随着社会的发展和支付技术的进步，移动支付技术日新月异。 但任何新型支付技术的推广应用都必须以金融安全为基础。 因此，支付技术的安全问题是其发展中最需要研究的问题。 基于这一思路，本文对NFC（近场通信技术）新一代移动支付技术的安全问题进行了简要研究，旨在进一步推动NFC移动支付的安全稳定发展。

1、移动支付现状

移动支付是交易双方使用移动设备完成交易的支付活动。 移动支付现在应用于社会很多行业，如银行转账、买卖外汇、网上购物、彩票投注、超市购物、公交支付、酒店支付等，应用范围越来越广，渗透力越来越强。几乎渗透到我们生活的各个领域。

目前国内流行的移动支付方式包括以支付宝、微信钱包为代表的“扫码系统”； 以及以银联、手机厂商、运营商为代表的NFC“快捷支付系统”。 近两年来，“扫码党”加大了宣传和营销力度，特别是通过降费、打折等方式，吸引了众多用户参与移动支付活动，极大地普及了移动支付的应用。 “扫码支付系统”的应用广度远远超过“快捷支付支付系统”。

据易观智库统计，2015年我国第三方移动支付市场中，支付宝以72.9%的份额排名第一，微信钱包以17.4%排名第二。 两者占据了移动支付市场90%的份额，成为第三方支付市场的两大巨头。 不过，“闪付”基于NFC技术，具有很大的技术优势。 只要用户拥有NFC手机，就可以在支持NFC的POS终端上刷手机完成支付。 无需输入密码，支付过程比“扫码”更快。 “马牌”更方便、更安全。 2016年，苹果、三星、华为、小米等多家手机厂商宣布加大带有NFC功能的手机产量，抢占移动支付市场。 与此同时，中国移动、中国联通、中国电信三大通信公司也积极参与基于NFC的移动支付项目。 例如，中国移动计划2016年拥有1000万NFC客户，在100个城市推广NFC公交应用，在100所学校推广NFC公交应用。 以及企业推广NFC应用。 为了调动合作伙伴的参与热情，中国移动还推出了“出厂NFC手机及NFC-USIM卡套餐每户15元”的补贴政策。

我国移动支付业务虽然起步较晚，但发展迅速。 随着手机等移动终端的普及，越来越多的人开始熟悉这种移动支付业务。 由于其操作简单、交易快捷，已被越来越多的人接受。 最近，一位美国银行家预测，现金将在五年内从人们的视野中消失。 可以预见，在不久的将来，移动支付将成为社会主流支付方式。

随着国内外手机巨头的参与以及我国三大移动公司的积极推动，基于NFC技术的移动支付市场也将迎来新一轮的发展高峰，并逐渐成为移动支付的主流方式。

2.NFC移动支付安全问题分析

NFC由RFID（非接触式射频识别）演变而来，是由飞利浦半导体、诺基亚和索尼等公司联合开发的一种短距离高频无线电技术。 NFC技术传输距离短、连接速度更快、安全性更好。 NFC技术集成了多种功能，包括非接触式智能卡功能、点对点信息传输功能、非接触式读卡器功能等。 其在13.频率下的有效通信距离在10cm以内，兼容NFC技术的设备可以相互连接。

根据不同的工作方式和工作模式，会形成不同的NFC移动支付架构，分别是主动模式、被动模式和双向模式。 在主动模式下，通信发起者和命令接收者是平等的。 当发起者发起与目标设备的通信时，会产生一个RF射频场。 如果目标接收设备准备好响应，它也需要响应。 同时产生RF射频场对目标设备做出响应； 在被动模式下，目标设备不需要提供射频场来响应。 目标设备主要利用负载调制技术完成对命令发起方的响应。

NFC技术的短距离信息传输提高了可靠性，但通过特定的天线，标签信息可能被窃听。 除了硬件和信息窃听之外，NFC技术还存在信息复制、信息恶意破坏、中间攻击等问题。 下面分析NFC移动支付的安全问题：

(一)窃听。 NFC移动支付是一种无线通信接口。 两个设备建立通信后，由于标签内部的信息在传输过程中并不总是加密的，一般在链路层通信时信息不加密，这使得信息在层传输时被窃听的可能性增加，导致信息泄露。 攻击者可以通过天线接收发射的信号，但NFC移动支付建立的通信距离很小，一般小于10cm。 因此，对于攻击者来说，有源设备的理想窃听距离在10m以内，无源设备的理想窃听距离在10m以内。 窃听在1m以内，这是NFC移动支付的主要安全问题。 要彻底解决窃听问题，必须建立安全的通信通道。

