台、银行等各个机构以及用户，对电子支付的安全问题加强关注，及时找出改进对策，加以改进，避免安全问题出现。

参考文献

[1]刘剑.电子支付及其网络安全研究与实现[D].天津工业大学,2005.

第6篇

关键词:电子支付 安全 网络

所谓电子支付,是指从事电子商务交易的当事人,包括消费者、厂商和金融机构,使用安全电子支付手段通过网络进行的货币支付或资金流转。电子支付是电子商务发展的一个关键环节。电子支付的工作环境是基于一个开放的系统平台(即因特网)之中,使用的是最先进的通信手段,用户只要拥有一台上网的PC机,便可足不出户,在很短的时间内完成整个支付过程。

一、电子支付安全问题

从我国当前的电子支付实践来看,由于开展网络银行业务的支付业务时间不长,结合具体国情在中国实施电子商务支付存在的问题主要有以下几点:

(一)社会信用度欠缺,用户对电子支付的安全性信心不足

互联网具有充分开放的特点,网上交易双方互不见面,交易的真实性不易考察和验证,对社会信用有较高要求。我国目前的信用体系发展程度低,经济活动缺乏可靠的信誉基础,社会诚信观念有待加强。另外,企业和个人客户资信资料零散不全,海关、税务等部门与银行信息不能共享,银行对客户的资信情况不能完全了解,也制约了电子商务支付系统的发展。

(二)电子支付产业发展迅速,但市场秩序仍不规范

随着互联网的迅猛发展,网上金融服务在世界范围内部如火如荼地开展了起来。银行纷纷发展自己的网上银行业务,大大小小的第三方支付企业都在为用户提供着各种不同的电子支付服务。电子支付市场呈现一片“繁荣”景象。与以往相比,用户可选择的支付手段和方式丰富了许多。然而,电子支付的巨大市场前景与目前整体产业环境形成较大落差,造成了这一产业方向不明的现状。

(三)网络侵权行为和网络信息恶意被盗行为

时有发生网络侵权行为主要有: (1)互联网服务提供商(ISP Internet ServiceProvider)的侵权行为。(2)互联网内容提供商( ICP InternetContent Provider)的侵权行为。ICP是通过建立网站向广大用户提供信息,如果ICP发现明显的公开宣扬他人隐私的言论,采取放纵的态度任其扩散, ICP构成侵害用户隐私权。(3)由于电子现金可以实现跨国交易,税收和洗钱将成为潜在的问题。网络信息恶意被盗,这个问题直接关系到交易各方的利益。

二、提高电子支付安全性的策略

为推动电子支付的健康发展,提高电子支付的安全性,需要从以下范围构筑防范体系:构建严密的电子支付监管体系,防范系统性风险;构建覆盖全社会范围的信用评估体系,防范道德性风险;完善网络信息安全技术、构建统一的电子支付安全认证平台,防范技术性风险;加强电子支付的立法工作,从根本上规范电子支付产业的市场。

(一)构建严密的电子支付监管体系

由于我国对电子支付提供商监管的缺失,少数第三方电子支付企业在处理电子商务过程中庞大的资金流时,突破经营限制,从事吸收存款等违法活动。构建安全高效的电子支付流程监管体系,可以对电子支付服务提供商进行有效的管理和控制,以防范与电子支付相关的金融风险。

(二)构建覆盖全社会范围的信用评估体系

目前我国还没有一个权威公正的信用体系。为促进电子商务快速健康发展,构建安全高效的电子支付信用评估体系,需要从以下几方面入手:信用评估指标体系的制定与研究、建立支付信用信息系统、落实账户实名制。制定相关统一的第三方支付标准,实现与传统支付清算的对接,采用类似银联的模式,解决用户、商家、银行之间的相互选择问题,提供透明、便利的电子支付服务。

在此之上,继续研究电子支付信用数据交换模型和网络服务方案,结合目前人民银行的征信体系数据,客观、公正、全面地提供电子信用评价服务,完善信用评价指标体系,设计与其他相关系统和部委之间的网络服务平台,设计数据交换模型,制定与其他相关诚信系统互联互通的服务方案。

(三)完善网络信息安全技术

网络安全技术主要从以下几方面来解决电子支付安全性问题: (1)架设防火墙。它是近来发展的最重要的安全技术,它的主要功能是加强网络之间的访问控制,防止外部网络用户以非法手段通过外部网络进入内部网络。(2)数据加密技术。数据加密被认为是最可靠的安全保障形式,它可以从根本上满足信息完整性的要求,是一种主动安全防范策略。数据加密原理是利用一定的加密算法,将明文转换成为无意义的密文,阻止非法用户理解原始数据,从而确保数据的保密性。(3)数字签名技术。数字签名技术是将摘要用发送者的私钥加密,与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。在电子商务安全保密系统中,数字签名技术有着特别重要的地位,在电子商务安全服务中的源鉴别、完整、不可否认服务中都要用到数字签名技术。(4)数字时间戳技术。在电子商务交易的文件中,时间是十分重要的信息,是证明文件有效性的主要内容。在签名时加上一个时间标记,即有数字时间戳数字签名方案:验证签名的人或以确认签名是来自该小组,却不知道是小组中的哪一个人签署的。指定批准人签名的真实性,其他任何人除了得到该指定人或签名者本人的帮助,否则不能验证签名。(5)还可以通过设置电子商务信息安全协议来进行。现有的电子商务交易协议有多种,但是目前常用的只有SSL和SET两种。安全套接层协议(Secure Sockets Layer, SSL),SSL协议向基于TCP/IP的客户、服务器应用程序提供了客户端与服务的鉴别、数据完整性及信息机密性等安全措施。

(四)构建统一的电子支付安全认证平台

为确保电子支付信息的真实性,还需要有相应的电子商务认证机构,为买卖双方提供值得信任的认证服务。为电子支付业务应用提供保障的安全认证技术在我国已经了较好的研究与应用。我国自主研制出入侵容忍PKI系统、PMI权限管理系统、电子证书认证系统、PKI中间件等一批认证产品和支撑系统。这些技术和产品在在人民银行多个主要业务系统中得到应用。CFCA证书及各商业银行的CA证书已经在银行业务领域得到广泛应用。《电子认证服务管理办法》实施近两年来,认证市场主体的合法性得到了规范。但我国认证体制缺少一个全国认可的、最权威的国家级机构。

(五)加强电子支付的立法工作

在电子支付立法方面应该着重从以下几方面进行: (1)对目前电子支付存在的问题的研究,清楚每个问题的症结所在,哪些是引用现行法律可以解决的,哪些是有赖于修改现行法律才能达到对电子支付合理规范的,而哪些又是需要制定新法律才能解决的问题,要有一个清晰的认识。(2)认真学习国外成功的立法,参照国际惯例,努力做到和国际接轨。(3)电子支付法律及监管政策的建设应该充分考虑我国的实际情况,不能脱离我国实际的金融市场现状,我国电子支付立法不能一味照搬别人的一套,而是应该在立法上充分考虑我国目前金融体系建设的情况和速度,不能过于严格,同时又应该体现出一定的前瞻性。

参考文献:

第7篇

[关键词] 电子商务 第三方支付 安全性

在电子商务中，网上交易的支付问题的安全性问题越来越突出，为确保顾客在购买东西的时候不会钱财两空，一种新的支付方式――第三方支付出现了，第三方支付平台的出现解决了电子商务的瓶颈――网上支付信用与安全问题,充当商家与消费者之间的信用纽带,作为交易各方与银行的接口,消除消费者对商家的疑虑，提供方便快捷简易的支付方式,在很大程度上推动了电子商务的发展。

那么，第三方支付具体指的是什么呢？所谓第三方支付，是指为了保障电子商务的支付安全，支付通过买卖双方之间完全中立的一家企业来完成。用E-mail来进行网上支付；打个电话报上信用卡号就能预订机票；用手机上网交水费电费游戏费……在中国人还没有完全适应从纸制货币进化到“塑胶货币”（信用卡）的今天，网络银行、手机钱包等第三方支付工具已经迫不及待地登场了。

近日，有媒体报道，有网民利用三方支付工具从信用卡套现。就此，该文进而对第三方支付的安全性问题提出质疑，认为电子支付有可能被金融犯罪分子所利用，充当其洗钱的工具。且不管该文提到的套现现象是否属于依然在可控范围内的小概率事件，也不提所谓的套现行为是否缘于第三方支付的安全漏洞，单就所谓洗钱的担心而论，可以说，该文是严重低估了央行以及各商业银行的风险控制能力，也大大低估了各大第三方支付公司的风险把控能力。

