2018移动支付安全：电子商务平台安全问题核心

2654459

　　支付过程是整个电子商务活动中极其重要的一个环节，是双方实现商业交易的根本目的，是电子商务平台建设中精确性、安全性和便捷性要求最高的业务过程。电子商务交易中的移动支付，是指用户利用智能手机、平板电脑等移动终端，借助短信、蓝牙、红外线、无线射频技术(RFID)等非接触式移动支付手段，允许移动通信用户使用其移动终端对所消费的商品或服务进行远距离账务支付的一种服务方式。支付行为的移动化让传统电子商务移动构建起移动电子商务体系。相对于传统的电子商务而言，移动电子商务可以真正实现任何用户在任何时间、任何地点得到整个网络的商业信息和服务。
　　移动电子商务因其灵活、简单和方便等优势，成为电子商务的发展方向。随着移动终端、智能软件和无线网络的发展，人人都会成为移动电子商务的用户和移动支付的主体。目前，我国移动电子商务正处在快速兴起阶段，在行业整体蓬勃发展的同时，许多方面还存在问题，其中最核心的问题就是移动支付的安全问题。信用体制不完善扰乱了市场交易秩序，增加了市场交易成本，降低了市场交易效率，将对整个市场经济的健康发展产生严重的负面影响。通俗地讲，如果一个消费行为会给用户的财产造成威胁，那么不管它有多少优点，都很难被人们接受;如果交易安全问题不能解决，整个移动电子商务行业的发展势必停滞在瓶颈期，难以持续发展。
　　1、移动支付的安全需求
　　1.1交易主体身份认证的明确性
　　身份认证和授权意在保证只有拥有权限的用户才能访问相应的数据、系统，使用相应的功能。每一个用户都应被授予一个唯一的用户ID对其身份进行标识，以确保用户身份的可识别性和可追溯性。真实世界中的身份认证一般有基于信息秘密的、基于信任物体的和基于生物特征的认证方法。网络世界中的认证手段与真实世界一致，为了达到更高的身份认证安全性，某些情形会使用双重认证和多重认证。认证信息确保这一标识代表的是合法用户，具有授权权限，确定信息的收发双方的真实身份，防止身份被伪造。
　　1.2交易过程中信息的完整性
　　数据在传输和存储过程中应保证数据不被泄露、修改和删除，防止黑客入侵后以伪造信息替代正常信息。加密技术和安全信道技术可以用来防止数据泄露，信息分类和校验等手段可以用来防止信息被非法修改或删除。在数据传输过程中，设备和线路有时会发生故障，因此，系统需要具备一定的容错能力，以此保证系统不会发生长时间停滞，同时要保证系统更新时对原有软硬件的兼容能力。除此之外，系统还应能识别所接受信息的状态，判断是否受到重传攻击。
　　1.3交易双方利益的保障性
　　抗抵赖性是保障移动电子商务交易双方的利益的主要表现。交易抵赖是指交易双方中的一方在达成交易协议后单方面放弃交易或是在交易发生后否认其参与交易。保障性需求要求通过一系列制度方法和技术方法，控制在移动电子商务交易时交易发生抵赖，同时，在交易抵赖已经发生后确保有解决办法。防止交易抵赖的主要方式之一――数字签名技术可以证明交易双方在交易过程中的所有指令和活动。在任何一方发生抵赖行为时，另一方可以将数字签名作为证据，通过法律手段维护自己的利益。
　　2、移动支付的安全问题
　　2.1无线网络自身的安全问题
　　移动电子商务依托的数据传输是无线网络，数据的传输信道是一个开放性信道。相对于有线网络而言，无线网络传输的数据更容易被拦截和破解，黑客只需要利用适当的接收设备就能进行无线监听。移动支付现有的身份验证方式大多是通过给手机发送短信验证码或者使用动态密码令牌。一旦通信被窃听，用户的账号、密码和手机号码等数据就可能被窃取，黑客即可通过劫持金融机构向用户发出的验证指令到自己手机上非法进行资金转移。
　　2.2软件病毒造成的安全威胁
　　目前，国内外对智能手机平台上的安全问题研究并不成熟，而手机病毒无论是数量还是种类都增长迅速，其破坏力和影响力也与日俱增，给当前的智能手机持有者带来越来越多的困扰。病毒可以利用图片、文字和音频等的下载，电子邮件和短信的发送、二维码的扫描等方式传播。病毒运行往往会造成用户系统及软件运行异常(停止运行、关闭和崩溃等)、终端硬件运转异常，进而导致数据泄露和恶意吸费等问题。
　　针对电子商务的软件病毒主要将目标锁定在移动支付上。据腾讯手机管家安全专家统计，支付类病毒的特征含有静默联网的占61.09%，其次是默默删除短信的占37.30%，默默发送短信的占30.10%，读短信的占19.74%。另外还有包含子包、静默安装、默默卸载等特征的病毒。手机支付病毒能够窃取支付宝、网银、微信支付的账号和密码，直接给移动支付用户造成财产损失。近年来二维码扫描流行，一些用户缺乏使用网络的安全意识和警惕性，随意扫描二维码。有些二维码隐藏病毒，被扫描后会让终端立即中毒或留下潜在的威胁，一旦时机成熟，不法分子就会发起攻击，进入用户的终端系统。
　　2.3移动终端的安全问题
　　移动终端因其被个人随身携带，所以容易出现终端的丢失和被窃。因为移动支付的前提一般是终端与银行卡、信用卡绑定或手机SIM卡与POS机靠近链接，所以移动终端的丢失会对用户的财产安全造成较大的威胁。如果用户信息泄露，不法分子还可能冒充商家对用户进行诈骗。
　　移动终端自带操作系统存在的漏洞也为移动支付带来安全隐患。2013年，360互联网安全中心针对目前较受欢迎的9大品牌、18种典型型号的安卓智能手机进行了漏洞研究，研究的结果是android手机操作系统的漏洞平均有20个，最少的有3个漏洞，最多的有40个。移动智能终端操作系统作为一类软件，不可避免地存在大量已知或未知的系统安全漏洞，攻击者可利用这些安全漏洞对终端用户发起远程攻击，如破坏用户终端功能、恶意吸费、窃取终端信息等，甚至可以将用户终端组成僵尸网络攻击移动互联网。
　　2.4运营管理机制和操作中的漏洞
　　移动电子商务发展的迅速态势和美好前景让许多人看到商机，互联网上因此集中涌现出众多移动电子商务平台。而平台运营商的经营能力和管理机制良莠不齐，用户很难甄别这些平台的真伪和优劣。如果运营商对商务平台的经营经验不足，或者在平台的开发过程中缺少一定的技术安全思考和控制经验，或者平台的运营管理机制不健全，那么，交易的安全风险就难以控制。其次，电子商务工作人员的素质和职业道德也影响移动支付的安全程度。工作人员如果缺乏职业道德，泄露、贩卖用户的个人信息和平台的交易信息就是对移动电子商务交易安全的一种威胁。