网上支付安全问题已经引起人们的广泛关注。简单概括一下，以下三个方面表明，网上支付的安全可能会成为未来几年越来越令人头疼的问题。

第一，网上支付用户规模持续增长。《第30次中国互联网络发展统计报告》显示，截至2012年6月底，中国网民规模达5.38亿，手机网民规模达3.88亿，其中网络购物用户规模达2.1亿，网民使用率为39.0%。四成网民已经使用过网络购物和电子支付方式，互联网、智能手机、PAD等网络终端已经成为人们日常生活和购物支付的重要工具。如此庞大的用户规模，无法保证每个人都使用安全的支付工具，有足够强的安全意识，能够在安全的环境中支付。

第二，芯片卡迁移趋势加快。除美国外，芯片迁移已成为支付卡行业的基本共识和行动。在我国，2011年3月人民银行发布64号文件，提出了金融IC卡迁移的时间表，要求2011年开放市场，2012年扩大应用，2013年大规模发卡，2015年全面实现，正式启动芯片迁移。未来，当芯片卡与现场交易互动时，支付的安全性基本可以得到保证。那么，传统磁条卡的欺诈和风险必然会随着网络支付的发展而直接迁移到互联网上。金融IC卡的迁移也意味着风险的迁移。

第三，网络支付诈骗手段难以防范且不断更新。网络空间的虚拟性、间接性、广泛性和快速性使得欺诈行为难以被发现，另一方面，即使被发现，发现成本也很高，时效性差。而且，很多诈骗分子得手一次后就换马甲，成为无敌的蟑螂。

据统计，过去一年，在有网络购物经历的网民中，有31.8%的人直接遭遇过欺诈网站，在网络购物中遭遇欺诈风险的网民数量已达6169万。保守估计，欺诈网站每年给网民造成的损失不低于308亿元。对比2011年我国网络购物市场7566亿元的交易额，网络支付欺诈损失率为4.07%。在传统磁条支付卡线下支付行业，整体风险已达到高风险商户（4%）水平。

多种技术都以相同的方式工作

我们也听说和看到，一些支付案件每天都在不断发生，对网络支付企业和个人用户影响很大。网络支付形式多样，环节多，包括客户端、电商网站、电子支付平台、银行等。从目前的情况看，安全问题更多集中在客户层面或者交易接口，导致用户支付信息泄露、被诈骗。目前常见的诈骗手段有：

1、创建钓鱼网站或假冒电商网站，利用赢取邮箱、访问跳转、诱惑外表等各种手段，诱骗客户登录钓鱼网站，窃取客户信息，获取用户名和密码后，到真正的银行网站进行转账或支付。

2、通过木马病毒窃取文件证书或网银账号、密码，然后以他人名义转账、复制卡、侵吞客户资金。

3、破解用户“弱密码”窃取资金，利用部分用户为图方便设置“弱密码”的漏洞，随意扫号，导致密码简单的用户账号被盗。

4. 消除熟悉感。获取某人的信用卡号、生日、手机号和其他信息后，尝试以他们的名字登录。

此外，还有其他类型的欺诈手段，其目的无非就是获取卡号、密码等支付信息。根据《2012中国互联网支付安全状况报告》，遭遇支付不安全事件的网上支付用户占比为3.2%，与此前计算出的4%的网络欺诈损失率相差无几。其中，钓鱼网站引诱支付位居首位。3.2%的网上支付用户表示，近半年内曾遭遇过支付不安全事件。用户遭遇的主要不安全问题是被假冒网站欺骗后贸然付款，占比为64.4%；其次是支付账户或密码被盗，占比为19.2%。遭遇支付不安全事件的用户中，有40%遭受了实际资金损失。

为了防范网络支付风险，2011年6月，支付宝联合数百家企业成立了安全支付联盟，以保障用户权益。安全联盟成员包括银行、安全公司、浏览器、第三方支付、电子商务公司等横向产业链成员。安全联盟旨在通过成员之间的技术、数据和情报共享实现更加紧密的合作，严密保护产业链各个环节的支付安全，打消公众疑虑，促进中国电子商务行业的发展。但这种松散的联盟肯定会通过两个或一对多的合作实现一定程度的风险防控，但从行业来看，风险防范方法或技术尚未有实质性的创新。

身份认证仍是关键

无论是线上还是线下交易，要真正做到安全，必须确保两个核心问题的保障。

第一，交易者身份的确认。在这一方面，线上与线下交易有着根本的区别。线下交易是以卡为基础的，无论是以密码还是签名进行的交易，持卡交易、填写密码或签名都代表本人，因此在安全责任的界定上不存在问题。当然，由于磁条卡上的信息可能被记录，身份认证也面临较大的威胁。因此，磁条芯片卡将加强线下交易交易者身份的认证。相比之下，线上交易不需要卡、磁条或芯片，因此身份认证就显得更加重要。最传统的认证方式包括银行柜台签名+密码支付。单一的密码验证支付已经成为一种相对脆弱的认证方式。