实际情况是，早在1996年4月1日，中国人民银行就颁布并实施了《信用卡业务管理办法》，其中明确规定，持卡人不允许利用信用卡套取现金以及恶意透支。对于信用卡套现这个问题，不光招商银行等商业银行关注有加，第三方支付公司支付宝、贝宝等亦是小心翼翼，如履薄冰，先后出台了多项严格的风险控制系统，协助银行解决问题。

在如何对待信用卡套现的问题上，国内领先的第三方支付平台如PAYPAL(贝宝)、支付宝、快钱等目前都采用了多种安全措施。

例如，PAYPAL(贝宝)在防止盗号、提供密码加密以及减少信用卡套现等方面，已经配合银行做了大量工作;快钱除了从技术手段上防范盗卡之外，还在安全方面加设了用户的认证系统等六道功能，试图将安全隐患压低到最小程度。

作为国内最大的第三方支付平台，支付宝的做法就更为完备。早在2006年7月，支付宝就推出“支付宝认证”服务，对所有使用支付宝的卖家进行双重身份认证，即身份证认证和银行卡认证。除了与公安部全国公民身份证号码查询服务中心合作校验身份证的真伪，支付宝还与各大商业银行进行合作，利用银行账户实名制信息来校验用户填写的姓名和银行账户号码是否准确，摒弃了某些购物网站仅凭一个手机号码或者身份证号码进行简单认证的模式。支付宝公司还在国内率先推出了“全额赔付”制度和交易安全基金，网络欺诈发生率仅为万分之二。

为了保证支付宝的安全性，支付宝技术团队还自发研制了数字证书，其安全性能得到各银行认同。相对于目前国内所有第三方认证公司采用的认证形式，支付宝的数字证书从技术上摆脱了普通6位密码验证，改以1024位加密的数字签名技术，因而更为安全。而数字密码的惟一性，也更有助于客户身份的识别。

央行的《电子支付指引》规定，银行通过互联网为个人客户办理电子支付业务，除采用数字证书、电子签名等安全认证方式外，单笔金额不应超过1000元人民币，每日累计金额不应超过5000元人民币，并规定信用卡的网上支付不得超过提现额度。国内目前没有一家银行和任何一家网上支付公司允许网上“单日支付额度由信用卡额度决定”。在这方面，支付宝也早已主动和和很多发卡银行联手，针对套现现象做了信用卡网上支付单笔限额的规定，例如，招商银行的信用卡支付限制的是单笔最高限额499元。为了保证支付宝的安全性，支付宝还有CTU风险控制系统来随时扫描和监控交易的进行，防范可能存在的盗卡及套现行为。

实际上，从2006年5月开始，支付宝就已委托中国工商银行对支付宝公司开立在各家银行的客户交易保证金账户的余额进行核查，工行并定期出具《支付宝客户交易保证金托管报告》。这是中国银行界第一次为第三方支付平台做资金托管的审核报告，也是当前唯一银行愿意托管的第三方支付平台。2006年12月8日，从工行对11月1日～11月30日期间所有发生的支付宝公司的客户提现及余额支付进行的抽查情况看，支付宝存放在各家银行的客户交易保证金余额总和等于支付宝客户存放在贵公司的资金余额与待处理款、未达款余额之和，报告期间内未发现支付宝客户交易保证金被挪用情况。

值得一提的是，截至目前工行、农行都已经开始把以支付宝为主的阿里巴巴中小企业信用体系作为他们给中小企业贷款的一个衡量指标;而浦东发展银行等也看到了里面的巨大商机纷纷加入。

第8篇

关键词：电子商务；网上支付；安全

中图分类号：F224.33　文献标识码：A　文章编号：1672-3198(2009)02-0265-02

互联网在国内的发展已经有十多年的历史了，利用互联网进行商务交易活动――电子商务也有了十多年的历史。毋庸置疑，电子商务作为一种新型网上在线贸易方式不仅使企业与消费者摆脱了传统的商业中介的束缚，降低了生产与销售成本，进一步缩短了生产厂家与最终用户之间的距离，改变了市场的结构；而且还大大节省了企业的营销费用，提高了企业的营销效率；为企业提供了巨大的潜在顾客群，给企业带来了无限的发展机会。

一个典型的电子商务交易由三个阶段组成，分别是信息搜寻阶段、订货和支付阶段以及物流配送阶段。其中的第二阶段就涉及到网上支付问题，即如何利用互联网以安全快捷的方式实现交易双方的资金划拨，以确保电子商务交易的顺利进行。从三个阶段来看网上支付是最关键的，因为网上支付一旦完成物流的配送就是顺理成章的事情，也就意味着完整网上交易的完成。而网上支付若不进行，网上交易也不能最终完成。由此可见，网上支付是电子商务最核心、最关键的环节，是交易双方实现各自交易目的的重要一步，也是电子商务得以进行的基础条件。

1　网上支付现状及现有支付工具的特点

网上支付采用先进的技术通过数字流转来完成信息传输，其各种支付方式都是采用数字化的方式进行的，工作环境基于开放的因特网，使用的是最先进的通信手段，具有方便、快捷、高效、经济的优势。

目前我国网上支付发展迅猛，从上图艾瑞资讯的统计中可看出08Q2网上支付交易额规模575亿元，同比增速超过了170％。环比增速超过了20％。

目前的网上支付工具主要有：

(1)银行卡在线转帐支付：是目前我国应用非常普遍的电子支付模式，付款人可使用申请了在线转帐功能的银行卡转移小额资金到收款人银行账户中。

它具有以下基本特点：一是可以接受此电子支付方式的商家投入成本较低；二是能够受理银行卡的商店全世界范围内相当多，用户不受地域的限制。

(2)电子现金：是以数据形式存在的现金货币。它把现金数值转化为一系列的加密序列数，来表示现实中各种金额的币值。但目前我国使用的不多。

它的特点一是具有现实现金特点，可以存、取、转让，适用于小额支付；二是电子现金银行在发放电子货币时使用了数字签名，商家接受到电子现金后将其传输给电子现金银行，由电子现金银行通过对数字签名的验证来确定此电子货币是否有效；三是电子现金的支付是匿名消费。

(3)电子支票：是以一种纸质支票的电子替代品而存在的，用来吸引不想使用现金而宁可使用信用方式的个人和公司。它的运用使银行信用弥补了商业信用的不足，在我国尚是空白。

其特点一是与传统支票的操作有很多相似之处，易于理解和运用；二是通过简单加密工具就可以保证其安全性；三是电子支票技术可连接公众网络金融机构和银行票据交换网络，可以通过公众网络连接现有金融付款体系。

(4)第三方支付：是具备一定实力和信誉保障的独立机构，采用与各大银行签约的方式，提供与银行支付结算系统接口的交易支持平台的网络支付模式。大致可分为两类：一是以首信为代表的网关型第三方支付平台。这类平台为网上交易提供了一致的支付界面，统一的手续费用标准，结算较为便利。但此模式下，消费者并不是其客户，网站商家和银行才是它的客户，消费者最终还是要使用各网上银行进行付款。

二是以支付宝为代表的信用担保型第三方支付平台。此种形式的第三方支付过程是买家在网上把钱付给支付宝公司，支付宝收到货款之后通知卖家发货，买家收到货物之后再通知支付宝，支付宝这时才把钱转到卖家的账户上。在整个交易过程中，如果出现欺诈行为，平台提供方将进行赔付。这种第三方代收款制度，不仅保证了资金的安全转让，还可担任货物的信用中介，从而约束交易双方行为，在一定程度上增加了网民对网上购物的可信度，大大减少了网络交易欺诈。

2　网上支付存在的安全问题分析

要想保证在网上进行交易的安全性，首先要确保网上交易的载体――计算机网络的安全以及用户机终端的安全。有了计算机网络才有了电子商务交易，如果计算机网络不安全，可想而知我们在网上的交易肯定不安全。计算机网络安全的内容包括：计算机网络设备的安全、网络系统安全、数据库安全等。同时用户机终端的安全也会影响网上交易的顺利进行，如客户机上操作系统的漏洞、被植入木马、用户的不良使用习惯等。

