2017年1月11日，“2017中国移动支付年会”在北京召开。中国信息通信研究院电话终端实验室信息安全部副主任袁琪出席会议并讲话。主要内容包括移动支付安全发展背景、安全威胁、防护技术、安全标准、安全发展建议等。

以下为演讲全文：

下午好，同事们。我来自中国信息通信研究院。我今天的演讲叫做移动支付安全威胁与技术分析。很高兴有机会在这里和大家分享支付安全问题。

首先介绍移动支付安全的发展背景，然后移动支付面临哪些安全威胁？而针对这些威胁，移动支付从终端到平台层面都有哪些安全防护技术呢？就目前的安全技术而言，我们目前国内外的移动支付安全标准是什么？最后对移动支付的安全发展提出建议。

第一部分是移动支付。我们也知道移动支付，无论是从移动互联网终端应用到平台，都看到了移动支付的蓬勃发展，并做出了很多相应的技术演进。首先让我们看到移动支付的蓬勃发展。从这个图中我们可以看到，从2015年第二季度到2016年跨季度，我国第三方移动支付模式的交易规模，可以说是每年100%、200%的增长趋势。年。它所带来的微信支付和电商支付可以说已经深入到了人们的日常生活中，所以我们从事移动支付的终端，从芯片到操作系统都开始支持移动支付功能，比如各种NFC技术和一些与移动支付配合的安全技术。与此同时，各种正在快速发展的应用，比如社交网络、微博、微信等，也都具备了移动支付的功能，或者正在向移动支付渗透，或者由于深度融合，那么移动电子商业就更不用说了。

在平台方面，为移动支付提供了良好的服务平台，相应地也为移动支付提供了应用平台。支付平台发展非常快，所以我们可以看到无论是终端云还是等等，移动支付都呈现出蓬勃发展的趋势，移动支付已经成为各种移动互联网应用价值的重要变现渠道。它的地位也在不断的提高，所以从这个移动分类我们可以看到，移动应用大致可以分为广义的广告、产品和服务、电子商务和银行。同时我们可以发现，这种以及成熟的移动互联网应用都将移动支付作为刑事犯罪。因此，一个好的应用必须兼容移动支付才具有非常好的生命力。移动支付是完成对商品或服务的支持的手段。我们可以体现在这几个方面，电商零售商向开发商付费、网络游戏运营商、移动互联网内容提供商以及移动互联网纠纷。

所以我们可以看到移动支付已经越来越离不开我们的各种应用，而且它的地位也在不断的提升。随着移动支付的蓬勃发展，移动支付和应用的快速发展，在一定深度下，移动支付也成为了应用的价值线渠道，由此引发的移动支付安全事件也频频发生。 ，这种威胁也日益凸显。我们可以看到，除了运营之外，移动支付安全也成为当前研究的热点。目前，我们经常会看到二维码被植入恶意程序等事件。 ，或者我们经常下载山寨版本，或者钓鱼网站，这就是我们身边发生的事情。这时，您的计算机就会被恶意程序入侵，您的所有账户和密码都会被盗取，从而威胁到移动支付的安全。同时，我们经常会出现一些山寨的支付软件，这让不知情的人意识到了这一点。用户下载该病毒后，可造成数千万美元的巨额财产损失。随着此类移动支付安全事件的频繁发生，大家对移动支付的安全意识也越来越强烈。从刚才频发的事件中我们可以看出，大家最关心的是什么？可以说，最终大家关心的还是账户安全。目前，我们可以看到移动账户的形式有很多种，比如基本的银行账户、第三方自有账户以及我们平时使用的一些资金账户、虚拟货币账户等，但它们都是外在表现最终来自于两类账户，即银行账户和私人账户。银行账户是付款人在银行开立的账户，主体是银行企业。

总而言之，安全的两个核心要素是什么？是账户的身份认证和账户交易的数据安全。我们可以完成从开户到登录审核，再到资金划转和账户资金清算的整个移动支付生命周期流程。它贯穿于整个支付过程。其中我们可以看到，我们所有的支付安全最终都是为了保证账户安全。

其次我们来分析一下支付安全面临哪些威胁？我们把移动支付框架分为三层，也就是我们常说的终端管理，也就是终端的安全。我们去云平台。其中，终端层和云平台层是支付安全的重点。终端存在。安全与云平台生态安全的相互配合和互动，可以保证我们移动支付账户的身份认证，以及交易数据存储和传输的安全。终端的安全性当中，就是我们现在都在使用的智能手机。终端。我们可以进一步细分为操作系统安全、应用安全、通信安全、数据安全和硬件安全。通信网络层是运营商提供的管道，因此包括公众网络和短距离通信网络，以及云平台层。哪些与移动支付密切相关？采用TSM品牌，构成了整个移动支付的安全框架。这些级别的安全威胁是什么？我们可以看到，终端安全现在也是一个非常热门的话题。刚才大家看到，它是由操作系统、应用数据等引起的，它的安全威胁是在软件安全方面。软件包括操作系统和应用软件。我们可以看到它的威胁是什么？操作系统和软件存在漏洞，终端可以进行攻击。例如，我们的软件中存在后门。使用软件后门或特权用户进行项目分析。这时候就可以通过逻辑漏洞找到秘钥和证书。

另一个威胁是来自硬件的威胁。硬件有两层，一层是基础硬件。另一层终端利用也可能是由近场通信协议拦截或伪造身份信息造成的，但更多来自软件攻击和更深层次的硬件。在网络和平台层面，通信至于网络层，有哪些威胁？例如，终端与平台之间的通信网络传输未加密，或者终端和网络层协议的安全性存在缺陷。我还可以利用这个漏洞来篡改或窃听某些内容。

