基于公钥密码体制下移动支付安全协议探讨

利莉 胡治宇 景德镇学院

随着无线通讯技术快速发展，我国移动支付普及面越发广泛，客户群体数量的激增意味在此背后拥有一个巨大潜力的市场，但是我国在移动支付系统方面的建设还是不够完善，存在着一系列的信息安全性相关问题亟待解决。公钥密码作为一种传统的保障信息安全性的工具在此方面可以充分利用起来，它不仅可以保证信息的安全性，还可以确保信息的完整性，防止信息被篡改失真。

1 公钥密码技术

1.1 公钥密码的起源

公钥加密，或者可以称之为非对称密匙加密思想来源于狄菲（Whitfield Diffie）与赫尔曼（Martin Hellman），这两位伟大的学者在1976年以单项函数和暗门函数为基础，为通讯中中接收方和发出方创建了为信息加密的钥匙。更具体来说，他们在通讯当中创建出两把钥匙，一把是加密密匙，另外一把是解密密匙，在最初的思想中，加密密匙是公开的而解密密匙却与之相反，运用数学的原理，他们发现用公钥是很难将私钥解密的，而这个发现也为公钥密码技术发展奠定了基础。

1.2 公钥的非对称性

之前说过公钥加密又可以称之为非对称密匙加密，现在简单来介绍一下其机理。因为是以数学为基础而创造的密匙，所以加密密匙与解密密匙是数学相关的，加密密匙主要负责用户为自己的信息进行加密，而解密密匙主要负责解密获取信息。假如你知道加密密匙，那么你并不能通过数学的手段计算出另外解密的密匙，这就是它存在的价值所在。也就是说如果公开了这一对密匙其中的一个，并不会危害到与之相对的密匙，在此，我们将公开的密匙称之为公钥，不公开的密匙称之为私钥。那么它通常可以分为以下两种情况。

1.2.1 加密密匙是公开的，最常见的就是个人给私钥所有者上传加密的数据，我们将其简单的称为公开密匙加密。举个简单的例子，我们在使用各大商业银行网络银行业务时，将自己账户的加密数据发送给银行就是这种机理。

1.2.2 解密密匙是公开的，我们接收到的信息是私钥加密的，那么我们可以用公开的密匙将其解密。这主要是用于接受信息的一方验证给信息加密的私钥所有者发送的信息的真实性，完整性，并且确认发送者的身份，即通过数字签名确认其身份，而这里的公钥即成为数字证书。同样一个简单的例子，用户从互联网上下载的软件，一般都会带有软甲制作者的数字签名，这主要用于确认该软件的来源，并非由第三方制作。

2 移动支付

互联网通讯技术迅速的发展催生了电子商务以及移动终端的普及，网络的便捷性使得更多人参与其中，由此催生的商业模式也层出不穷，渐渐的传统的支付模式也被移动支付所代替，它开始渗透到我们生活的每个方面，例如网购、缴费、订票等等。在移动支付快速发展的道路中有许多东西值得我们探讨。

2.1 移动支付

移动支付实际上客户就是通过移动终端对自己购买的产品或者服务进行款项清缴的一种服务方式，由于手机是最普遍的移动终端，所以从狭义的方面可以称之为手机支付，当然其他的还有类似PAD，移动PC等移动终端。与传统的支付相比，它更加依赖于互联网，移动通信技术等的发展，相比较之下它也有自己的特征，例如移动性，及时性，定制化，集成性等等。

2.2 移动支付系统构架

移动支付的系统构架通常分为六个层级，如下图所示:

2.3 安全移动支付协议

信息的保密性移动支付当中的重要一个方面，安全移动支付协议针对的就是这个问题。它主要包括两个层面的问题，即身份认证和通讯保密。在使用移动支付的同时用户的敏感性信息在多层次的复杂网络中传播，而安全移动支付协议能够保证用户信息被盗的风险。身份认证主要在移动支付中的用途是明确交易过程中用户身份的合法以及真实性，防止交易过程后否认交易行为而产生的纠纷问题，同时还能够保证交易产生的数据安全性。通信保密包含了多方面，例如密码保密、传输保密、扩散保密等等一系列内容。它主要通过密码学技术对传输过程中的数据进行加密，隐藏敏感信息的一种通信方式。其目的是为了防止信息传输当中被盗窃、破译。在大数据背景下，个人信息变得尤其珍贵且被盗的风险性逐步增高，安全移动支付对网络交易过程中的信息的安全性起到了重要的保障。

3 公钥密码技术在移动支付信息网络安全中的应用

通过前面的论述我们不难发现，移动支付安全协议中的通信保密以及身份认证是基于密码学而创造的，而密码学技术中包括了公钥密码、数字签名、对称密码以及数学里的单项离散函数等。公钥密码在计算机网络快速发展过程中已经成为了保护信息安全的有效方法。移动支付的实现使得日常生活中数据传输的信息变得更加庞大，公钥密码技术的应用也变得越来越广泛，同样的，在移动支付当中公钥密码也起到了巨大的作用，它主要通过以下方式来实现。