上述两种安全问题不仅仅只存在于电子商务交易中，即使用户不使用计算机网络进行交易，而是进行普通的上网活动，也会受到这两种安全问题的威胁。由于非交易型的上网活动没有与金钱直接挂钩，用户如果碰到了这两种安全问题，受到的损失相对来说会小一些。

网上支付的安全除了上述两种安全问题外，还包括将传统的买卖交易搬到网上以后失去的一些在传统交易中不用考虑的安全性，包括以下几个方面：

(1)身份真实性。也称商务对象的认证性，传统的商务交易因为双方可以在见面后通过观察而不用担心身份的真实性，但网上交易的双方相隔甚远，互不了解，支付方不知道商家到底是谁，商家不能清晰确定银行卡等网络支付工具是否真实，以及由谁来支付和资金如何入账等。这就让一些不法商家或个人利用网络贸易的非面对面的特点进行欺诈活动有了可趁之机，所以需要为参与交易的各方提供可靠标识，使他们能正确识别对方并能互相证明身份。

(2)信息的完整性。网上交易简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一的问题。数据输入时的意外差错或欺诈行为，可能会导致交易各方信息的差异。另外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致交易各方信息的不同。假如有不法分子对支付的数据(如支付金额)进行修改而发生多支付或少支付的问题，那么势必给交易双方添加不少麻烦。

(3)不可否认性，也称不可抵赖性。在传统的商务交易中，双方可通过书面文件上的手写签名或印章来预防抵赖行为的发生，但在网上则是不可能的。因此就有可能出现这样的情况，当交易一方发现交易行为对自己不利时，可能会否认电子交易行为，这必然会损害另一方的利益。

(4)数据保密性。有关交易的各种信息，如付款人和收款人的标识、交易的内容和数量等，这些信息只能让交易的

参与者知道，有时甚至要求只让参与方的部分人知道。因此网上支付就涉及到数据保密性的问题了。

3　解决网上支付安全问题的对策

3.1　技术方面的对策

(1)数据加密。

数据加密被认为是电子商务最基本的安全保障形式，可以从根本上满足信息完整性的要求，它是通过一定的加密算法，利用密钥(Secret keys)来对敏感信息进行加密，然后把加密好的数据和密钥通过安全方式发送给接收者，接收者可利用同样的算法和传递过来的密钥对数据进行解密，从而获取敏感信息并保证网络数据的机密性。

(2)数字签名。

数字签名是公开密钥加密技术的另一类应用。它的主要方式是：报文的发送方从报文文本中生成一个散列值(或报文摘要)，发送方用自己的私钥对这个散列值进行加密来形成发送方的数据签名。然后，这个数据签名将作为报文的附件和报文一起发送给报文的接收方。报文的接收方首先从接收到的原始报文中计算出散列值(或报文摘要)，接着再用发送方的公钥来对报文附加的数字签名进行解密。如果两个散列值相同，那么接收方就能确认该数字签名是发送方的。通过数字签名能够实现对原始报文完整性的鉴别和不可抵赖性。

(3)安全协议。

在国际上，比较有代表性的电子支付安全协议有SSL和SET。

SSL(安全槽层)协议是由Netscape公司研究制定的安全协议。通俗地说，SSL就是客户和商家在通信之前，在Internet上建立了一个“秘密传输信息的信道”，来保障传输信息的机密性、完整性和认证性。该协议向基于TCP／IP的客户／服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施。该协议在应用程序进行数据交换前通过交换SSL初始握手信息来实现有关安全特性的审查。SSL协议运行的基点是商家对客户信息保密的承诺。客户的信息首先传到商家，商家阅读后再传到银行。这样，客户资料的安全性便受到威胁。另外，整个过程只有商家对客户的认证，缺少客户对商家的认证。在电子商务的初始阶段，由于参加电子商务的公司大都信誉较好，这个问题没有引起人们的足够重视。今后随着越来越多的公司参与电子商务，对商家的认证问题也就越来越突出，SSL的缺点就会逐渐暴露出来，SSL协议也就逐渐被新的SET协议所代替。

SET(安全电子交易规范)向基于信用卡进行电子化交易的应用提供了实现安全措施的规则。它是由Visa国际组织和Mastercard组织共同制定的一个能保证通过开放网络(包括Internet)进行安全资金支付的技术标准。SET在保留对客户信用卡认证的前提下，又增加了对商家身份的认证。由于设计较为合理，得到了诸如微软公司、IBM公司、Netscape公司等大公司的支持，已成为实际上的工业技术标准。

3.2　法制方面的对策

(1)加强社会信用机制建设。法律为保障网上支付必须推动社会信用制度的建立。发达的商业社会对社会包括个人的信用有着很高的要求，并通过一系列公开透明的制度来维护和保障信用制度体系。我国目前在对信用概念内涵的理解、信用信息公开的方式和程度、信用服务企业的市场发展程度，以及对失信者的惩戒制度方面都还十分落后，甚至存在空白。应当承认我国还属于非诚信国家，信用制度还很不健全。我们应当着手网上支付信用机制的建设，建立个人社会信用体系，及时收集和反馈用户信息并做出相应解决方案，促进用户建立网络信用。

(2)加强对网上银行和第三方支付机构等相关组织的监管。加强电子商务行业的监管，规范市场主体行为。首先要加强对网络银行的监管：网上银行不同于传统银行，应该制定新的准入条件，加强对客户开户的监管，落实责任审查客户资料等信息，明确网上银行业务终止条件、清算办法等，制定电子货币退出机制，规范电子货币市场；其次要加强对第三方支付机构的监管，要让第三方支付机构受银监会监督，第三方无权动用客户资金，必须确保资金安全和支付的效率。

3.3　管理方面的对策

在管理方面，由于网上支付涉及到许多部门和机构，容易造成混乱的局面。通常来说，电子商务的网上支付系统是融购物流程、支付工具、安全技术、认证体系、信用体系以及现在有的金融体系为一体的综合大系统。因此，统一而先进的管理和规范就显得尤为重要。例如，各家银行应该尽快制定统一的互联网支付标准以及尽快为互联网用户提供统一的接口。

另外还要建立一个在系统操作过程中的完善的管理制度。支付的过程尽管是在计算机和网络上自动进行的，但总离不开人的介入。从世界范围内的经验可以知道，银行系统资金不安全或者各类诈骗活动的发生，不是技术不安全造成的，而是制度上的缺陷所出现的。因此严格的管理制度建设就非常重要。

第9篇

摘 要 随着信息化水平和互联网技术的飞速发展，网上电子支付服务已成为引领电子商务的主流趋势，虽然相关法律政策的出台和实施，进一步规范了我国电子支付各种交易行为，强化了人们对于电子支付的安全信任度，但是电子支付的安全问题仍然是抑制电子商务发展的瓶颈所在。本文针对电子支付的网络安全问题进行了详细、深入分析，并提出了加强电子支付安全性的具体对策。

关键词 电子支付；网络安全问题；解决对策

中图分类号TP39 文献标识码A 文章编号 1674-6708（2012）70-0186-02

0 引言

电子支付主要指进行网络化商务交易的双方当事人，通过快捷、安全的支付手段实施的货币支付行为。基于电子支付具有节省时间、操作方便以及成本低等基本优点，是目前电子商务普遍采用的一种方式。

随着我国电子支付产业的进一步发展，电子支付的安全问题已成为制约我国电子商务发展的关键问题。

当前我国仍有许多网络用户对于电子支付方式存在心理层面上的担忧，据最新数据调查显示，我国网络用户对于电子支付安全性存在极大担忧的比例已超过30%，显然如何加强电子支付的安全管理，已成为我国电子商务领域亟待于解决的重大课题。

1 电子支付存在的网络安全问题

1.1 网络用户对于电子支付安全性缺失足够信任度

据社会调查显示，约为23.5%的企业和26. 34%的个人一致认为诚信问题是电子商务最让人担忧的问题，诚信已成为发展电子商务备受关注的焦点问题。基于互联网交易具有开放性、广泛性的特点，交易双方不需见面，交易真实性缺乏实际的验证，因而对于社会信用度具有更高的要求。

由于我国目前电子商务信用体系仍不健全，使电子支付活动缺失可信赖的信誉基础，社会诚信度有待于进一步加强。另外，企业和个人各种数据信息资料不完备，海关和税务等部门不能和银行信息资源共享，银行对于客户信息资料不能完全掌握，也影响了电子支付系统的顺利开展。