(2) 篡改数据。 数据篡改主要包括数据破坏、数据插入和数据修改三种形式。

（1）数据破坏：数据破坏是攻击者破坏NFC移动支付设备之间的数据传输。 攻击者主要使用NFC接口。 数据被破坏后，数据接收方将无法完整接收相关数据发送方发送的数据信息，最终导致无法理解数据。 攻击者只要在特定时间以相同的频率传输数据就可以破坏数据。 数据破坏的主要威胁是数据信息传输过程中的干扰，而不是数据泄露；

(2)数据修改：数据修改后，接收方无法收到发送方发送的相同数据，导致信息错误。 添加数据、减少数据、更改数据都属于数据修改类别，但NFC移动设备并不适合数据传输。 过程中可以检测到射频场，因此可以检测到这种供电方式，并进行有针对性的预防；

(3)数据插入：在两个NFC移动支付设备之间的数据交换和传输过程中，攻击者插入数据的篡改方法称为数据插入。 插入数据可能会导致数据响应延迟。 插入数据需要在原始设备响应之前完成。 如果不满足这个条件，那么插入数据就成为数据损坏的一种形式，并且这种形式的数据篡改也可以被检测到。

(3)中间人攻击。 中间人导致NFC移动数据发送设备和NFC移动数据接收设备之间通过第三方会话的数据交换出现问题。

这种中间人攻击有特定的要求。 中间人需要阻止发送移动设备和接收移动设备之间的真实数据传输。 然而，NFC是一种短距离无线通信方法。 如果中间人阻止或干扰，就可能出现虚假数据。 这种攻击肯定会被检测到，所以这种攻击并不容易实施。

3、NFC移动支付安全问题的解决方案

NFC移动支付安全问题的演变可分为技术手段和应用管理两个方面。 技术解决方案聚焦信息系统的技术层面，通过加密、访问控制、身份认证等一系列成熟的技术方法消除安全威胁； 而应用管理则重点关注NFC移动终端用户在无线支付过程中需要注意的事项。 人事及管理相关事宜。

(1)安全模块中的保障机制。 采用个人识别码的错误尝试次数、数字认证的生命周期管理等访问控制机制； 相关密钥的备份和恢复机制，避免密钥丢失或密钥过期后无法正常处理的加密数据； 严禁机密数据以纯文本形式存储和传输； 所有交易记录必须带有时间戳，以避免数据重放攻击； 系统硬件需要进行完整性检查以避免运行时故障； 严禁下载和运行未经签名、无法验证来源的软件。

(2)基带处理器的安全机制。 建立身份注册体系，保证移动应用的真实性、完整性； 防止输入时个人识别码被截取； 严格划分不同的安全域； 以及与安全模块的相互验证。 基带处理器是通用手机的重要组成部分。 主要负责发送和接收数据以及处理GSM、GPRS和UMTS等无线通信信号。 它提供应用程序访问接口和人机界面以及与SIM卡的通信。 具有NFC功能的手机需要基带处理器提供API来访问NFC控制器并与SE交互。 基带处理器为NFC相关应用提供运行环境。 有些应用程序可以在没有用户干预的情况下运行，而有些应用程序可以在没有用户干预的情况下运行。 应用程序代码已签名，但某些代码未签名。 因此，不同的代码具有不同的信任级别，需要在手机的不同安全域中运行。

(3)NFC芯片的安全机制。 用户必须能够自主开启和关闭NFC模块功能，防止NFC芯片的内容被随意读取。 当NFC标签生成时，ID序列将被烧录到其中。 这个序列是唯一的，无法复制。 通过非对称算法可以从ID序列中得到密文。 密文存储在标签的数据区域中，因此NFC设备可以在进行数据通信时，通过对密文的比较和匹配来确定标签的真实性，从而利用NFC技术实现安全通信。

(4)操作系统和应用程序的安全保护。 目前，用户使用的移动终端设备主要是智能手机，需要安装相应的操作系统才能安装各种应用程序。 各类智能手机操作系统的相关安全功能及应用软件的安全使用方式； 手机操作系统应安装防病毒、恶意软件工具和防火墙，并充分关注智能手机安全软件检测到的威胁。

（五）培养用户安全意识。 新技术需要新的宣传和培训，特别是安全问题应该受到更多关注。 目前用户使用的移动支付终端主要是具有NFC功能的手机。 相应的宣传和培训应包括正确使用NFC智能手机、能够识别和应对潜在威胁、掌握防止NFC手机被盗和损坏的正确方法、正确使用PIN码和手机密码等。

（六）建立信用体系。 NFC移动支付是基于网络的，而虚拟性是网络的重要特征，因此信用体系的建立就显得更加重要。

目前我国NFC移动支付信用体系十分落后，这对移动交易支付的安全产生了重要影响。 积极建立个人和相关企业信用数据库，完善第三方CA认证体系，增强民众信用意识，保障NFC移动支付安全可靠。