[[104506]]

客觀來看，在線支付認證Keypasco這一方案引發了一個值得深入思考的問題，即我們是否為了安全而需要在硬件上不斷的升級和投資，能否通過云端服務的新方式低成本又較好的實現在線身份安全認證?

在線支付安全問題大家關注已經很多，簡要總結一下，以下三個方面可以看到在線支付的安全性在未來幾年可能會成為有增無減的越發頭疼課題。

一是在線支付用戶數量的不斷增長。CNNIC發布的《第30次中國互聯網絡發展狀況統計報告》顯示，截至2012年6月底，中國網民數量達到5.38億，手機網民規模達到3.88億，其中網絡購物用戶規模達到2.1億，網民使用率為39.0%，四成的網民已經在使用網絡購物和電子支付等方式，網絡、智能手機、PAD等網絡終端已成為大眾日常生活和購物支付的重要工具。這么多的用戶，并不能確保每個人都會應用安全的支付工具、有足夠強的安全意識、能夠在安全的環境下進行支付。

二是芯片卡遷移趨勢的加快。全球除了美國外，芯片遷移已經是支付卡行業基本的共識和行動。在中國，2011年3月人民銀行發布64號文件，提出了金融IC卡遷移的時間表，要求2011年打開局面，2012年擴大應用，2013年規模發卡，2015年全面實現，正式啟動芯片化遷移。今后在芯片卡片和現場交易交互的情況下，支付的安全性是基本能夠得到保障的，那么，傳統針對磁條卡的欺詐和風險，勢必隨著在線支付的發展而直接遷移到網絡上，金融IC卡的遷移也意味著風險的遷移。

三是在線支付欺詐手段的防不勝防和不斷翻新。網絡空間的虛擬性、間接性、廣泛性、快速性等特征，一方面使得欺詐行為難以被發現，另一方面即便被發現了，查找的成本也很高，時效性差。而且，很多行騙者一次得手后，換個馬甲再出來，成為打不死的小強。

據統計，在過去一年間，在有網購經歷的網民中，31.8%的網民曾直接遭遇詐騙網站，網購遭遇詐騙風險的網民規模達到6169萬。保守估算，每年因詐騙網站給網民造成的損失不低于308億元，對比2011年我國在線購物市場交易額7566億元，在線支付詐騙損失率達4.07%，這要在傳統的磁條支付卡線下支付行業，就是整體風險都達到了高風險商戶的水準(4%)。

五花八門不離其宗的手法

我們日常也都聽到看到，不斷出現一些支付案件，對在線支付業務和用戶個人都造成很大影響。在線支付形式多樣，環節很多，包括客戶端、電子商務網站、電子支付平臺，一直到銀行，從現在的情況來看，安全問題更多的還是集中在客戶層面或交易界面，導致用戶支付信息被泄露而發生欺詐。目前常見的欺詐手法包括：

1、制作釣魚網站或虛假的電商網站，通過中獎郵件、訪問跳轉、形色誘惑等各種手段誘騙客戶登陸釣魚網站盜取客戶信息，得到用戶名及口令后即到真實的銀行網站進行轉賬或支付。

2、通過木馬病毒竊取文件證書或盜取網上銀行賬號及密碼，從而進行冒名轉賬、復制卡等盜用客戶資金。

3、破解用戶“弱口令”竊取資金，利用部分用戶貪圖方便、設置“弱口令”的漏洞，隨機的掃號，導致密碼簡單的用戶賬戶被盜。

4、殺“熟”。獲知某人的卡號、生日、手機號等信息后，冒名嘗試登陸。

此外，還有其他各類詐騙手法，目的無外乎獲取卡號、密碼等支付信息。根據CNNIC《2012年中國網絡支付安全狀況報告》，網上支付用戶遭遇支付不安全事件比例為3.2%，與之前所計算的4%在線欺詐損失率差別不大。其中，釣魚網站誘騙支付占首位。有3.2%的網上支付用戶表示自己最近半年曾經遇到過支付不安全事件。用戶遇到的最主要不安全問題是遭遇虛假網站欺騙后貿然支付，有64.4%的比例;第二位的是支付賬號或密碼被盜，有19.2%的比例。遇到支付不安全事件的用戶中，40%有實際的資金損失。

為防范在線支付風險，2011年6月，支付寶聯手百家公司成立安全支付聯盟，保障用戶權益。安全聯盟成員包括銀行、安全公司、瀏覽器、第三方支付、電商企業等橫向產業鏈成員。安全聯盟旨在將通過成員間共享技術、數據、情報，實現更為緊密的合作，在產業鏈各環節對支付安全嚴密保護，打消公眾的疑慮，助推中國電子商務產業的發展。然而這種松散型的聯盟，固然會通過兩兩之間或一對多之間的合作來實現一定程度的風險防控，但從行業角度而言，并沒有出現實質性的風險防范手段或技術的革新。

身份認證仍是關鍵

無論是線上還是線下交易，要做到真正安全，就要確保在兩個核心問題上的保障。

***，對交易者身份的確認，這一點來說，線上線下交易有著根本的區別。線下交易以卡為基礎，無論是憑密交易，還是簽名交易，持有卡片交易、完成密碼或簽名就代表了本人，這樣在安全責任界定上就沒有問題。當然，磁條卡因為信息存在被側錄的可能性，致使身份認證也受到更大威脅，因而，磁條的芯片卡將增強對線下交易交易者身份的認證。對比起來，線上交易無卡無磁無芯片，身份認證就更加重要，最傳統的認證方式包括銀行柜臺簽約+密碼支付，單一密碼驗證支付已經成為比較脆弱的驗證方式了。