据网上支付研究报告显示，约有80.5%的网络用户表示将会继续使用电子支付业务，仅为5%的网络用户明确表示不继续使用，大概有14.5%的网络用户不太确定，在抵触使用电子支付的网络用户中，约为70%以上的用户是过分担忧资金交易的安全问题。

1.2 电子支付市场秩序不够规范化

随着电子支付的高速发展，市场秩序的不规范抑制了电子商务的健康、有序发展，导致电子支付产业出现目标不明确的现状。

目前我国仍没有相关法律法规明确规定电子支付权利和义务的内容，同时尚未制定关于保护网络消费权益保护的具体规则，对于网上银行的运营仍没有专门法律加以规范和约束。尤其对于客户信息资料的安全保护方面，目前仍没有先进的技术措施和成熟的经验。

比如，第三方支付企业关于法律方面的定性问题；第三方支付企业不具备提供电子支付服务的资质问题；银行和第三方支付企业对于电子支付过程采取哪种风险防范措施；在电子支付行为过程中发生纠纷时责任的举证以及确定问题等。

此外，我国电子商务信息跟踪、检测等各种法律法规尚未建立，通过网络进行合同签订、资金交易服务等电子商务行为中存在诸多尚待完善之处。

1.3 电子支付市场网盗事件难以避免

经过理论和实践证明，电子支付技术维护能很大程度上确保电子支付的网络安全，网上支付安全性问题主要从两方面来追溯，主要是指信息被窃取和追溯根源方面的可能性。

从信息被窃取的角度考虑，无论哪一种电子支付安全保护措施，都是经过反复推敲和论证，并得到完全证实才得以采纳，电子支付的数据传输信息，利用当前的维护技术是无法破解的。

从信息可追溯性角度考虑，网上交易所留下的信息痕迹较现实交易要多，主要是每次网络交易都会在各层面被系统记录，因而埋下了重大的安全隐患。

无庸置疑，进行电子支付必然存在诸多不安全隐患，各种不安全问题的产生并不源自电子支付技术维护方面，而源自于非网络方面。基于网络交易的开放性和广泛性，为各种计算机病毒和木马程序等对于网络银行系统的攻击提供了可能，尤其是很多网络用户缺失安全防范意识和安全保护知识，进一步加大了风险发生的可能性。

2 解决电子支付安全问题的基本对策

2.1 增强电子支付的社会诚信度

1）严格限定电子商务准入体制。一般来讲，进行各种经营活动的赢利性企业必须具备营业执照，但电子商务目前却缺乏这方面的严格控制，很多经营商家并不具备营业执照，难以为消费者提供可靠的信誉保证，产品质量也缺乏足够保障，因此，应加快通过立法的步伐，严格电子商务的准入体制；

2）建立和健全电子商务信用评价机制。据现实调查显示，71.1%的企业和64.2%的个人用户进行网络交易时定会关注卖方的信用评价指数，这就完全证实提高电子商务诚信度的一个重要方式就是增强企业自身的信用度，因此，应建立和健全公正、严格的电子商务信用评价机制。

2.2 逐步整顿和规范电子支付市场环境

我国电子商务得以顺利发展很大程度上有赖于一个健康、有序的电子支付市场环境。有效确保电子支付的资金交易安全则是备受电子商务领域关注的重点问题，支付清算作为电子支付事务中的重要环节。

近些年来，人们逐渐将支付清算作为关键要素突出加强以促进网络金融交易的顺利发展。一方面除了银行要加强安全维护工作外，另一方面第三方支付平台也应把加强安全维护工作作为重点来抓。

同时，政府应强化电子商务市场环境的规范化管理。并尽快贯彻和落实《支付清算组织管理办法》和《电子支付指引》的相关政策，逐步促进电子支付市场的规范化发展，不断规范支付清算行为，以增强清算效率和防范金融风险，确保为电子商务的健康发展奠定基础。

第10篇

【关键词】WS-Security 电子商务 安全支付系统

就目前的电子商务发展状况来看，发展机遇与挑战并存，尽管有效提升了商务交易的便捷性，但是其安全隐患日渐突显[1]。为此，本文将WS-Security规范应用于电子商务支付交易过程中，再结合以XML技术建立了电子商务安全支付系统，进一步提高了敏感信息的安全性和灵活性，现将研究内容论述如下。

一、电子商务安全支付系统的风险评估

近年来，物流行业正不断调整传统的配送方式，同时，随着计算机技术和互联网技术的不断发展与应用，电子商务方式逐渐发挥其积极的商务交易作用，近年来出现了动态电子商务交易模式，但是在电子商务集成模式建立后其安全问题也逐渐增多，网络交易的安全隐患日渐突出，其中尤以电子商务支付隐患和问题较多[2]。例如，很多大型百货公司常常会采用Keberos系统，这类公司的财务业务管理多需要采用PKI方法。这种方法形成于Web服务方式，其电子财务管理方案主要由会计核算处理、财务报表、利税计算等内容构成。由于财务业务有时需要外包，所以百货公司和外包公司建立的集成模式往往会增加系统的安全风险。具体的风险主要表现在以下几方面[3]：第一，财务服务系统可能会遭到非法用户使用或进入。由于公司的电子商务密钥基础设施不够完善，所以系统常常没有特殊的访问限定标准，最终致使财务系统受到侵入。作为一种财务交易过程，必须建立安全的信息系统，只有经过严格的身份审查和核定后才可以登录或访问财务系统。第二，相关支付信息或数据遭到修改、破坏或窃取。电子商务在\行过程中常常因为相关管理和运营系统的安全性较差导致相关支付信息遭到修改、窃取等问题，这样就会造成买家的信息泄露，造成不必要的纠纷，最终引发电子商务运营过程的混乱。

二、WS-Security规范概述

WS-Security 规范就是指Web Service Security规范，它建立基础为XML的安全性元数据容器，该规范自身不存在新的安全协议，它强调的是在原有的安全规范和标准基础上构建新的安全规范，主要是一个可以扩展的框架，从而将消息摘要、数字签名以及数据加密等安全性机制内容嵌入SOAP消息中[4]。在该规范基础上扩展形成的Web Service中也不仅仅是传统的XML文本消息，而是由SOAP传输的XML文件。而XMLheader中被用来作为密钥加密的数字证书也实现了数字签名，进行数字签名的主要为传输的XML Body内容[5]。这样就保证了客户方面送来的信息经由接收端接收后可以依照客户用户解密对其实施验证，这种过程便于提升信息来源的完整性、准确性以及保密性。就此，本文描述了一个Soap Envelop例子经由WS-Security规范的解释后，使用的XML安全组件。其安全体系结构图如图1所示。

在这一结构中，XML Encryption所表示的内容为整个支付系统由XML文件表示主体之间传递的消息，其XML元素级加密不是对整体的信息进行加密，而是仅仅对部分信息中的内容进行加密，只对传输消息的一部分内容进行加密。这种加密过程加密的是不同的敏感信息，主要利用的是不同接收对象的公用交换密钥，而敏感信息来源于XML信息。而同一条消息，不同的接收实体仅仅可以获取自身的元素信息，对其他实体的敏感信息不能够进行查看。此外，构架图中提示的XML Signature则可以为电子商务进行不可否认和确认性的服务，它可以对XML文档进行签名，同时也可以对其进行签名验证。接下来的XKMS是指一种密钥管理规范，能够发挥相似于PKI的密钥管理功能。此外，XACML和SAML是一种信任体系，能够迁移，具有控制XML资源操作能力，其中，前者可以对使用一项资源发出的使用请求进行决定与允许工作，决定其是否可以使用单个文件，或者是否可以使用整个文件。而后者的则可以移植信任。最后，SOAP协议上可提供XML信息传输服务。

三、WS-Security基础上的电子商务安全支付系统分析

WS-Security规范属于一种SOAP扩展，是在Web服务基础上建立起来的安全服务规范，这种规范常常被设计于多种安全模型中，应用与电子商务安全支付系统中可以集成多种安全技术，这些技术以往不能进行相互操作，但是基于这种安全服务规范就可以建立一种安全的Web服务方法[6]。它为支付过程提供了三种重要作用，完整消息、加密信息、传送安全性令牌[7]。而这些机制自身是难以实现完整的安全性解决方案的。这种规范相当于一个构件，能够联合使用应用层协议、多种Web Service协议、加密技术等，可以保障Web服务的完整性和机密性。而在WS-Security规范下建立的电子支付系统如图2所示。

