引领产业发展 护航支付应用——访支付宝安全技术部首席架构师虚恬

本刊记者 杨 晨

引领产业发展 护航支付应用
——访支付宝安全技术部首席架构师虚恬

本刊记者 杨 晨

虚恬：支付宝安全技术部首席架构师，负责安全产品的整体技术架构，之前曾在美国贝宝与VISA等公司任职，从事安全相关的工作。

从2014年第二季度开始,阿里生态系统中最重要的一环——支付宝荣登全球最大的移动支付厂商宝座,据当年的统计数据,支付宝的日均支付量已过百亿元,这一数字相当于中国日均零售总额的六分之一。支付宝在中国电子支付领域乃至商业体系中的地位可见一斑。

支付宝主要提供支付及理财服务。包括网购担保交易、网络支付、转账、信用卡还款、手机充值、水电煤缴费、个人理财等多个领域。在进入移动支付领域后,为零售百货、电影院线、连锁商超和出租车等多个行业提供服务,此外,它还推出了余额宝等理财服务,在全国活跃用户已经超过3亿人。

作为我国支付产业的领头羊,其优势和特点是什么,下一步将如何开展自己的产业链布局,在当前网络风险重重的态势下,包括支付宝在内的电子支付企业将会面临怎样的安全挑战,又该如何保证支付应用的安全,带着这些关注点,本刊记者日前走访了支付宝安全技术部首席架构师虚恬。

支付宝取得如今的“江湖地位”实属不易,在长期激烈的市场竞争中,支付宝形成自身的产业特色和竞争优势。对此,虚恬深有感触:首先,支付宝有丰富的应用场景,包括最初的淘宝,天猫购物支付,各类外部电子商户,包括水电煤等的生活付费,以及目前正在蓬勃发展的线下移动支付。丰富的应用场景,极大地提高了支付宝的账户体系活跃度及用户的粘性。其次,支付宝经过10年多的积累及技术创新,其低成本,高可用的云支付技术体系已日趋成熟。最后,支付宝的成功离不开业务创新,通过推出包括快捷支付,余额宝等的产品,极大地提高了用户的支付体验及用户粘性。

目前,中国活跃的第三方支付平台,几乎全部是国内企业,这充分说明自主电子支付解决方案在与国外同类产品竞争的过程中处于明显的优势。对于这些优势,虚恬进行了这样的总结,首先,国内电子支付企业已经形成生态圈,具有先发优势。例如在线上,以支付宝为代表的第三方支付机构有百万级的商户,亿级的用户,在线下,银联已成为全球发卡量最多的卡组织,不仅在国内日益普及,并且已经走出国门,可在许多国家和地区消费及取款。其次,国内电子支付企业也有很大的本地优势,包括推广渠道、价格及服务,这些都是国外同类产品所望尘莫及的。

他还谈到,支付行业未来的发展主要有二个方向,一个是线上和线下的融合,另一个是互联网支付正在向互联网金融变迁,利用支付积累的客户及相关的大数据,提供互联网模式的各类金融服务。

针对这两个方向,支付宝制定了三大战略:一是从云支付走向云金融,通过大数据与云计算技术,建立金融云服务,通过平台化战略,帮助金融机构提升效率,降低成本,快速推出创新金融业务。二是从线上走向线下,建立O2O生态体系。三是坚持国际化战略,建立全球资金网络,商户网络及会员体系。

“我认为,中国电子支付产业需要建立一个资金渠道、账户体系及支付通道并存,且彼此之间既竞争又合作的产业生态环境,在此基础上,推动移动支付发展,逐步替代现金支付。同时,安全的支付环境是整个产业链体系的生命线,支付机构与金融机构需要紧密合作,共享情报、安全数据与安全技术。”虚恬说。

包括支付宝在内,目前第三方支付企业面临的网络信息安全风险巨大,已经成为影响产业发展的最大障碍之一。根据多年对支付安全治理经验,虚恬认为,目前对电子支付企业影响甚深的主要有以下两大安全风险:一是账户、卡号、用户身份等信息的泄露,二是从PC支付到移动支付转移带来的各种网络安全风险挑战。在移动支付时代,网银支付移动端不能再沿用传统的u盾保护手段。同时,智能手机应用场景中,由于短信、木马等的风险,原先许多支付安全依赖的短信校验安全系数也正在下降。恶意应用,恶意 wifi热点及支付应用自身的安全漏洞等对移动支付的安全带来了严峻挑战。

他认为,未来,在这两大类风险面前,电子支付安全解决方案之间的竞争即体验的竞争,即用户群的争夺。谁能带给用户更好的使用体验与安全感,谁才能脱颖而出。为此,支付宝安全也积极转型,逐步从后台走向前台,力求通过数据与智能方式,带给用户全新的智慧安全体验。

作为最大的第三方支付企业,在保证安全方面有何独门秘籍?对此,虚恬谈到,支付宝有一个基于大数据安全防控体系保护用户的账户及资金。我们通过对海量数据分析,建立复杂的风险模型与防控策略,对用户的每个账户资金操作进行实时风险识别。同时我们通过引入指纹及人脸等生物特征识别认证方式,提高用户的操作体验及安全感,极大地提高了账户被盗的门槛和攻击成本,有效降低了用户的风险系数。此外,支付宝还从遵循官方的安全规范出发,推出了安全控件、短信校验服务、数字证书、第三方证书、支付盾、宝令、宝令手机版、安全保护问题、安全策略、手机安全设置等安全服务,在实际应用中为支付用户护航。