随着移动互联网的发展，各种新型支付方式不断推出，每种支付方式在推出时都宣称安全可靠，就连支付宝、微信、360都推出了网购赔付服务。对于终端消费者而言，安全性永远是选择支付方式最重要的参考因素，因此每种支付方式都要从安全性的角度进行认真考量，解决用户的后顾之忧。

最近，业界逐渐流传出一种新观念，有人认为，目前的支付方式已经足够安全，没必要再增加SE（安全模块）来保证支付安全，SE是银行、银联等传统金融机构坚持的基本支付安全手段。

我们邀请了移动支付领域的专家，帮助大家分析一下目前的支付方式，以及其安全措施的隐患。

1. 几种流行的新支付方式

目前互联网上的支付方式一般有以下几种：

1. 使用用户名和密码付款。

这是最传统的支付方式，用户只需要在终端设备（PC或手机）上输入个人用户名和密码即可完成支付。目前大部分手机网银和第三方支付平台的公众版仍采用此方式。此支付方式主要的安全手段有数字证书、用户名密码、验证码、短信验证等。

2.磁条卡读卡器。

2012年，在读卡器的刺激下，国内磁条卡读卡器真正开始流行起来，无数的读卡器厂商如雨后春笋般涌现出来。用户只需在磁条卡读卡器上刷银行卡即可进行远程支付。磁条卡读卡器大部分由第三方支付公司发行和使用。在国内，磁条卡读卡器不能用于收单，只能用于个人远程支付。该支付方式的主要安全手段有用户名密码、数字证书、验证码、短信验证、加密头等。

3、就近配对支付。

这种支付方式是指通过近场通信交换支付和收款信息，然后远程完成支付和收款动作。近场配对方式有蓝牙、声波、NFC等，声波支付是支付宝面对面支付业务的主要支付方式。在11月20日的MTK True 8核发布会上，支付宝演示了一种新的近场配对方式，这是采用MTK技术的基于触摸屏的近场配对，只需要将两部手机屏幕贴在一起，就能实现数据传输。还有一种支付方式就是通过类似微信摇一摇的功能找附近的人实现近场配对，但是基本的支付逻辑是一样的。近场配对支付的主要安全手段是用户名密码、数字证书、验证码、短信验证。

2. 上述主要安全措施的隐患

分析以上几种支付方式，虽然大家都有自己的安全体系，但所采用的安全手段无非就是以下几种：数字证书、用户名密码、验证码、OTP动态密码、短信验证等。下面就来分析一下各种安全手段的原理和隐患。

1、数字证书技术。

安全证书存放在移动客户端，访问支付服务器时建立SSL连接，一方面保证用户不会连接到钓鱼网站，另一方面通过会话密钥协商机制，保证互联网上传输的数据是加密的。该技术主要解决网络上的中间人攻击，但无法解决驻扎在移动终端的木马病毒对支付行为的监控和攻击，以及用户证书密钥的窃取。

2.用户名和密码。

用户名和密码是最传统的身份识别方式，密码设置既要求足够复杂，又要容易记忆，这给用户记忆和存储密码带来了很大麻烦，最终往往使用生日、电话号码等信息作为密码，或多个应用使用同一个密码。在目前的计算机技术条件下，用户密码很容易被暴力破解。另外，在移动终端上输入的密码也容易被木马病毒窃取。由于密码复杂，各应用都提供了密码找回机制，这成为攻击者重点攻击的重点。通过冒充身份找回用户密码，很容易将用户的账号掌控在自己手中。

3.验证码。

验证码是一种安全措施，在交易过程中输入随机生成的验证码，以防止交易数据被重放。有时，这个验证码参与交易，有时它只会给用户带来麻烦。验证码最初是为了迫使用户手动参与，从而防止木马病毒的后台运行。然而，随着图像识别技术的发展，现在的验证码已经不再是漏洞了！

4.OTP动态密码。

OTP（One Time）动态密码是一次性密码安全技术，每次交易使用不同的密码。最早的OTP是一张刮刮卡，上面预设了很多密码，根据UI提示的坐标每次使用一个。后来出现了动态密码设备，每次交易密码都由动态密码设备生成，并与服务器同步。有些动态密码设备需要输入挑战数，挑战数由交易数据生成，将参与交易。OTP技术主要防止密码被盗的风险，但无法防止交易终端上的木马病毒篡改交易数据。