上述系统中主要包含用户和消费者两个客户端，一个商家企业服务器，一个网络认证中心，一个金融网络，加上电子支付工具和支付网关等。在电子商务整个交易过程中具体的步骤如下[8]：第一，由消费者于企业网站上进行货物选购，然后填写购物订单，这时系统会将订单创建日期添加在货物订单上。第二，由消费者自主选择在线支付形式，期间细致输入和填写相关支付信息。第三，CA认证中心同企业服务器、消费者以及支付网关建立相互对应的安全通道，该通道进行了加密，然后由CA认证中心进行有效认证。第四，由消费者使用私有的密钥对企业公用交换密钥进行解密，然后通过这种密钥加密交换方式获取自身所需的传输消息，对其中涉及到货物订购信息进行获取，随后，使用支付网关的公用交换密钥对消息中涉及到的支付信息部分进行加密处理。第五，由消费者联系部分加密的XML消息和XML消息标准模式XMLSchema，将其连接在一起，使用WS-Security算法，建立出信息摘要，该摘要需要识别本次传送的消息，然后建立数字签名，该数字签名由私用签字密钥形成，之后将其集成于SOAP模型中的消息头中。第六，在企业防火墙和客户机之间建立一种连接，然后由此获取防火墙连接与时间戳服务，同时将时间标记于请求信息的头部。第七，利用SSL连接将时间戳服务客户请求信息传递于审核服务，然后在消息头中中加入信息的审查结果。第八，经由企业服务器从邮戳服务中获取消费者请求消息，然后利用公用签字密钥对XML消息摘要和Schema的数字签名进行解密。第九，消费者在计算XML消息的消息摘要和Schema时需采取单向算法，而业服务器将选用相同的方法，然后将接收到的消息摘要彼此进行比较。第十，如果两个摘要的比较结果一致，则需要由企业解密出消费者的订购信息，主要方法为利用自己的私用交换密钥，对其订购数据进行确认，之后由企业生成支付请求信息，回到步骤五中，运用该步骤中的方法产生该支付请求信息消息摘要的签名，并将其附加于消息头上。除了上述这些步骤之外，还需要进行几下步骤：一是企业传送信息给支付网关，获取信息后利用企业运用的检验方法，然后用支付网关对客户的支付信息进行解密，同时解密企业的支付请求信息。二是核实客户身份，此外，采用CA信用认证方法对账户信息和支付信息进行认证，由支付网关向企业返回确认信息。三是消费者发卡行将相应的交易金额从客户账号转出到中介行。四是企业继而向客户返回响应信息，同时向配送服务发出运货信息，配送服务向企业、支付网关发出货物成功递送的确认信息及其摘要的数字签名，同时支付网关也将同一份确认信息和自己对该信息摘要的签名转发给消费者。五是客户确认，中介行则将暂存的交易金额转送到企业的收单行，否则，将交易金额转回发卡行，结束交易。上述即为WS-Security规范下的电子商务安全支付方法，其中的XML安全组件包含元素级加密服务和XML数字签名服务，可以实现交易的不可否认性，也可以实现消息层的安全性与灵活性。

四、总结

综上所述，电子商务交易过程具有一定的安全隐患，其交易风险始终存在，近年来其安全隐患日渐突出，对此，文中讨论了WS-Security规范，并结合以XML技术建立了电子商务安全支付系统，提升了支付信息的加密性以及交易过程的安全性，并实现了交易过程的不可否认性。而就本次研究而言，研究内容仍然不够全面，今后笔者将继续进行深入的研究与分析，争取建立更加严谨的交易系统模型，进一步提升电子商务交易过程的安全性以及灵活性。

参考文献

[1]郭悦红，齐莉丽.基于WS-Security的电子商务安全支付系统[J].微电子学与计算机，2010，27（3）：151-153.

[2]徐烨，曾浩.基于WS-Security的SOA安全协议框架设计[J].合肥工业大学学报自然科学版，2011，34（4）：506-508.

[3]He Y，Jiang J.E-commerce security payment system research and implementation[C]// Computer Science and Information Technology （ICCSIT），2010 3rd IEEE International Conference on.IEEE，2010：559-562.

[4]李莹莹，金志超，阮彤等.基于GMF的WS-Security安全策略配置工具研究与实现[J].计算机应用与软件，2012，29（2）：101-104.

[5]潘雨相.基于PKI技术的电子商务安全支付系统设计[J].现代电子技术，2014（12）：93-95.

[6]林素标.基于WS-Security的业务接口安全实现[J].中国新通信，2015（8）：125-126.

[7]吕玉珠.基于SSL协议的电子商务支付系统的实现及安全性研究[J].煤炭技术，2011，30（9）：119-121.

第11篇

    随着互联网的不断发展,电子商务正在越来越多地受到人们的青睐,而在为人们带来无限商机的同时,也使世界各地面临着一个共同的障碍——电子商务网络支付的安全问题。

    为了提高网上交易的安全,便出现了CA认证中心。CA虽然不直接参加买卖双方的交易,但由于它是买卖双方共同信任的机构,在交易中起着不可替代的作用,成为整个电子商务中最为关键的组成部分。

    一、CA认证的概念

    CA是Certificate Authority的缩写,是证书授权的意思,是负责签发认证、签发、管理证书的机关,是合法的、中立的、权威的、公正的第三方电子认证中心。它所承担的角色类似于网络上的“公安局”,给个人、企事业单位和政府机构签发数字证书——网上身份证,用来确认电子商务活动中各自的身份,并通过加/解密方法来实现网上安全的信息交换与安全交易。

    二、CA认证技术的作用

    在传统商务活动中,交易双方可以现场确认对方身份,由于有交易开具的发票和客户支付的资金证明,无须担心发生纠纷。但网上交易,买卖双方无法现场确认对方的合法身份,一旦发生纠纷,必须要能够提供仲裁凭证,CA 认证就起着重要的作用。

    (一)验证交易双方身份的真实性

    电子商务不是面对面的交易,交易对象的真实性很难辨析,因而验证交易双方身份的真实性显得尤为重要。而借助于CA认证中心的口令、公开密钥和电子签名技术,经过一种能支持多种国际标准协议的证书服务系统认证后,取得的个人客户端数字证书和服务器数字证书是交易用户在互联网上的电子身份证,它能有效鉴别特定用户的登记情况、资信情况和经营情况,从而建立起交易当事人相互间的信任。

    (二)维护交易数据的保密性

    防止非法用户进入系统及合法用户对系统资源的非法使用。而借助CA认证机构签发的数字认证证书,运用包含哈希函数加密法、私人密钥加密法、公开密钥加密法及数字信封技术等在内的一系列技术手段,对一些敏感的数据文件进行加密,使加密数据在发送过程中不会被第三方窃取,即便被他人获取文件,内容也无法得到破译,从而保证传递的交换数据的安全性。

    (三)保证交易信息的完整性

    防止在交易结束后,交易当事人出于某种目的而否认自己所做过的交易,从而给对方造成损失。信息的完整性辨析通过CA认证散列函数(Hash函数)的电子签名技术和数字证书技术即可以实现。由于CA机构所签发的数字证书只被证书上所标识的当事人唯一拥有,故利用其数字证书在传送前对交易信息进行电子签名,即能证明交易信息是最初信息发送人发送的,发送者无法否认发送过该交易信息或进行过该项交易活动。

    三、CA认证技术在电子商务安全支付中的应用

    CA认证中心为建立身份认证过程的权威性框架奠定了基础,保证了信息的完整性、真实性和不可抵赖性。

    (一)CA认证技术保证网络安全支付

    证书认证中心(CA中心)是公正的第三方,是保证电子商务安全的关键,CA中心对含有公钥的证书进行数字签名,使证书无法伪造,每个用户可以获得CA中心的公开密钥(CA根证书),验证任何一张数字证书的数字签名,从而确定证书是否是CA中心签发。

    1、身份认证技术

    目前在 Internet上主要使用基于公共密钥的安全策略进行身份认证。具体而言,使用符合X.509的身份证明,必须有一个第三方的证明授权(CA)中心为客户签发身份证明,客户和服务器各自从CA获取证明。

