面向3G的移动支付安全解决方案研究

现代计算机（总第三一一面向3G 的移动支付安全解决方案研究白丽（华南师范大学增城学院，广州511363）摘要：关键词：3G ；支付；安全；解决方案收稿日期：2009-04-28修稿日期：2009-07-02作者简介：白丽（1981-），女，郴州宜章人，助教，本科，研究方向为计算机基础教学和电子商务教学针对面向3G 移动支付安全的三个问题，包括传输过程的加密问题、身份识别的缺乏问题、信用体系的缺失问题，提出可行性解决方案，即利用移动安全加密认证机制（WPKI ）技术解决移动电子商务过程中缺乏加密和身份识别环节的问题，在支付流程上引进第三方移动支付工具解决人们担心的信用问题。

0引言3G 虽带来便利性，但现阶段必须还要承受一定的风险性，即传统电子商务商务过程中同样也存在的支付安全问题。

作为新兴的电子商务行业，移动电子商务由于其行业特性，它所带来的支付安全问题也具有一定的行业特点。

1移动支付安全性问题从目前来看，移动支付主要有三大原因对安全问题造成影响：第一，传输过程的加密问题；第二，身份识别的缺乏；第三，信用体系的缺失。

2移动支付安全解决方案笔者认为，可以借助第三方移动支付平台，及综合利用移动安全加密认证机制（WPKI ）和第三方移动支付工具等相关手段解决上述移动支付安全问题。

2.1WPKI 技术原理WPKI 是传统的PKI 技术应用于无线环境的优化扩展，它同样以非对称加密技术为基础核心，通过第三方的可信任机构—认证中心（CA ）颁发和管理数字证书，并提供验证用户身份的服务，从而实现信息的安全传输。

PKI 技术是利用非对称加密技术建立的提供信息安全服务的基础设施，它是国际公认的互联网电子商务的安全认证机制，在网络环境中提供数据加密以及数字签名服务的统一的技术框架。

非对称加密体制是目前应用最广泛的一种加密体制，在这一体系中，加密与解密的密钥各不相同，每个用户拥有一把仅为本人所掌握的私有密钥（私钥），用它进行解密和签名；同时拥有一把公共密钥（公钥）并可以对外公开，用于加密和验证签名。

当发送一份保密文件时，发送方利用接收方的公钥对数据加密，接收方利用自己的私钥解密，这种方式既保证了信息的机密性。

发送方也可以用自己的私钥对信息加密形成数字签名，保证信息具有不可抵赖性。

PKI 和WPKI 最主要的区别在于证书的验证和加密算法。

WPKI 采用了优化的ECC 和压缩的X.509数字证书。

加密算法越复杂，密钥越长则安全性越高，但执行运算所需的时间也越长（或需要计算能力更强的芯片）。

所以，支持RSA 算法的智能卡通常需要高性能的具有协处理器的芯片。

而ECC 使用较短的密钥就可以达到和RSA 算法相同的加密强度。

ECC 椭圆曲线加密技术提供一种运算量小同时能提供高加密强度的非对称加密体制对在智能卡上实现数字签名的基础，突破智能卡受CPU 处理能力和RAM 大小的限制。

PKI X.509中一个1024位加密算法，手机需要半分钟才能完成，而WPKI 采用的椭圆曲线密码体制，密码长度可以为165位，实际应用和传统PKI 的1024位或2048位安全强度一样，运算量小，复杂度也随之降低，适合解决移动电子商务的信息传输的安全问题。

2.2通过实名论证获取数字证书第三方移动支付平台需先与国家认证中心合作，能颁发和管理数字证书。

顾客、商家分别在第三方移现代计算机（总第三一一期动支付平台上以实名（包括身份证、一个银行帐户、家庭真实住址）注册、申请数字证书。

第三方移动支付平台委托第三方信用公司对用户的身份证信息和银行帐户进行核实，审核后发放数字证书，用户将其存放在智能卡中。

顾客和商家直接通过第三方移动支付平台进行双向身份认证，彼此产生信任。

2.3移动支付安全交易流程（1）顾客使用手机浏览商务网站选择商品，将商品信息（包括商品名称、规格、数量、价格、购买时间）、用户编号、交货地址等购买信息发给商家。

（2）商家收到购买信息后，产生订单，并同时产生惟一的订单号。

然后商家将订单信息（包含商品名称、规格、数量、价格、运送方式、总金额、交货地址）、订单号发给顾客。

（3）商家将订单信息、订单号、顾客手机号码数字签名,使用DES对称加密形成请求支付信息，再把DES密码使用第三方移动支付平台公钥加密，然后一起发送到第三方移动支付平台。

