电子支付与电子商务安全

电子支付与电子商务安全电子支付的概念•电子支付（Electronic payment）是以计算机和通信技术为手段，通过计算机网络系统以电子信息传递形式实现的货币支付与资金流通。

电子支付的发展阶段•第一阶段是银行间采用安全的专用网络进行电子资金转账（EFT），即利用通讯网络进行账户交易信息的电子传输，办理结算；•第二阶段是银行计算机与其他机构计算机之间资金的结算，如代发工资，代交水费、电费、煤气费、电话费等业务；•第三阶段是利用网络终端向用户提供各项银行服务，如用户在自动柜员机（ATM）上进行取、存款操作等；•第四阶段是利用银行销售点终端（POS）向用户提供自动扣款服务，这是现阶段电子支付的主要方式；•第五阶段是最新发展阶段，电子支付可随时随地通过互联网络进行直接转账结算，这一阶段的电子支付称为网上支付。

电子支付的特点•电子支付是采用先进的信息技术来完成信息传输的，其各种支付方式都是采用数字化的方式进行款项支付的，而传统的支付方式则是通过现金的流转、票据的转让及银行的汇兑等物理实体的流转来完成款项支付的。

•电子支付的工作环境是基于一个开放的系统平台（如互联网）之上，而传统支付则是在较为封闭的系统中运作。

•电子支付使用的是最先进的通信手段，如互联网、外联网，传统支付使用的则是传统的通信媒介。

电子支付对软、硬件设施的要求很高，而传统支付则没有这么高的要求。

•电子支付具有方便、快捷、高效的优势。

用户只要拥有一台联网的微机，足不出户便可在很短的时间内完成整个支付过程。

电子支付可以完全突破时间和空间的限制，可以满足每周7天，每天24小时的工作模式。

网上电子支付系统•目前在互联网上出现的支付系统模式已有十几种，这些大多包含信息加密措施的系统大致上可以划分为三类。

第一类是数字化的电子货币系统；第二类是使用已有的安全清算程序对互联网的网上支付提供信息中介服务；第三类是针对银行卡主攻加密算法，使银行卡支付信息通过互联网向商家传递，利用金融专用网络提供独立的支付授信；或者采用智能卡技术实现联机支付。

在线电子支付方式（一）•在线电子支付是电子商务的关键环节，没有实时的电子支付手段相配合，电子商务的优势和效率就体现不出来。

因此实时电子交易和在线电子支付是电子商务的两个基本组成部分。

互联网上的在线支付必须具有高度的安全性，这种安全性包括：完整认证客户，信息完整传输，无拒付支付，有效的查账机制，隐私权保护，可靠的信息服务。

在线电子支付方式（二）•公共网络系统的安全性可以依靠用户、商家的认证、数据的加密及交易请求的合法性验证等多方面措施来保证。

电子交易过程中必须确认用户、商家及所进行的交易本身是否合法可靠。

一般要求建立专门的电子认证中心（CA）以核实用户和商家的真实身份以及交易请求的合法性。

•电子商务环境下使用的在线电子支付方式主要有：电子现金、银行卡、电子支票、智能卡和移动电子支付。

利用银行卡在线支付•目前在线购物大部分是用信用卡和借记卡来进行支付的。

信用卡和借记卡是银行或金融公司发行的，是授权持卡人在指定的商店或场所进行记账消费的凭证，是一种特殊的金融商品和金融工具。

信用卡可以透支一定的额度，借记卡不可以透支，只能在卡上存有的金额内支付。

银行卡在线支付流程•现以招商银行“一卡通”为例，了解网上使用银行卡的过程。

网上支付申请•只要是招商银行“一卡通”的用户即可登陆招商银行网站，点击“个人银行”进入“支付卡申请”，开通网上支付功能；亦可携带本人身份证和“一卡通”到招商银行营业点申请办理本项服务的开通手续，取得网上支付卡和专用密码。

专户转账•在成功申请网上购物功能后，招商银行即为用户在活期人民币储蓄账户下设立了“网上支付”专户，用户在进行网上消费前需将资金通过招商银行的电话银行或网上“支付卡理财”自助转入此专户。

用户随时可以通过“支付卡理财”查询账户余额及明细、挂失、修改密码及网上购物。

选购商品•用户可向任何提供招商银行“网上支付”服务的网上商户选购商品和服务，当选购完商品和服务并确认后，使用鼠标轻击“一卡通付款”栏，就会自动被引导到招商银行的网站并进入支付程序。

网上支付•依次输入用户的网上支付卡号及网上专用密码，客户终端显示操作结果。

交易确认•为避免出现由于商户库存不足等原因以至无法供货等情况，所有购物交易均须经商户确认后方告成立。

客户可随时通过招商银行网页“支付卡理财”查询历史交易的成交状况。

基于第三方代理的银行卡支付•通过第三方代理的银行卡支付过程是：用户在第三方代理人处开账号；第三方代理人持有用户账号和信用卡号；用户用账号从商家订货；商家将用户账号提供给第三方代理人；第三方代理人验证商家身份，给用户发送电子邮件，要求用户确认购买和支付后，将信用卡信息传给银行，完成支付过程。

基于第三方代理的信用卡支付流程基于安全电子交易的银行卡支付•SET（secure electronic transaction）是安全电子交易的简称，它是 Visa、Master两大国际卡组织和多家科技机构共同制定的进行在线交易的安全标准。