第二，商户、终端等交易参与方的确认，确保交易信息在各个环节的完整性、保密性和不可否认性，确保信息不被篡改、不被泄露、来源合法。在这方面，支付卡行业已经形成了比较完善的加密处理技术标准和实践，包括分层密钥体系、SSL加密、3DES加密、PCI认证、银联账户信息安全标准等。在网络支付中，确认主要通过数字证书实现，要么银行、支付机构自主颁发数字证书，要么由权威的第三方认证机构颁发数字证书。以数字证书为核心的加密技术，可以对网络上传输的信息进行加密、解密，数字签名和验签，确保网络传输信息的保密性和完整性。实践中，我国尚未出现由支付机构导致的大规模持卡人交易信息泄露事件。

目前提高网上支付安全性、加强身份认证的基本思路是从交易者输入信息的那一刻起就确定交易者的身份，并全程对交易信息保密。国内最常用的两种多因素认证方式是动态口令和数字证书。动态口令或动态密码可以通过令牌（多为银行）或手机（如支付宝的手机ME令牌、银联在线的手机短信动态码）提供，目前相对比较安全，主要风险是手机丢失；数字证书是给用户颁发唯一的数字证书作为身份凭证，基本实现移动数字证书（USB Key、U盾等）。证书认证的不便之处在于需要随身携带并在安装了证书的终端上使用，也有一定的成本，U盾本身的安全性并不是无懈可击的，需要不断升级，用户数量众多可能会导致更换U盾成本高昂的无底洞。

，基于云的多因素机制

现在和未来的互联网服务都需要解决用户身份认证问题，也就是你是谁。没有好的网络安全解决方案，没有解决云计算服务时代的用户安全问题，被称为互联网第三次革命的云计算就不可能真正腾飞。没有好的网络安全解决方案，用户上网就有顾虑，网络实名制、个人隐私保护的需求在不断增长。

安全认证方案是由知名网银安全认证公司创始人林茂聪提出的，用他的话来说，是想自我革命，过去以硬件作为身份认证，现在则走向纯云端架构，以服务为主题，达到同样的目的。他认为，近几年云端服务的概念逐渐成型，加上移动设备的概念也愈加成熟，因此有可能有这样的商业运作模式，摆脱过去存在的一些问题，如成本高、推广难度大、一旦被破解需要立即更换大量设备等。更重要的是，硬件身份认证的概念在云端环境下将难以应用。

简单来说，我们想要解决的问题很简单，首先要保证用户的支付卡只能在自己所在的地方使用，这样就不存在信用卡欺诈的可能性了。其次，只有用户自己才能在自己的终端设备上登录自己的账户。这就意味着，包括用户自己在内，全球 70 亿人中，除了用户自己的终端设备外，没有人可以在全球其他 100 亿台设备上登录用户的账户。

这样提供的认证方式是：在双因素用户名和密码的基础上，增加可绑定的个人终端设备ID、地理位置，甚至在线时间，并增加与消费者行为分析相关的风险评估机制（可分析其他用户是否尝试通过其他终端登录用户账号），通过采用多因素认证方式来提升安全性。出于安全考虑，也为了保护客户隐私，利用云端资源通过加密分布式存储等方式存储用户注册信息，用户只能通过自己事先设定的地理区域内的一台或多台绑定终端以自己的身份登录。所有的访问和尝试登录日志都会保留在系统中，用户可以方便地查询。由于这种认证方式是基于软件和云端服务，成本极低，在不大规模增加成本的情况下提升了整个行业的安全水平。

用户操作起来也比较方便，首次使用终端注册登录时，会赋予用户一个唯一的ID，登录设备也会赋予一个唯一的设备ID，这两个ID和设备本身在以后的登录中是关联的，之后进入系统时可以设置其他设备和使用区域的绑定。提供该服务的支付机构或网络服务商可以自行设定风险规则，确定特定情况下的风险阈值和使用要求。应该说，使用云端认证和单点登录，在不改变用户现有习惯的情况下，保证了用户身份的合法性。

除了电子支付外，电子商务公司、网络游戏、网络银行、电子政务等营运机构，均可使用此身份认证方式，确定并管理其客户身份。台湾的游戏公司已使用此解决方案，并取得良好效果。客观地说，此解决方案提出了一个值得思考的问题，即我们是否需要为安全而不断升级和投资硬件，而能否透过新的云端服务，以低成本且更佳的方式实现线上身份安全认证？