1、信息安全技术信息安全技术 在电子支付领域的应用与创新在电子支付领域的应用与创新信息安全技术在电子支付领域的应用信息安全技术在电子支付领域的应用 电子支付与网络信息安全 电子支付安全的重要性 电子支付安全隐患 电子支付安全需求 电子支付安全构架 虚拟账户运营项目中的应用建议信息安全技术在电子支付领域的应用信息安全技术在电子支付领域的应用 随着网络的日益普及，尤其是电子商务的快速发展，电子支付的重要性越来越明显，已经成为整个电子商务产业链中的核心环节。正因为基于广泛互联且完全开放的网络平台，电子支付实现了低成本、高效率、全球性的资金流转模式。但是，这种便捷开放的信息交互方式同时也表现出在网络安全方
2、面的脆弱性。所以，研究和开发信息安全技术在电子支付领域的应用与创新，已成为当前发展我国电子商务的关键所在。电子支付与网络信息安全 信息安全技术在电子支付领域的应用信息安全技术在电子支付领域的应用 艾瑞市场咨询2005年中国网上支付研究报告显示，在不使用网上支付的网民中，有超过60%的人由于担心交易过程的安全性而不愿进行在线支付操作。无论个人、公司或商业机构甚至银行，都不会通过一个不安全的网络进行钱款交易，这样会引发商业机密信息或个人隐私的泄漏，从而导致巨大的经济利益损失。由此可见，网络信息安全技术的发展直接决定了电子商务的成败。电子支付安全的重要性 电子支付安全的重要性电子支付安全的重要性信息
3、安全技术在电子支付领域的应用信息安全技术在电子支付领域的应用 信息的截获和窃取 信息的篡改、删除、插入 信息假冒 交易抵赖 电子支付安全隐患 信息安全技术在电子支付领域的应用信息安全技术在电子支付领域的应用 要构筑一个安全可靠的电子支付交易系统，合理规避上述安全隐患的出现，应满足相应的安全控制要求：电子支付安全需求 数据完整性 信息机密性 身份认证性 不可抵赖性 防控有效性 信息安全技术在电子支付领域的应用信息安全技术在电子支付领域的应用 信息机密性：防止非授权用户使用系统资源，预防非法的信息存取或信息在传输过程中被非法窃取而导致泄密。数据完整性：阻止非法实体对交换数据的随意生成、修改和删除，
4、同时要防止数据传送过程中信息的丢失和重复并保证传送次序的统一。身份认证性：交易双方对各自身份合法性、真实性进行鉴别、确认，以防第三者假冒。电子支付安全需求信息安全技术在电子支付领域的应用信息安全技术在电子支付领域的应用 不可抵赖性：在信息的传输过程中，为交易双方提供可靠的标 识，用于证实已发生过的操作，保证电子定单等 信息的不可否认性，防止抵赖行为。防控有效性：对网络故障、硬件故障、系统软件错误、应用程序 错误、操作错误及计算机病毒所产生的潜在风险加 以控制和预防，以保证交易数据在确定的时刻和地 点是有效的。电子支付安全需求信息安全技术在电子支付领域的应用信息安全技术在电子支付领域的应用 电子
5、支付安全是网络信息安全技术的上层应用，其安全管理体系 主要可划分为两大部分：计算机网络安全和商务交易安全，如图 所示：电子支付安全构架 交易安全技术交易安全技术安安全全管管理理体体系系网络安全技术网络安全技术安全应用协议-SSL、SET安全认证手段-数字签名、CA体系基本加密算法-对称和非对称加密算法病毒防范技术身份识别技术防火墙技术-分组过滤和代理服务器虚拟专用网技术 法律规范、政策电子支付安全构架业务管理与信息安全技术业务管理与信息安全技术在虚拟账户运营项目中的应用建议在虚拟账户运营项目中的应用建议关于信息安全技术应用关于信息安全技术应用 通过业务管理与技术安全体系保障相通过业务管理与技术