    在实际的应用中,发送方先用自己的私钥对信息进行加密,再发给对方。接收方接收到信息后,利用发送方的公开密钥进行解密,如能还原出明文来,就可证明接收到的信息是经过发送方签名了的。接收者和第三者不能伪造签名的文件,因为只有发送方才知道自己的私钥,这就符合签名的惟一性、不可仿冒、不可否认三大特征和要求。

    2、信息加密

    只有身份认证技术是不够的,如果其他人通过一些方式获得了发送方发送的密文,他也可以利用发送方的公钥进行解密,从而得到发送方的信息,这样就不能保证信息的安全性和完整性了。因此,我们还需要利用CA认证技术来实现信息的加密过程。

    发送方在发送文件时,首先要用接收方的公钥对信息进行加密,生成加密文件,然后用自己的私  钥进行数字签名,再将密文发送给接收方。接收方接受到密文后,先用发送方的公钥对数字签名进行解密,验证对方身份,得到加密文件,再用自己的私钥对加密文件进行解密,得到原文件。 (二)利用CA认证技术解决网络安全支付问题的流程 目前,电子商务系统的安全体系结构主要是通过构建认证中心(CA)证书的信任过程来实现的

    。

    在电子商务应用中主要有以下五个交易参与方:买家、服务商、供货商、银行和认证中心(CA)。电子商务的交易流程主要有以下三个阶段:

    第一阶段:注册申请认证中心(CA)证书。交易各方获取各自的数字安全证书。

    第二阶段:银行的支付中心对买家的数字安全证书进行验证后,将买家的所付款冻结在银行中。买卖双方相互通过数字安全证书的验证后,履行交易内容进行发货。

    第三阶段:银行验证服务商和供货商的数字安全证书后,将买家冻结在银行中的货款转到服务商和供货商的户头上,完成了此项电子交易。

    具体的实施步骤如图3-1所示。

    四、CA认证技术的发展趋势

    中国的CA认证体系的建设应以政府部门的名义建立国家级根CA,再通过桥CA链接金融CA,省级CA,和行业核心CA;再由这些核心CA链接各个子CA认证系统。在这种架构下,统一制定各级CA的管理标准,允许民间资本介入,组建行业协会,建立现代企业制度,完善行业内的准入制度及市场竞争体系等一系列措施。根据推断,中国的CA认证中心主要应有以下几种发展趋势。   (一)国际化趋势

    随着电子商务的深入发展,中国经济与世界经济的联系将越来越紧密,为满足电子商务的国际化需求,必然要求国内的CA中心与国际性的CA公司接轨。在证书结构、申请流程、认证方式、使用流程上都应该提出全球性的统一标准,方便各国之间进行交叉认证以及使用证书。

    (二)商业化趋势

    网络并不是一个可信的交易环境,人与人之间不能建立信任,同样政府也不能出面证明,所以CA认证既不同于管理,也不同于法律,而更接近于一种契约,显然这种契约形式的关系更适应于商业化运作。而且可以预计,目前具有浓厚政府色彩的CA中心也将逐步从政府中剥离出来,采取商业化运作。

    (三)集中化趋势

    现在已经建设的多个CA中心几乎都有明显的局部特征和探索性质,规模较小而且简单重复,难以满足社会化服务的要求。由于CA中心自身的权威性,必然需要运作规范,技术、资金实力雄厚,并能适应国际化趋势的大型CA中心来为社会服务。在行业,地区以及第三方独立运营的几个方面的CA认证中心,在未来的发展过程中,应该是不断地进行横向或竖向地合并,实现集中化管理。

    (四)综合化趋势

    随着各行各业信息化的发展,在人们周边的各种生活用品都会被信息化所覆盖。以后的CA认证完全可以做到电子身份证里。人们只要带上自己的电子身份证,就可以随时随地地享受电子商务带来的便捷。另外,电子借书证,电子社会保障卡都完全可以统一起来,以CA认证为基础,使人们真正生活在一个信息化的高效社会里。

    五、结束语

    CA认证技术是网络安全支付的关键,随着CA认证技术的不断发展,数字证书之间的信任模型、使用的加/解密算法、密钥管理的方案等也在不断的变化。网络,特别是Internet网络的安全应用己经离不开CA认证技术的支持。中国作为一个网络发展大国,发展自己的CA认证技术是很有必要而且是非常迫切的。因此,研究和开发我国自主的、完整的CA认证系统,以支持政府、银行和企业安全地使用信息资源和国家信息基础设施已是刻不容缓。

    参考文献:

    [1]杨坚争.电子商务基础与应用.第4版.西安:西安电子科技大学出版社,2004.

    [2]夏露.电子商务与CA认证.黑龙江社会科学,2004年,第6期.

第12篇

[关键词] 电子商务 档案服务 知识产权

电子商务在英文中主要有两个词与之对应;EB(electronicbusiness)、EC(electronic commerce)。EC又称狭义的电子商务(亦称电子交易)，在世界贸易组织(WTO)及其成员国讨论电子商务的政策性文件中就使用EC。EB又称广义的电子商务(亦称电子业务或电子商业)，由IBM公司于1997年第一次正式使用，是许多IT 企业和学者支持的观点。联合国经济合作和发展组织(OECD)认为：电子商务是信息的电子交换，从而支持和管理商务活动，包含企业间、企业和消费者间的商业交易。

电子商务档案提供利用服务的过程中，部分内容会涉及到知识产权保护方面的法律规定。知识产权是一种无形的财产权，它是指智力创造性劳动取得的成果，是由智力劳动者对其成果依法享有的一种权利。这种权利包括人身权利和财产权利。档案是社会组织或个人在社会实践活动中产生的，具有保存价值和利用价值的原始数据、信息和知识的记录。档案从其材料的形成到档案的形成，整个过程中都凝结着形成者和管理者的辛勤劳动与智慧结晶。因此，档案当然也是知识产权。

下面，从电子商务与知识产权保护的内在联系，档案利用服务中的知识产权保护两个方面进行系统分析。

一、电子商务与知识产权保护的内在联系

电子商务与知识产权存在着内在的、密不可分的联系，这已成为一个不争的事实，主要体现在以下几个方面：

1.电子商务的核心问题是“数据信息”，知识产权法律制度是保护信息的一种法律工具。电子商务的核心是“数据信息“，在构成电子商务的四种“流”中，“信息流"是最基本的、必不可少的。

2.知识产权产品已成为电子商务中的一种主要交易对象。随着知识经济的临近，已经出现了知识产业，即以人才和知识等智力资源为第一要素配置的产业，就是通常所讲的高科技产业和版权产业，也可通称为知识产权产业。

3.电子商务为知识产权的获得提供了一种新的途径。在电子商务的影响下，一种新的获得知识产权的途径――电子申请也已问世。

二、电子商务档案服务中的知识产权保护

档案机构利用数字技术和网络技术对电子商务档案进行处理和传递时，可能使原本在知识产权法规之下比较平衡的知识权益关系受到冲击。因此，在电子商务档案服务中，注重知识产权保护是一个不容忽视的问题。

1.数字化。所谓数字化是指把各类信息，包括数字、文字、声音、图形、图像等输入计算机系统转换成二进制数字编码的技术。1995年9月，美国在《知识产权与国家信息基础设施》中明确规定：“作品的数字化属于复制行为。”我国的《关于制作数字化制品的著作权规定》第二条明确界定：将已有作品制成数字化制品，不论已有作品以何种形式表现和固定，都属于《中华人民共和国著作权法》所称的复制行为。

2.数据库。世界贸易组织、世界知识产权组织和伯尔尼公约都把数据库作为汇编作品予以保护，亦未明确赋予数据库独立的法律地位，而是将其作为版权法意义上的作品进行保护。欧盟《数据库指令》对数据库给予了明确的界定：“数据库是指以系统或有序的方法编排的、并可通过电子或其他方式单独访问的独立作品、数据或其他材料的集合。”

3.网络化。现如今，网络宽带建设风起云涌，分发存储发展迅猛，网络技术不断进步，网络瓶颈节节打通，使得网上信息飞速增长，人们可以通过网络实时地传递、交换和共享各种信息。档案部门当然也不能落后，有了数字化和数据库的强有力基础，数字化后的档案信息完全可以通过网络来进行传播，从而达到档案信息资源全方位地共建共享。

