网络支付安全策略的浅层分析

惠好学（西安文理学院,710065）



网络支付安全策略的浅层分析

惠好学
（西安文理学院,710065）

摘要：在信息化与工业化融合的过程中，电子商务的蓬勃发展，使它已成为整个经济活动中一个不可或缺的构成。但是，与之而来的，电子商务安全问题愈加突出。电子商务的安全问题，已成为制约其蓬勃发展的瓶颈。

关键词：网络支付;安全隐患;安全策略

1　网络支付的安全现状

基于Internet的电子商务，由于因特网的开放和互联，加上没有一个专用组织来管理控制它，在通信协议上就有不完善的地方，从而导致支付层面出现这样那样的安全问题。其面临的主要安全隐患有以下五个方面：

1)支付帐号和密码等隐私支付信息在网络传输中被窃取或盗用；

2)支付金额被更改；

3)无法有效验证交易方的身份；

4)对支付行为或支付的信息进行抵赖、修改和否认；

5)网络支付系统突然中断瘫痪或故意被攻击而使网络支付被故意延迟。

2　网络交易的安全需求

针对网络交易过程面临的安全隐患及其风险源的分析，为保证支付流程的安全、可靠，结合电子商务系统的安全，网络支付的安全需求可以归结为以下几个方面：

1)保证网络上资金流数据的保密性；

2)保证网络上资金流不被随意篡改，即网络支付信息的完整性；

3)保证网络上资金结算双方身份的认证；

4)保证网络上有关资金支付结算行为发生的不可抵赖性；

5)保证网络支付系统的稳定可靠、快捷，做好数据备份及灾难恢复功能，并保证一定的支付结算速度。

3　网络支付的安全策略

所谓电子商务的安全策略，是一个组织机构在从事电子商务事务中关于安全方面的纲要性条例，它以书面形式明确描述所需保护的对象、保护职责的分配等。网络支付的安全策略是整个电子商务安全策略最重要的一个子集。

制定网络支付安全策略的目的是为了保障支付结算信息的机密性、完整性、认证性、不可否认性、不可拒绝性和访问控制不被破坏；能够有序的、方便地鉴别和测试网络支付系统的安全状态；能够对网络支付的风险做出基本的评估；制定措施，用于网络支付系统的安全被破坏后的恢复工作。

一个完整的网络交易安全体系至少应包括三类措施，并且三者缺一不可。一是技术方面的措施，如防火墙技术、网络防毒、信息加密、身份认证、授权等；二是管理方面的措施，包括教育的安全制度、交易安全的实时监控、改变安全策略的能力、现有安全系统的漏洞自查等；三是社会的政策和法律保护。只有从这三方面入手，才可能真正实现电子商务的安全运行。

4　保证网络支付安全的解决方法

为满足商务各方网络支付的安全需求，以及遵循制定的安全策略与安全机制的内容，目前可以考虑以下的解决方法：

4.1防火墙技术

防火墙是一种由计算机软件和硬件构成的隔离系统设备，在安全的企业局域网和大众的不安全的国际互联网之间构筑一道防护屏障，能按预先设置的条件对进出信息进行区分监控，实现内外有别。

防火墙的目的只是加强网络安全性，其应用也只是许多安全防护手段之一。防火墙虽然具有可以抵制来自不安全网络如互联网各种线路的攻击，提高集中安全性；借助网络服务选择，保护网络中脆弱的易受攻击的服务；可以方便监视整个网络的安全性，且反应及时，具有报警提醒服务；增强内部网中资源的保密性，强化私有权等等优点，但并不能完全、绝对的保证企业内部网的安全，所以仍然存在许多缺项和不足。譬如：限制了一些有用的网络服务的使用，降低了网络性能；无法防护来自内部网络用户的攻击；不能完全防止传送感染病毒的文件，特别是一些数据驱动型的攻击数据；被动防守，不能防备新的网络安全问题等等。

4.2身份认证技术

1)口令认证

用户身份认证的最简单方法就是通过输入口令判断用户身份的合法性。很显然，这种身份认证方法操作十分简单，但同时又最不安全，因为其安全性仅仅基于用户口令的保密性，而用户口令一般很难抵御口令猜测攻击。另外，口令的明文传输使得系统攻击者很容易通过接线窃听方法获得用户口令。一旦攻击者能够访问口令表，整个系统的安全就受到威胁。

对口令进行加密是一种改进的方法，用户口令以密文形式传输，系统也只保存密文，攻击者就不易获得用户的真实口令，但这种方案仍然可以受到口令猜测攻击。

2）智能卡

基于智能卡的用户认证技术结合了基本认证方式中的前两中方式。用户的信息预先存于智能卡中，然后在认证服务器中存入用户事先选择的某个随机数。用户访问系统资源时，用户输入自己的信息，系统首先判断智能卡的合法性，鉴别用户身份。如果身份合法，再将智能卡中的随机数送给认证服务器做进一步认证。这种方案的优点在于没有管理中心发放的智能卡，则不能访问系统资源，即使智能卡丢失，攻击者仍然需要猜测用户口令。

3）一次口令机制

一次口令机制，即每次用户登录系统时口令互不相同，也是最安全的身份认证机制。一次口令机制主要有两种实现方式，第一种为“请求响应”方式，即用户登录时系统随机提示一条信息，根据这条信息连同个人化数据共同产生一个口令字，用户输入这个口令字，完成一次登录，或者用户对这条信息实施电子签字并发送给认证服务器进行鉴别。第二种为“时钟同步”机制，即根据同步时钟连同其个人化数据共同产生一个口令字进行登录。这两种方案均需要认证服务器端也产生与用户端相同的口令字用于验证用户身份。

4）数字证书

数字证书是利用电子信息技术，确认、鉴定、认证互联网上信息交流参与者的身份或服务器的身份，是担保个人、计算机系统或者组织的身份，并且发表加密算法类别、公开密钥以及所有权的电子文档。

数字证书的工作原理就是信息接收方在网上收到发送方发来的业务信息的同时，还收到发送方的数字证书，这时通过对其数字证书的验证，可以确认发送方的真实身份。在发送方与接收方交换数字证书的同时，双方得到对方的公开密钥。通过这个公开密钥，双方就可完成数据传送中的加/解密工作。

总之，我国电子商务的发展，电子商务的安全运行，不光要努力在一些基础性、关键性技术上取得突破，做好技术防范，还要尽快完善相应电子商务法律法规，规范、引导我国电子商务快速健康发展。

参考文献

[1] 王峰，杨坚争，罗晓静：《电子商务交易风险与安全保障》，科学出版社，2005

[2] 关振胜：《公钥基础设施PKI与认证机构CA》，电子工业出版社，2002

[3] 柯新生：《网络支付与结算》，电子工业出版社，2004

Shallow analysis of the security policy of network payment

Hui Haoxue
(Xi'an University of Arts and Science,710065)

Abstract：In the process of integration of information technology and industrialization,the development of electronic commerce has become an indispensable part of the whole economic activity.However,with the coming of e-commerce security issues become more prominent.The security of electronic commerce has become a bottleneck which restricts its vigorous development.

Keywords：Network payment;security risk;security policy