电子资金支付的安全需求及关键技术

【摘 要】随着电子商务的发展，在线电子资金支付已成为人们最主流的一种消费购买方式。本文主要阐述了电子资金支付的安全需求以及解决安全需求的关键技术。

【关键词】电子商务 电子资金支付 安全需求

【中图分类号】TP399 【文献标识码】A 【文章编号】1674-4810（2013）31-0196-02

随着平板电脑、智能手机的广泛应用与迅猛普及，电子商务以其便利、便宜、多样化等优点，已成人们最主流的消费方式。电子商务刚出现时，只能浏览商品和下订单，不能在线支付，付款则通过传统的支付方式完成。不方便的传统支付方式成了电子商务发展的瓶颈，方便快捷的支付方式——电子资金支付应运而生。电子资金支付形式的出现，虽促进了电子商务的发展，但同时也引发了资金支付安全、买卖双方身份认证、电子文件认证以及监管等一系列问题。如何确保个人资金的安全、个人信息的安全，已经成为人们最为关注的问题。

一 电子资金支付的安全需求分析

Internet不受时空、地域的限制，是一个开放性的互联网络，电子资金支付基本上是暴露在所有人面前。要想保证电子资金支付的安全性，首先要确保网上交易的载体——计算机网络的安全以及用户机终端的安全。目前电子资金支付的安全需求主要有：

1.电子资金支付机密性

电子资金支付机密性主要指非法用户不得访问未经授权的数据，以免数据失密。主要分为数据存储机密性和数据网络传输的机密性。阻止非法者以非法手段窃取数据或者对传输数据进行窃听、侦听等，防止机密数据被破译。

2.电子资金支付完整性

电子资金支付完整性是指未经授权的用户不得对数据进行修改，确保数据处于未受破坏的原始的完整状态。主要分为数据存储完整性和数据网络传输的完整性。不允许非法用户对支付信息进行篡改、删除或者插入；保证数据传输过程中支付信息的正确性。

3.电子资金支付可靠性

电子资金支付可靠性是指电子资金支付系统能够有效鉴别用户身份的合法性与可靠性，能够有效地保护私有密钥和口令，识别伪造地址，防范非法链接，防止侵占或者使用合法用户的资源，确保系统的无故障性和无差错性。

4.电子资金支付可用性

电子资金支付可用性是指信息可被授权用户访问并且授权用户可根据需求使用。防止因病毒或者其他人为因素造成的拒绝对被授权用户服务的现象；防止非法用户通过非法手段滥用他人机器或盗用他人信息。电子资金支付的可用性与硬件的可用性、软件的可用性、人员的可用性、环境的可用性等方面密切相关。

5.电子资金支付不可否认性

电子资金支付不可否认性也称为不可抵赖性，是指电子资金支付系统应该保证支付信用和支付行为的不可否认性，防止支付双方抵赖交易行为，否认交易结果。

6.电子资金支付有效性

电子资金支付有效性是指电子资金支付系统能够有效防止支付延迟和拒绝服务的情况。防止由于操作系统安全漏洞、计算机网络故障、硬件故障、操作失误、应用程序运行错误及计算机病毒等问题，导致系统资源管理和使用的不合法，中断服务等情况。

7.计算机安全技术与安全管理人员相结合

电子资金支付需要根据实际情况，在系统开发、网络建设等方面做相应的规范。未授权者如果不能通过物理入侵来获取所需数据时，就会通过电子邮件、微信、聊天工具等其他途经来获取所需数据，从而取得对主机的操作权限以进一步窃取资源。

8.安全产品与集中管理相结合

电子资金支付是一个软硬件集成的有机整体，仅依赖于某些安全产品，不可能有效保护整体的系统安全，还必须对其进行有效的安全管理，需要把与安全相关的各方面和各层次的安全产品、分支机构、运营网络、客户等纳入到一个管理体系中，才能有效地保障电子资金支付系统安全。