三、档案服务升级的措施构想

在电子商务氛围下，传统的档案信息服务模式，已不适应现代信息技术的发展，电子商务档案服务质量还有待提高。

1.健全法规体系。从档案利用方面来看，目前的利用服务工作主要是根据《档案法》和《档案法实施办法》来指导具体工作，但对档案利用服务中的权利和义务关系，以及与知识产权法律的关系处理，缺乏具有可操作的规定。

从知识产权方面看，首先，我国的立法和国外的立法有差距，甚至有矛盾，因此会造成混淆，遇到问题不知道到底用哪个标准，因此要同国际接轨，实现标准一致。其次，知识产权法中有关档案利用方面的规定有待细化，对一些诸如档案复制权等问题的忽略，会导致档案工作的知识产权保护无法可依。

第13篇

[关键词] 电子商务 移动支付 安全认证 WPKI

电子商务环境下的移动支付是指单位或个人通过移动设备，直接或间接向银行业金融机构发出支付指令，实现货币支付与资金转移的行为移动支付所使用的移动设备可以是手机、PDA、移动PC等。从移动支付的实质上讲，移动支付就是将移动网络与金融系统结合，把移动网络作为实现移动支付的工具和手段，为用户提供货币支付、缴费等金融服务的业务。移动支付通常有以下几种实现方式:(1)短信（SMS）支付，终端用户通过发送短消息的形式请求服务内容，从用户的话费中扣除费用，通常只适合于小额支付。(2)WAP（Wireless Application Protocol），终端用户通过访问WAP站点，进行简单的金融业务。（3）USSD(Unstructured Supplementary Service Data，非结构化补充数据业务)，是一种基于GSM网络的新型交互式数据业务，如证券交易、移动银行业务。（4)NFC（(Near Field Communication），是一种短距离的无线连接技术，支付和票务业务是应用最早的NFC业务。

一、移动支付中的安全问题

在整个移动支付的过程中涉及到的支付参与者包括：消费用户、商户用户、移动运营商、第三方服务提供商、银行。消费用户和商户用户是系统的服务对象，移动运营商提供网络支持，银行方提供银行相关服务，第三方服务提供商提供支付平台服务，通过各方的结合以实现业务。移动支付需要考虑以下安全问题：（1)移动终端接入支付平台的安全，包括用户注册时，签约信息的安全传递，以及用户通过移动终端登录系统，其间传递的数据如签约用户名、签约密码等的安全性。(2)支付平台内部数据传输的安全，即支付平台内部各模块之间数据传输的安全性。(3)支付平台数据存储的安全，涉及到签约用户的机密性的银行卡账户、密码、签约用户名、签约密码等的安全性。

二、移动支付的安全认证技术

当前，移动设备的大量普及为移动支付的实现提供了必要的条件，但也存在许多问题制约着移动支付的实施，如移动终端的计算环境和通信环境都非常有限，这就需要对相应的安全认证做一些特殊要求。

1.WPKI 安全标准概况

WPKI (Wireless PKI）是有线PKI的一种扩展，它将互联网电子商务中PKI的安全机制引入到移动电子商务中。WPKI采用公钥基础设施、证书管理策略、软件和硬件等技术，有效地建立了安全和值得信赖的无线网络通信环境。WPKI以WAP的安全机制为基础，通过管理实体间关系、密钥和证书来增强电子商务安全。WAP安全机制包括WIM（WAP Identity Module，无线应用协议识别模块）、WMLSCrypt（WML Script Crypto API，WML脚本加密接口）、WTLS（Wireless Transport Layer Security，无线传输安全层）和WPKI四个部分。以上各部分对实现无线网络应用的安全分别起着不同的作用。WPKI作为安全基础设施平台，一切基于身份验证的应用都需要WPKI技术的支持，它可与WTLS、TCP/IP相结合，实现身份认证、私钥签名等功能。WPKI的主要组件包括：终端实体应用程序（EE）、PKI门户（PKI Portal)、认证中心（CA）、目录服务(PKI Directory)、WAP网关，在应用模型中还涉及数据提供服务器等设备，WPKI的基本结构和数据流向如图所示。

在WPKI中，代替RA（Registration Authority）的功能组件是PKI 门户（PKI Portal ），它是一个网络服务器，负责把WAP客户的需求转发给PKI中的RA和CA（Certification Authority）。CA主要负责生成证书、颁发证书和刷新证书等。WAP Gateway负责处理客户与源服务器之间的协议转换工作。WTLS 是经传统网络的TLS协议改进和优化而得来的，主要保证传输层的安全，WPKI也是对IETF PKIX标准的优化，使之更适合无线环境。

2.WPKI的加密算法和密钥

WPKI是通过管理实体间关系、密钥和证书来增强电子商务安全的，与WAP安全标准相比，WPKI所采用的ECC（Elliptic Curve Cryptography，椭圆曲线密码）密码系统更适合在无线设备中使用。同样强度的密钥，ECC的密钥长度（163bit）只是其他方案的六分之一(1024bit），但163bit的密钥长度对穷举密钥攻击几乎是绝对安全的，因为穷举163bit的密钥个数有1.156×1049个，按每秒钟测试1亿个密钥计算，也要3.6×1032年！

三、 结论

支付手段的电子化和移动化已经成为了不可避免的发展趋势，而移动支付系统的安全性问题又是移动电子商务安全的核心问题。从技术角度上看，需要将无线通信的安全与其他的安全机制相结合才能满足移动电子商务安全的需要。

参考文献：

第14篇

关键词：身份认证；信息加密；CA认证；安全支付

中图分类号：F713 文献标识码：A

文章编号：1005-5312（2012）26-0269-02

随着互联网的不断发展，电子商务正在越来越多地受到人们的青睐，而在为人们带来无限商机的同时，也使世界各地面临着一个共同的障碍——电子商务网络支付的安全问题。

为了提高网上交易的安全，便出现了CA认证中心。CA虽然不直接参加买卖双方的交易，但由于它是买卖双方共同信任的机构，在交易中起着不可替代的作用，成为整个电子商务中最为关键的组成部分。

一、CA认证的概念

CA是Certificate Authority的缩写，是证书授权的意思，是负责签发认证、签发、管理证书的机关，是合法的、中立的、权威的、公正的第三方电子认证中心。它所承担的角色类似于网络上的“公安局”，给个人、企事业单位和政府机构签发数字证书——网上身份证，用来确认电子商务活动中各自的身份，并通过加/解密方法来实现网上安全的信息交换与安全交易。

二、CA认证技术的作用

在传统商务活动中，交易双方可以现场确认对方身份，由于有交易开具的发票和客户支付的资金证明，无须担心发生纠纷。但网上交易，买卖双方无法现场确认对方的合法身份，一旦发生纠纷，必须要能够提供仲裁凭证，CA 认证就起着重要的作用。

（一）验证交易双方身份的真实性

电子商务不是面对面的交易，交易对象的真实性很难辨析，因而验证交易双方身份的真实性显得尤为重要。而借助于CA认证中心的口令、公开密钥和电子签名技术，经过一种能支持多种国际标准协议的证书服务系统认证后，取得的个人客户端数字证书和服务器数字证书是交易用户在互联网上的电子身份证，它能有效鉴别特定用户的登记情况、资信情况和经营情况，从而建立起交易当事人相互间的信任。

（二）维护交易数据的保密性

防止非法用户进入系统及合法用户对系统资源的非法使用。而借助CA认证机构签发的数字认证证书，运用包含哈希函数加密法、私人密钥加密法、公开密钥加密法及数字信封技术等在内的一系列技术手段，对一些敏感的数据文件进行加密，使加密数据在发送过程中不会被第三方窃取，即便被他人获取文件，内容也无法得到破译，从而保证传递的交换数据的安全性。

（三）保证交易信息的完整性

防止在交易结束后，交易当事人出于某种目的而否认自己所做过的交易，从而给对方造成损失。信息的完整性辨析通过CA认证散列函数（Hash函数）的电子签名技术和数字证书技术即可以实现。由于CA机构所签发的数字证书只被证书上所标识的当事人唯一拥有，故利用其数字证书在传送前对交易信息进行电子签名，即能证明交易信息是最初信息发送人发送的，发送者无法否认发送过该交易信息或进行过该项交易活动。

三、CA认证技术在电子商务安全支付中的应用

CA认证中心为建立身份认证过程的权威性框架奠定了基础，保证了信息的完整性、真实性和不可抵赖性。

（一）CA认证技术保证网络安全支付

证书认证中心(CA中心)是公正的第三方，是保证电子商务安全的关键，CA中心对含有公钥的证书进行数字签名，使证书无法伪造，每个用户可以获得CA中心的公开密钥(CA根证书)，验证任何一张数字证书的数字签名，从而确定证书是否是CA中心签发。