SET主要是为了用户商家和银行通过信用卡交易而设计的。

用以保证支付信息的机密、支付过程的完整、商户和持有人的合法身份以及互可操作性。

•由于SET提供了用户、商家和收单银行的认证，确保交易各方的身份的合法性和交易的不可否认性；同时银行与商家之间是“背对背”的。

商家只能得到用户的定购信息，而银行只能获得有关支付的信息。

确保了交易数据的安全、完整和可靠。

SET 的安全技术•SET中的核心技术主要有对称加密、非对称加密、消息摘要、电子签名、数字信封、双重签名和认证等技术。

双重签名技术是指SET要求将订单信息和个人信用卡账号信息分别用商家和银行的公钥进行电子签名，保证商家只能看到订货信息，而看不到持卡人的账户信息，并且银行只能看账户信息，而看不到订货信息。

基于SET的银行卡支付的工作流程移动电子支付•从2002年开始，移动支付就已经成为移动增值业务中的一个亮点，2002年5月，中国移动开始在浙江、上海、广东、福建等地进行小额支付试点带动了相关兴趣方，尤其是以中国银联为主的金融机构对该业务的极大关注，2003年起各地移动通信公司纷纷推出相应的移动支付业务，北京移动通信公司推出名为“手机钱包”的手机支付业务，上海推出出租车上的银行移动POS机。

中国联通在大力推动CDMA 业务的同时，也对移动支付业务寄予了厚望，也与中国银联签订了战略伙伴。

2002年5月中联通在江苏无锡正式推出“小额支付移动解决方案”试验系统，移动支付有着任何时间、任何地点、任何方式的优势。

移动支付已经逐渐被人们普遍接受，拥有了广泛的用户基础。

国内外移动支付业务的应用•国外移动运营商早已推出手机小额支付服务。

在英国的赫尔市，爱立信公司开发的手机支付服务允许汽车驾驶员使用手机支付停车费。

•在芬兰南部城市科特卡，顾客通过芬兰的“移动支付系统”，使用手机支付货款简单易行，顾客只需通过研制这一系统的公司开一个“移动户头”，即可通过手机将有关付款数额和付款时间的文字信息发送到商家的户头上履行付款手续。

•瑞典的Paybox公司，在德国、瑞典、奥地利和西班牙等几个国家成功推出了手机支付系统。

•在澳大利亚悉尼消费者可用手机拨号买饮料；在瑞典，手机用户可在自动售货机上买汽水；在日本，观众可以通过手机预订电影票；在诺基亚总部，雇员可用手机付账喝咖啡……。

移动支付的优点•移动支付作为一种崭新的支付方式，具有方便、快捷、安全、低廉等优点，将会有非常大的商业前景，而且将会引领移动电子商务和无线金融的发展。

手机付费是移动电子商务发展的一种趋势，它包括手机小额支付和手机钱包两大内容。

手机钱包就像银行卡，可以满足大额支付，它是中国移动近期的主打数据业务品牌，通过把用户银行账户和手机号码进行绑定，用户就可以通过短信息、语音、GPRS 等多种方式对自己的银行账户进行操作，实现查询、转账、缴费、消费等功能，并可以通过短信等方式得到交易结果通知和账户变化通知。

移动支付的交易过程•消费者通过Internet进入消费者前台系统选择商品；•将购买指令发送到商家管理系统；•商家管理系统将购买指令发送到无线运营商综合管理系统；•无线运营商综合系统将确认购买信息指令发送到消费者前台消费系统或消费者手机上请求确认，如果没有得到确认信息，则拒绝交易；•消费者通过消费者前台消费系统或手机将确认购买指令发送到商家管理系统；•商家管理系统将消费者确认购买指令转交给无线运营商综合管理系统，请求缴费操作；•无线运营商综合系统缴费后，告知商家管理系统可以交付产品或服务；•商家管理系统交付产品或服务，并保留交易记录；•将交易明细写入消费者前台消费系统，以便消费者查询。

电子商务安全技术-加密技术•加密技术是实现电子商务安全的一种重要手段，目的是为了防止合法接收者之外的人获取机密信息，这就产生了一门学科——密码学。

密码学又分为两类，密码编码学和密码分析学。

密码编码学研究设计出安全的密码体制，防止被破译，而密码分析学则研究如何破译密文。

•加密包含两个元素：加密算法和密钥。

加密算法就是用基于数学计算方法与一串数字（密钥）对普通的文本（信息）进行编码，产生不可理解的密文的一系列步骤。

密钥是用来对文本进行编码和解码的数字。

将这些文字（称为明文）转成密文的程序称作加密程序。

发送方将消息在发送到公共网络或互联网之前进行加密，接收方收到消息后对其解码或称为解密，所用的程序称为解密程序。

加密和解密的示范•例如，将英文信息“This is a secret. ”加密后得到密文”vjku ku c ugetgv”。

解密算法则是将密文减去密钥2，得到明文，再翻译成对应的字母和符号。

加密的分类•按密钥和相关加密程序类型可把加密分为2类：对称加密和非对称加密。

•对称加密:它用且只用一个密钥对信息进行加密和解密，由于加密和解密用的是同一密钥，所以发送者和接收者都必须知道密钥。

•对称加密方法对信息编码和解码的速度很快，效率也很高，但需要细心保存密钥。

如果密钥泄露，以前的所有信息都失去了保密性，致使以后发送者和接收者进行通讯时必须使用新的密钥。

将新密钥发给授权双方是很困难的，关键是传输新密码的信息必须进行加密，这又要求有另一个新密钥。

对称加密的另一个问题是其规模无法适应互联网这类大环境的要求。

想用互联网交换保密信息的每对用户都需要一个密钥，这时密钥组合就会是一个天文数字。

因为密钥必须安全地分发给通信各方，所以对称加密的主要问题就出在密钥的分发上，包括密钥的生成、传输和存放。

对称加密示意图非对称加密•也叫公开密钥加密，它用两个数学相关的密钥对信息进行编码。

1977年麻省理工学院的三位教授（Rivest、Shamir和Adleman）发明了 RSA公开密钥密码系统。