9.提高应用软件的安全性

应用软件的评测过程中，发现软件编写时质量控制不够严格或程序开发时对安全了解不到位等，而导致的严重后果，这些都需要进一步提高应用软件的安全性。

二 解决电子资金支付安全需求的关键技术

1.数据加密技术

电子资金支付机密性涉及的安全技术主要是数据加密技术。数据加密技术，是使用数学原理对原始数据（明文）进行重组形成一组新的数据（密文），然后再在网络上传输密文。合法的接收者在接收到密文后，通过正确的密钥得到原始数据（明文）。非法接收者没有正确的密钥得到的就是无意义的文字。加密技术是由来已久的最基本的安全技术，是实现电子资金支付机密性的一种重要的手段。

2.杂凑函数

电子资金支付完整性涉及的安全技术主要有杂凑（HASH）函数。杂凑函数按是否有密钥控制分为两种：一种有密钥控制的为密码杂凑函数，以h（k，M）表示；另一种无密钥控制的为一般杂凑函数。一般杂凑函数无密钥控制，非法用户很容易对其进行篡改、删除或者插入，不能用于身份认证，只能用于检测数据接收是否完整，如MDC。

密码杂凑函数要满足各种安全性要求，其杂凑值不仅与输入有关，而且与密钥有关，只有持有密钥的人才能计算出相应的杂凑值，因而具有身份验证功能，如MAC。

3.数字凭证

电子资金支付可靠性涉及的安全技术主要有数字凭证。数字凭证又称为数字证书，给授权用户身份提供可信赖的电子凭证，给授权用户提供网络资源的使用权限。在电子资金支付交易中，只要双方都出示了自己的数字凭证，那么交易双方的身份就是真实的、可信赖的。

4.数字签名

电子资金支付可靠性和不可否认性涉及的安全技术主要有数字签名。数字签名是将公钥算法和杂凑函数相结合，用以鉴别原始报文。数字签名中包含A的私钥、B的公钥和B的私钥。A的私钥用以确认A的身份；B的公钥用以确保此签名只有B能够认证，并且加密被签名的消息；B的私钥用以当B验证成功之后再用私钥解密。第三方假冒发送方发送了一个文件，接收方在接收文件后对其进行解密，解密使用的是发送方的公开密钥，第三方获取的也是发送方的公开密钥。

5.认证（CA）

CA是为用户签发证书，提供身份认证服务的第三方认证机构。在交易时由交易双方都信赖的第三方机构对买卖双方身份进行验证，以确保交易双方身份的真实性、可靠性。

6.安全协议

电子商务中常用的电子资金支付安全协议有SSL和SET。安全套接SSL协议，向客户机与服务器提供了一条面向连接机制的安全通道。简单地说，SSL协议就是在互联网上为客户和商家之间建立了一个“秘密传输数据的通道”。 “秘密通道”保证数据在通道中以机密性、完整性和认证性形式传输。SSL协议中只有商家对客户进行认证，不需要客户对商家的认证，存在客户被不良商家欺骗现象；交易时客户数据先传到商家，商家阅读后再传到银行，存在客户资料泄密现象。正是由于SSL协议的这些缺陷，使其逐渐被新的SET协议所代替。

安全电子交易SET协议，是专为解决信用卡、借记卡等卡在线支付安全性问题而制定的唯一具有实用性的标准。SET协议不但对客户信用卡进行认证，还增加了SSL协议所不具备的商家身份认证。

7.防火墙技术

网络安全是电子资金支付的安全基础，网络安全最重要的就是防火墙技术。防火墙的主要功能是加强网络之间的访问控制，防止非法用户以不正当的手段通过外部网络入侵内部网络。它对两个或多个网络之间传输的数据包和链接方式按照一定的安全策略对其进行检查，然后来决定网络之间的通信是否被允许，并监视网络运行状态。简单防火墙技术可以在路由器上实现，而专用防火墙提供更加可靠的网络安全控制。

三 结束语

电子商务将长期深远地影响全球的经济、政治和法律，只有提高电子资金支付的安全系数，才能更进一步促进电子商务的发展。

参考文献

[1]潘光辉.电子商务及其安全技术[J].商场现代化，2007（1）

[2]黄小虎、文斌、胡致杰.电子支付的安全性分析与策略[J].华南金融电脑，2008（4）

[3]张颖江、吴进云.电子商务中的网上支付安全性研究[J].现代商贸工业，2009（2）

[4]李浩.浅谈电子商务发展的瓶颈——电子支付的安全问题[J].科技资讯，2008（8）