1、身份认证技术

目前在 Internet上主要使用基于公共密钥的安全策略进行身份认证。具体而言，使用符合X.509的身份证明，必须有一个第三方的证明授权(CA)中心为客户签发身份证明，客户和服务器各自从CA获取证明。

在实际的应用中，发送方先用自己的私钥对信息进行加密，再发给对方。接收方接收到信息后，利用发送方的公开密钥进行解密，如能还原出明文来，就可证明接收到的信息是经过发送方签名了的。接收者和第三者不能伪造签名的文件，因为只有发送方才知道自己的私钥，这就符合签名的惟一性、不可仿冒、不可否认三大特征和要求。

2、信息加密

只有身份认证技术是不够的，如果其他人通过一些方式获得了发送方发送的密文，他也可以利用发送方的公钥进行解密，从而得到发送方的信息，这样就不能保证信息的安全性和完整性了。因此，我们还需要利用CA认证技术来实现信息的加密过程。

发送方在发送文件时，首先要用接收方的公钥对信息进行加密，生成加密文件，然后用自己的私钥进行数字签名，再将密文发送给接收方。接收方接受到密文后，先用发送方的公钥对数字签名进行解密，验证对方身份，得到加密文件，再用自己的私钥对加密文件进行解密，得到原文件。

（二）利用CA认证技术解决网络安全支付问题的流程

目前，电子商务系统的安全体系结构主要是通过构建认证中心（CA）证书的信任过程来实现的。

在电子商务应用中主要有以下五个交易参与方：买家、服务商、供货商、银行和认证中心（CA）。电子商务的交易流程主要有以下三个阶段：

第一阶段：注册申请认证中心（CA）证书。交易各方获取各自的数字安全证书。

第二阶段：银行的支付中心对买家的数字安全证书进行验证后，将买家的所付款冻结在银行中。买卖双方相互通过数字安全证书的验证后，履行交易内容进行发货。

第三阶段：银行验证服务商和供货商的数字安全证书后，将买家冻结在银行中的货款转到服务商和供货商的户头上，完成了此项电子交易。

具体的实施步骤如图3-1所示。

第15篇

[关键词] 电子支付 电子商务 产业链 对接

随着电子商务的普及和发展，我们逐步认识到开展电子商务有三个重要环节：商情沟通、电子支付和商品配送。显然，电子支付是三者中最为重要的环节，从技术上看，它涉及到用户与银行等金融部门的交互和接口；从交易上看，它连接着支付方、收款方、银行以及电子支付服务商等众多电子商务主体。如何在Internet上进行安全的电子支付，是保证整个电子商务产业链深度对接的最为重要的环节。

一、电子支付的含义

所谓电子支付是指单位、个人（以下简称客户）通过电子终端，直接或间接向银行业金融机构（以下简称银行）发出支付指令，实现货币支付与资金转移。

从广义上说，电子支付就是资金或与资金有关的信息通过网络进行交换的行为，在普通的电子商务中就表现为消费者、商家、企业、中间机构和银行等通过Internet网络所进行的资金流转，主要通过信用卡、电子支票、数字现金、智能卡等方式来实现的。

二、电子支付目前存在的主要问题

从涉足电子支付的时间上看，我国与其他国家的差距并不大。但是从规模和发展速度上，我们国家还远远落后于其他国家，发展相当缓慢。从用户的角度看，对电子商务还存在较大的恐慌，而这种恐慌也主要集中在对电子支付安全性的忧虑。另外，那些真正参与电子商务的用户，采用电子支付的比例也还是比较低的，这对电子商务的发展以及电子支付的普及构成一种阻碍。电子商务以及电子支付尚没有大范围的开展起来，与目前电子支付中存在的问题是分不开的。

1.电子支付领域的立法相当的匮乏。从目前来看，法律层面上，只有一个确立电子签名与手写签名同样的法律效力《电子签名法》，在规章层面上，为配合《电子签名法》的实施，规范电子认证机构服务，信产部出台了《电子认证服务管理办法》。另外，最近中国人民银行的《电子支付指引（征求意见稿）》虽然可以说是直接针对电子支付出台的规定，但是，一方面，尚处于征集意见阶段，另一方面，它的法律约束力或适用范围还有待明确。除此之外，中国电子商务领域尤其电子支付上的立法还有很大面积的空白地带。

2.电子支付增值服务商法律地位不明确，门槛有待细化和提高。电子支付，由银行为主的电子支付服务商以及第三方电子支付平台商为主的电子支付增值服务商组成。由于电子支付涉及到资金安全以及用户信息安全的问题，只有经过专门授权的银行机构才能从事电子支付服务。但由于相关立法还比较滞后，目前并没有规范的管理标准，现在电子支付增值服务商的法律地位确实不明确，它似乎是银行的人，又是银行的客户，身份比较混乱，在安全与注册资金方面没有明确规定。

3.传统消费习惯有待改变。目前，制约电子商务发展的最大瓶颈是电子支付，而制约电子支付普及的则是消费者对电子支付安全性的误解以及旧有的消费习惯。电子支付打破了传统中的一手交钱一手交物，并且多出一个虚拟银行，虚拟空间，这种虚拟性让很多人适应不过来。其实电子支付的安全性很高，银行支付网关完全能够保证密码和用户信息的安全。到目前为止，大量的账号、密码丢失都是用户自己不够谨慎，比如在网吧等公众场合使用电子支付或在使用时被人偷看到，等等。

三、通过安全的电子支付完成电子商务产业链的深度对接

电子商务是以互联网为平台，通过商业信息、业务流程、物流系统和支付结算体系的整合构成的新的商业运作模式，是商情沟通、资金支付和商品配送三个环节的有机统一。其中，安全的电子支付能够打破传统的资金流交换模式，使货币由有形流动变为无形信用信息在网上流通，对保证电子商务的最终实现起着不可忽视的作用。摸索出适合国情的、确保买卖方之间信用行为的电子支付平台新技术、新手段和新模式将是打通各个环节，实现电子商务产业链深度对接的关键，也是电子商务得以顺利发展的基础条件。没有适时的电子支付手段相配合，电子商务就成了真正意义上的“虚拟商务”,只能是电子商情、电子合同，而无法网上成交。针对目前电子支付的现状，我们注重以下几个方面的建设：

1.以战略性眼光确定技术标准，努力与国际标准接轨。在电子商务交易规模逐年高速攀升、电子商务应用呼声持续高涨的形势之下，国际化的电子支付统一标准建设亟待加强。各银行和其他金融机构应积极参与，并加强和国际金融业的广泛合作，推动网上银行结算体系的规范化、国际化。

2.完善电子支付法律环境。“网上支付到底安全不安全”、“现有的法律能否保护网上支付一系列的环节和各方的利益”，关于电子支付法律环境建设的问题一直为众人所关注。应当及早立法，确定网上银行的资格认定，规定网上交易的权利和义务，并严厉打击黑客犯罪行为，将网上电子支付纳入到一个安全的、可预测的法律框架之内。

3.建立健全信用体系。在我国，支付安全技术已日趋成熟，而支付服务之所以发展相对缓慢，关键在于支付信用问题。相关各方应携起手来，加强自律，依法经营，不断创新，提高行业信誉，改进服务质量，共同营造公平、规范的市场环境，将持续改善支付服务的方式与质量、安全运行、谨慎运营、客户至上作为基本原则。同时为了确保用户和商户资金的安全，维护电子支付交易参与者的合法权益，防范支付风险由政府牵头，各商业银行，中介机构和社会各界积极参与和响应，借鉴发达国家经验，建立一套适合我国国情的信用体系。

四、结论

电子商务作为全球经济发展的最终趋势，已成为当今世界贸易活动的基本形态。目前，国内电子支付的市场规模正以100%的速度在成长。随着电子支付平台新技术、新模式的运用和推广，和国家对诚信环境建设与引导，中国这个巨大的互联网和通信市场将会改写未来的电子商务格局。

参考文献：

[1]章舜仲:电子支付用户端安全问题探讨[J].计算机与现代化, 2005,(6)

[2]张劲松:中国金融电子支付系统安全风险评估问题研究[J]. 特区经济, 2005,(6)