5.手机绑定及短信验证。

将用户手机与账户绑定已成为目前几乎所有支付方式都采用的安全措施。手机绑定可以实现以下功能：

A.交易信息短信提醒，能够让用户第一时间发现非法交易，属于事后安全。

B.交易验证码短信让用户通过手机就能参与交易，防止木马病毒的攻击。

C.找回密码短信：将向手机发送找回密码验证信息，用于验证用户身份。

D.交易链接短信，将交易地址直接发送到手机，防止用户进入钓鱼网站。从安全角度看，手机绑定属于第二通道技术，假设攻击者无法同时攻击两个通道，从而保证交易的安全。使用手机作为第二通道的前提是服务商对手机持有人身份的信任。问题是：你真的信任手机持有人的身份吗？

3. 移动运营商不对您的安全负责

随着移动互联网的发展，手机病毒、木马肆意蔓延，手机上的任何输入输出都会被拦截，手机上存储的证书和密钥会被窃取，交易数据会被篡改。甚至加密头输入的数据，由于加密头的密钥是静态不变的，也可以用来进行重放攻击。在移动终端操作系统普遍不可信的情况下，手机短信成为几乎所有交易方式的最后一道防火墙。每次我们说到一种支付方式不安全，存在可被攻击的漏洞时，一定会有人说：没关系，再来一个短信认证。但短信认证真的可信吗？短信通道至少存在以下漏洞：

A.手机SIM卡很容易被复制；

B.用户发送和接收的短信在空中可能会被拦截；

C.短信发送号码可伪造；

D.办理手机号、补卡时可使用身份证复印件。

E.超小型假基站可用于中间人攻击。

近期因短信漏洞引发的支付安全事件较多，案例实在太多，这里就不一一列举了。

从根本上讲，任何应用的安全基础都要建立在可信的安全因素上，尤其是支付安全，更应该严格把控安全因素的可信度。因此，大部分银行、支付机构都会建立自己的密钥系统或者使用银联、人民银行的密钥系统，不会轻易相信其他的安全因素。手机绑定机制所依赖的安全因素来自于手机实名制。可信基础包括：移动运营商是大型国有企业，资信可靠；移动运营商会严格审核用户的身份信息；移动运营商的网络渠道是自有的；用户的手机号码是唯一的等等。但其实正如上文所说，移动运营商平台还是存在很多漏洞的，所以绑定手机其实是一种不可靠的安全解决方案，手机号码就是一个不可靠的安全因素。更何况，移动运营商并不承诺为您提供安全认证服务，因此不会对手机绑定带来的安全问题承担任何责任。 把最后一道安全屏障交给一个不对你的安全负责的人，其后果可想而知。

4. 移动支付需要SE安全

受访专家指出，任何安全都应是一个系统性的解决方案，这包括密钥安全、算法安全、逻辑安全、管理安全等。密钥安全是指密钥存放的位置是安全的，密钥和安全要素不能被非法获取；算法安全是指加解密所采用的算法是高强度的，即使算法公开，没有密钥也不容易被破解；逻辑安全是指设计的各种应用逻辑应该是安全的，要充分考虑各种攻击的可能性；管理安全是指组织的管理要科学有效，组织中每个人的行为都是可控的。

正是因为密钥安全如此重要，所以大多数安全等级较高的系统都要求使用SE来存储用户密钥和终端密钥。SE拥有许多特殊的安全机制，可以防止密码、密钥、证书、安全ID等安全要素被非法窃取。SE还可以提供加密和解密功能，从而有效防止木马和病毒篡改交易数据。

随着NFC的普及，移动支付离我们越来越近。对于移动支付来说，最重要的已经不再是如何进行近场通信，而是如何把我们的安全要素放在一个值得信任的地方，那就是SE。目前移动终端的SE有三种形式，一种是SIM卡形式，基本在移动运营商的掌控之中；一种是SD卡形式，由于成本较高，用户非常少；还有一种就是eSE形式，也就是将智能卡采用DFN或者QFN封装，直接放在手机主板上。目前内置NFC功能的手机，大部分也都内置了eSE。在近几年的移动支付标准之争中，竞争的焦点一直都集中在通信方式、SE的存在形式以及SE的控制权上。没有一方想过要抛弃移动支付的SE，因为没有SE，安全就没有保障。

中国三大运营商今年已完成SWP-SIM卡的测试，2014年SWP-SIM卡发卡量预计将超过6000万张。调查数据显示，2013年全球NFC设备上安全芯片出货量将超过2.65亿片，其中SIM卡为8000万片，不到30%，其余均为eSE。预计2014年全球NFC设备上安全芯片出货量将增至4.5亿片。