（4）第三方移动支付平台：第一，使用私钥解出DES密码，使用DES解密取得订单。

第二，将订单，使用DES加密，再把DES密码使用顾客公钥加密，形成请求确认订单信息，把请求确认订单信息发送到顾客手机。

第三，把订单信息写入第三方移动支付平台的交易记录中，以便顾客商家查询和检查交易进展。

如果没有收到顾客确认订单信息，则交易终止。

（5）顾客首先对请求确认订单信息解密，确认订单无误，然后把确认订单信息以及订货号使用顾客私钥加密，通过手机发送到第三方移动支付平台。

（6）顾客在手机银行支付方式和第三方移动支付平台的自身帐户支付方式中选择，如果选择第一种方式，顾客登录手机银行，将转账信息用私钥签名，再用银行公钥加密发送给银行。

银行根据转账信息，将钱转给第三方移动支付平台；如果选择第二种，如果顾客看到帐户中余额不足，顾客登录手机银行，个人证书使用私钥签名，再用银行公钥加密，发送转账信息到银行。

银行根据转账信息，把钱转到第三方移动支付平台的顾客账户中。

第三方移动支付平台使用顾客公钥解密确认合同信息，从顾客账号中预扣货款。

顾客支付货款到第三方移动支付平台后，第三方移动支付平台私钥加密发送发货通知给商家。

（7）商家根据通知发货，然后把物流公司、物流号等信息加密后发送到第三方移动支付平台。

（8）顾客收到货后进行验收，验收通过，把订单号、物流号、确定收货等信息私钥加密，在用第三方移动支付平台公钥加密，使用手机发送给第三方移动支付平台。

如果验收不合格，将货寄回商家，同时向第三方移动支付平台发送退货信息，并同时向商家和移动支付中心阐明退货理由。

如果顾客在规定时间内没有向第三方移动支付平台发出确定收货或退货信息，则移动支付中心自动按确定收货处理。

（9）第三方移动支付平台收到确定收货信息后，将货款汇到商家账户。

（10）商家被退货到手后，通过手机向第三方移动支付平台发出同意退款信息，该信息先用商家私钥签名，再用第三方移动支付平台公钥加密。

移动支付中心将预扣款退回顾客账户里。

（11）商家和顾客在交易完后均须在移动支付中心记录交易网站对对方作出评价，累积诚信积分。

移动支付中心根据顾客支付额度给予积分，从积分上给予顾客优惠话费，以降低交易成本。

至此完成交易过程。

3方案可行性分析第一，使用WPKI技术有效地解决移动电子商务交易中身份的不可确认性、信息传输过程中的不安全性。

第二，交易流程中，因为交易双方都不敢轻易相信对方，顾客怕商家收款不发货，商家怕顾客收货不付款，所以引进第三方移动支付平台，在买卖双方之间充当中间人角色，由它收款、通知卖家发货、接受买家放款指令，能有效地增加交易双方的信赖度，促进交易的顺利完成。

4结语支付安全问题制约着传统电子商务的发展，同样也是面向3G的移动电子商务发展的绊脚石，只有解决这个问题，3G才能凸现它的魅力，让大家体验3G带来的便利。

参考文献[1]胡坎.感受3G移动时代[J].家电科技，2006，10：76[2]李广莉，宋文津．移动电子商务中的WPKI技术[J]．商场现代化，2007，2S：33[3]陈平昌，麦涛．移动电子商务安全支付解决方案[J]．商场现代化，2007，4S：104~105（下转第154页）现代计算机（总第三一一期开发案例Design of Expression Calculator Based on CompilerTheoryYANG Jian-wu，LI Rong（Zengcheng College,South China Normal University，Guangzhou511363）Abstract：Keywords：Expression；Compiler Theory；Operator Priority Algorithm参考文献[1]马骏．C#网络应用编程基础[M]．北京:人民邮电出版社，2006[2]胡伦骏，徐兰芳，骆婷.编译原理（第二版）[M].北京:电子工业出版社，2005[3]邵鹏鸣．C#面向对象程序设计[M]．北京:清华大学出版社，2008[3]苑旭，董民辉，杨洪振．使用Visual C#.NET开发Windows应用[M]．北京:希望电子出版社红旗出版社，2005By using operator priority algorithm and considering the function requirement of calculator,realizes an expression calculator successfully.The expression calculator can analyse if theexpression input is correct,The calculator contains simple four arithmetic operation,thecomplexity of computing mathematical expression,conversion between number systems.itsuser-interface is clear,simple and easily manipulative.Research on3G-Oriented Mobile Payment SecuritySolutionBAI Li（Zengcheng College,South China Normal University，Guangzhou511363）Abstract:Keywords:3G;Payment;Security;SolutionAgainst the three problems of the security of3G mobile payment,including encryptionproblem during the transmission,problem of lacking identification process and problem oflacking credit system,gives suggestions to solve these problems,that is,using WPKI tech-nology to solve the problems of encryption and identification,as well as using payment in-strument of the third party to solve the credit problem.!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!（上接第128页）。