第二，對從商戶、終端開始的交易參與環節的確認，保證交易信息在各環節的完整性、保密性和不可否認性，保證信息不被篡改、不被泄露、來源合法。在這點上，支付卡行業已經形成了較完善的加密處理技術標準和實踐，分層密鑰體系、SSL加密、3DES加密、PCI認證、銀聯賬戶信息安全標準等。在線支付中，主要通過數字證書來實現確認，或者是銀行、支付機構自主發放數字證書，或者是權威第三方認證機構發放數字證書。以數字證書為核心的加密技術可以對網絡上傳輸的信息進行加密和解密、數字簽名和簽名驗證，確保網上傳遞信息的機密性、完整性。從實際來看，國內還尚未出現大規模因支付機構原因導致的持卡人交易信息泄露事件。

目前提高在線支付安全性、加強身份認證的基本思路都是從交易者輸入信息的那一刻，就確定交易者的身份，并將交易信息全程保密處理。國內最常用的是動態口令和數字證書兩種多因素認證方式。動態口令或動態密碼可以通過令牌(大部分是銀行)或手機方式(如支付寶的手機ME令、銀聯在線的手機短信動態碼)提供，目前來看還相對安全，主要風險是遺失手機;數字證書則是給用戶發放一個***的數字證書作為用戶的身份憑證，并基本實現移動數字證書(USB Key，U盾等)，證書方式認證的不便在于需攜帶，且需要在已安裝證書的終端使用，而且有一定成本，U盾本身的安全性并非無懈可擊，也是需要不斷升級的。龐大的用戶數量可能導致更換U盾成本高昂的無底洞。

KeyPasco，基于云端的多因素機制

今天和今后的互聯網服務都需要解決用戶的身份認證，即你是誰這一關鍵。沒有好的在線安全解決方案，不解決在云計算服務提供時代用戶安全性的問題，號稱互聯網第三次變革的云計算就不能真正的起飛，沒有好的在線安全解決方案，用戶上網就是中存在隱憂，而網絡實名制和個人隱私保護的需求都在持續的增長。

Keypasco安全認證解決方案由曾創辦網上銀行安全認證知名企業Todos的創始人林茂聰等提出，用他的話說，要革自己的命，過去他用硬件Token作為身份認證，現在則走向純云端架構，以服務為主題實現同樣的目標。他認為，近年來云端概念服務逐漸成形，移動設備的概念也更加成熟，才可能出現這樣的商業運營模式，以擺脫Todos過去存在的一些拼鏡，例如成本高、推廣難、一旦被破解就需要馬上大量更換設備等，更重要的是，採取硬件身份認證的概念將難以在云端環境中被使用。

簡要的來說，Keypasco想解決的問題很簡單，其一是確保用戶的支付卡只有在其所在的地方才能使用，那么就不會有信用卡被盜刷的可能;其二只有用戶能在自己的終端設備上登陸自己的賬號 。這意味著全世界70億人口中，包括用戶本人，除了用戶自己的終端設備，沒有人可以在全世界其他100多億的設備中，登陸用戶的賬號。

這樣，Keypasco提供的認證方法是：在用戶名和密碼的雙因素基礎上，增加了可綁定的個人終端設備ID、地理位置定位，甚至是上線時間，再加上消費者行為分析相關的風險評估機制(可以分析其他用戶是否嘗試通過其他終端登陸用戶賬戶)，采取多重因素認證方式提升安全性。

為了安全因素與保護客戶隱私，Keypasco運用云端資源，通過加密的分散式存放等方式存放用戶登記信息。用戶只有通過所綁定的一臺或多臺終端，在自己提前設定的地理區域，以自己的身份登陸，所有的訪問和嘗試登陸日志都會保留在系統中，用戶可以方便查詢。由于這一認證方式基于軟件和云服務實現，成本極低，在沒有大規模增加成本的前提下提高了整個行業的安全水平。

用戶操作起來也比較方便，***次使用某一終端簡單的注冊登陸，用戶即被賦予一個***的Keypasco ID，登錄設備也被賦予一個***的設備ID，兩個ID及設備本身在今后的登錄中即被關聯，其后進入系統可設定綁定其他設備、使用區域等。提供該服務的支付機構或網絡服務提供機構可以在其中設定自己的風險規則，確定某些情況下的風險閥值和使用要求。應該說，Keypasco基本在不太改變用戶現有習慣的基礎上，以云端認證單點登陸的方式，確保了用戶身份的合法性。

在電子支付之外，電子商務公司、網絡游戲、網上銀行、電子政務等運營機構，均可使用這一身份認證方式以確定和管理其客戶身份，臺灣已經有游戲公司在使用這一方案，效果良好。客觀來看，這一方案引發了一個值得深入思考的問題，即我們是否為了安全而需要在硬件上不斷的升級和投資，能否通過云端服務的新方式低成本又較好的實現在線身份安全認證?