另一方面，还有来自云平台的威胁。这个威胁也是非常大的。有可能是我的病毒恶意代码攻击了平台。这些可能会导致平台和应用程序服务中出现一些漏洞。

这是我们分析我们可能面临的一些威胁的地方。目前有哪些技术可以防范这些威胁？我们来分析一下。

关于终端整体的安全技术，我们也是按照他们的层次，从软件、通信协议、硬件三个层面有一些安全技术。软件层面可以通过代码混淆和加密来增加逆向分析的难度，或者进行业务逻辑分析。为了避免逻辑漏洞，建立完整的设计、开发和流程响应，我们需要在通信协议中添加访问控制认证机制等，并对传输的信息进行加密。

在硬件层面，我们需要在硬件层面采用安全架构，比如采用专门的安全芯片进行存储，或者采用安全架构对软硬件层面提供统一的保护，目前在很多智能手机中都采用了这种架构。终端。 T安全保护。 T安全防护技术的理念是，整个终端分为两个区域，一个是安全支付应用，另一个是可信区域。例如支付安全、政府应用。

所以我们可以看到，从底层硬件操作系统到API交互应用程序，一切都在一个隔离的区域。同时，一些安全敏感信息，如秘钥等，都放置在T环境中。也就是说，我们提倡为高强度的移动支付安全提供更多的安全保障，是由硬件、软件和协议组成的。所以它实际上是一个加密芯片，通过一些预先设计的安全规则来保护我们。有了一些机密信息，我们就可以灵活地为不同的应用提供不同级别的安全环境。

从这张图中我们可以看到，从硬件安全到操作系统安全再到上层应用和用户数据，我们可以提供非常灵活的解决方案，所有这些都应用在多运行环境中。每个房间相互隔离，称为安全域。有主安全和辅助安全之分。辅助安全就是每一项的应用。比如招商银行就使用了建设银行的应用，所以我们可以看到这样的NFC也是通过这样一个独立隔离的安全环境来保证的。证明了我们每个APP上的支付软件的密钥是可以互相隔离的，所以我们可以看到SE本身就是一个非常安全的环境。由于安全级别高，可以为移动支付提供良好的安全环境。环境，除了终端SE和提出的环境之外，我们还需要平台测试来配合。也就是说，智能终端与SE、TSM平台之间，支持多应用管理协议，平台也多用途管理理论，按权限、生命周期进行管理。同时，PS3平台可以通过S1芯片支持特定的安全协议，并保证SE与平台之间的安全交互。这样可以保证刚才提到的传输通道的加密，同时也为TSM平台提供了安全保护措施，保证安全。 。

在应用安全方面，支付软件的安全必须保证设计安全。也就是说，必须保证其整个生命周期的安全设计。同时，必须防范一些代码风险风险，因为软件需要进行加固，必须使用一些风险控制来保证移动支付软件的安全性和完整性。同时要保证使用软件的开发者身份真实性和流通渠道。

刚才我们提到了还有一个重要的技术，就是身份认证技术。您需要确保您的合法身份才能使用您的账户。可以看到传统的身份认证有两种方式：单因素认证，也就是我们经常使用的密码。密码和两因素认证，例如Udun系统身份认证、指纹识别、面部识别。这种情况下，如何保证身份认证的安全呢？我们需要通过密钥管理安全存储、物理环境和运行环境技术要求来保证安全的身份认证。现在我们的很多指纹和都存储在T1中。也就是说，指纹信息的存储，如果指纹信息泄露的话，会对身份认证造成比较大的威胁，所以我们可以看到，针对这种身份生物识别的认证系统可以分为两种，一种是一个是身份识别阶段，另一个是身份验证阶段。 。身份识别需要收集身份信息并与预先存储的信息进行验证，这意味着将身份信息连接到远程服务器。所以我们的指纹识别、虹膜识别其实都要经过这样一个过程。当前所有技术范围从终端到平台。目前移动支付的技术标准是什么？我们可以看到，国际标准中，已经制定了多应用管理协议标准来解决多终端SD模块的问题。同时，GP还颁布了T1相关技术和标准。国内标准意味着工信部发布了一系列移动支付标准。同时，中国人民银行也无法出台一系列移动支付标准。同时，我们产业联盟也在推进智能终端的安全检测认证从 1到 5。目前我们部门已经具备了检测终端安全能力，这是通过TE的S1模块来解决的。

客户端软件安全，这是移动支付国际安全标准的情况，也就是说多用途管理协议和GP已经制定，T1的国际标准已经发布。目前T1的国际标准包括架构和累积可信度。安全要求和一次性用品等。这是工业和信息化部发布的移动支付通信行业标准，包括终端安全、技术要求和测试方法，以及智能卡和本质安全模块的技术要求。

最后我想谈谈我们对移动支付安全发展的建议。可以从政策、技术、标准三个方面推动移动支付安全发展。我们也知道，央行也出台了一系列关于支付安全的政策法规。我认为还需要进一步细化，互联网支付、互联网账户的实施细则，以及账户交易和数据安全的进一步保障。监督执行。

在技​​术方面我们将采取哪些建议？例如，需要在终端账户和业务交易中采用可信的安全加密和完整性进行安全防护，通过多种认证方式进行确认，保证通信的安全。在商业平台方面，需要高等级的安全防护服。为防范恶意代码和病毒的攻击，必须建立覆盖整个账户和业务交易环节的风控平台和监管机制，确保账户支付和交易环节操作规范化。

在标准方面，我们也希望对工信部和人民银行发布的移动支付安全标准进行监督执行，开展安全标准的认证和测试，确保整个支付过程的安全。移动支付行业。

我的整个演讲就到此结束，谢谢大家。