3.1 信息加密保护

在移动支付当中包含着用户众多的敏感性信息，加密保护变得尤为重要，加密保护即通过公钥和私钥之间的作用机制将信息进行包装再进行传导的机制，举个简单的例子，移动支付中有两个参与者A和B，A支付的同时发送相关信息给B，我们的目的是只让B知晓A传递的相关信息，但是可能存在其他不相关者想获取此信息，那么我们对此信息加密，使其成为只有让B可以可获取并且了解的表达方式，而其他非相关者无法获取或读懂，我们就达到了目标。对信息加密的方式很多，比如在我们的网络中在不同的层次进行加密，由此可区分为网络层加密和传输层加密一系列的方式。不同的加密有不同的亮点，我们根据不同的情况进行区分从而筛选出有效的加密方式，例如对用传输加密的方式对信道上传输的信息进行加密，这种方法通常运用于语音、传真等方面，是一种很常见的加密方式，包括普通的网络对话也是运用这种形式。再例如，对文件以及数据等存储信息的加密，必须提到的是对数据路的加密是比较困难的，其中还有很多的问题尚待解决。我们可以充分利用公钥中的加密保护的形式应用在移动支付信息网络安全中。

3.2 身份识别

重要的数据信息的安全性往往和个人的身份有关，我们在生活中很容易的看到关于此类的应用，比如银行的ATM机，在确认是正确的持卡人身份后才能取到现金，再如人们在出国当中对身份的核实，乘坐高铁，飞机，访问计算机都需要对身份进行确认才能进行下一步程序。所以说，对于整个经济社会的运转而言，个人身份的识别尤其重要，当然识别的手段也随着时代的进步而演进，例如现在越来越提倡的生物识别技术，通过瞳孔或者脸部识别等方式进行身份验证，不过在此这些领域技术相对来说还非常的不成熟，首先精确度可能不够，其次成本而非常昂贵，所以常常成为辅助的身份识别方式。公共密匙技术相比较而言更加的成熟，识别度高，成本低，并且非常方便，这些特征都非常契合移动支付这一市场，由于移动支付受众面十分的广泛，这决定了在成本方面必须低廉，否则即便有市场也难以支付昂贵的成本费用而终止。除此之外，现在采用的交互式询答的方式纠正了以前安全性不高的缺点，想通过对方提出的询答必须有输入正确的密码才能够同学，这种方式不仅而且精准度高，个人隐私也因此得到了保障。

3.3 信息完整

这里指的是我们通过终端传输出去的信息被接受方收到后并不是原来完整的信息，其原因就是在传输的过程中被篡改了，这样就破坏了信息的完整性。为了防止此类的现象发生，我们可以采用先前说到的密码技术对其进行运算，将其结果进行包装处理生成一组验证码，然后捆绑我们传输的信息发送出去，在接收方收到信息之后进行同样的一系列运算并将获得的验证码和传输方的验证码进行对比确保信息没有篡改，此种方式看上去比较复杂，但是在保证信息完整性方面却很好，所以可以应用在要求严格的场景下，例如在移动支付中涉及大笔交易数额的情况下，或者敏感性数据传输的过程当中。

3.4 数字签名

数字签名又称为公钥数字签名或者或是电子签章，是一种类似写在纸上的签名，但是它却依附于网络，使用了公钥加密领域技术，主要用于鉴别数字信息。一套数字签名通常包括了两种运算，一种是用于签名而另外一个是验证，两种运算方式相互补充。必须提到的是经过发送者数字签名产生的字符串是无法被伪造的，所以说这个是对信息发送者的一个有效证明。从大体上来说，数字签名有两大功能，其一是可以确认接收到的信息的确是发送发签名发出来的，因为签名是无法被模仿的。另外一个功能是可以确保发送的消息的完整性，这是因为如果传输过程中信息如果被篡改，数字摘要的数值也将相应的发生改变。获取到的不同文件将会得到不同的数字摘要。发送者的每次数字签名包含了一个哈希函数、发送者的公钥以及私钥。简单来说，数字签名的原理特点大致有签权、完整性和不可抵赖性。数字签名的便捷，省时让其运用在很多的领域，最常见的是跨地段的贸易活动以及通信行业。当然在移动支付发展如此之快的年代里该技术的应用也显得特别有必要。

5 结束语

公钥密码在移动支付领域的应用必然能够保障其中信息传输的安全，但是并不能做到百分之百确保不出现任何信息泄露或者篡改的风险。解决移动支付安全性手段很多，不可能单一的依靠公钥密码，应该发挥公钥密码的优势再结合其他的手段来保障移动支付中的安全性问题，除此之外我们可以在公钥密码上加以改进创新从而更好的服务于网络信息安全问题。

[1]无证书公钥密码技术下终端安全移动支付协议研究[J].余战秋.九江学院学报.2017(02)

[2]基于无证书公钥密码的终端安全移动支付协议[J].茹秀娟;楠.计算机应用研究.2015(03)

[3]公钥密码在网络信息加密中的应用[J].傅汝霖;海慧.计算机应用.1998(11)

[4]公钥密码分析简介[J].肖人毅.软件学报.2016(03)