6、安全体系保障相结合，共同保障业务运营及实施的安全结合，共同保障业务运营及实施的安全 业务逻辑的设计业务逻辑的设计 内部运营管理内部运营管理 硬件安全技术保障硬件安全技术保障 软件安全加密措施软件安全加密措施 系统运维保障系统运维保障业务逻辑的制定业务逻辑的制定业务逻辑的合理化制定 业务流程的设计符合正常心态操作流程 多层次验证业务申请及发起 业务逻辑设计符合市场化推广需要内部运营管理内部运营管理内部运营管理的流程化、规范化制定 业务流程的设计与岗位配置的结合业务流程的设计与岗位配置的结合 市场、运营及财务的独立管理 运营管理的分工与互为监督运营管理的分工与互为监督 客户功能的设置 后台管理功能
7、的健全（商户管理、操作权限的设置、证书管理、交易查询、报表查询）财务制度的健全财务制度的健全 资金管理的权限设置与监管；资金流与信息流的对称。信息技术处理与传统财务复核的相结合信息技术处理与传统财务复核的相结合 业务测试的重要性；定期的业务流程回顾与完善；财务审计硬件硬件/软件安全保障体系软件安全保障体系 硬件安全技术保障 网络层 系统层 应用层 软件安全加密措施 协议模式 加密算法 安全认证硬件安全技术保障硬件安全技术保障 硬件安全技术保障 网络层：网络层：采用整合型的防火墙体系屏蔽病毒和攻击，同时配合防黑客入侵、防病毒、漏洞扫描等工作。系统层：系统层：平台开发采用目前公认的前沿技术，充分保
8、证系统的安全性和稳定性；该技术具有跨平台以及优秀的承载性，轻松驾驭企业的应用需求。应用层：应用层：稳健的安全技术构架，使服务器系统具有极强的可扩展性，可以负荷千万用户级别。软件安全加密措施软件安全加密措施 软件安全加密措施 协议模式协议模式 -SSL与SET相结合支付网关与银行端通讯使用SSL加密传输和SET协议，并通过国际认证机构VeriSign的128位服务器加密认证，以保障B2C电子支付的安全实施。协议模式协议模式 SSL协议协议（Secure Sockets Layer，安全套接层）国际上最早应用于电子商务的一种安全通信协议；针对网络环境提出，可用于加密任何基于TCP/IP的应用，提高
9、数据信息安全传递系数；目前已成为网络通信底层协议的实际标准。SET协议协议（Secure Electronic Transaction），安全电子交易）用于在网络上进行银行卡安全在线交易而设立的电子支付系统规范；规定了交易各方进行支付结算时的具体流程和安全措施；确保支付信息的机密、支付过程的完整、商户及持卡人的合法身份及可操作性。网银在线网银在线 安全制安全制胜胜 对比对比SSL协议和协议和SET协议协议协议模式协议模式SSL协议协议SET协议协议用户接口用户接口内置于浏览器和WEB服务器，无需安装专门软件客户端需安装专门的电子钱包软件；在商家服务器和银行网络上同时需安装相应软件处理速度处理速
10、度处理复杂、速度慢处理简单、速度快认证要求认证要求商家服务器认证是必须的，客户端认证则是可选的所有参与SET交易的成员都必须申请数字证书，有效解决了多方认证问题安全性安全性缺乏完整的认证体系，不能提供完备的防抵赖功能，安全性较低采用双重签名保证各参与方信息相互隔离，安全性高协议层次和功能协议层次和功能传输层的通用安全协议，是电子支付体系中传输部分的技术规范位于应用层，规范了电子支付的整体流程，制定了严格的加密和认证标准；具备商务性、服务性、协调性和集成性功能 软件安全加密措施 加密算法加密算法 -PKI数字签名技术支付平台本身使用PKI（Public Key Infrastructure，公钥
11、基础设施）作为安全架构，订单信息传输采用数字签名技术进行加密和校验，从而确保数据在网络传输过程中的机密性、真实性、完整性和不可抵赖性。网银在线网银在线 安全制安全制胜胜 加密算法加密算法 -PKI数字签名技术 软件安全加密措施 安全认证安全认证 -CA机构数字证书支付网关在业内率先支持国家授权认可的第三方电子认证服务体系，完全符合中国电子签名法要求，所有交易数据受到法律保护；交易信息经过CA（Certificate Authority，证书授权中心）颁发的数字证书签名、加密并记录保留，可以有效预防黑客的篡改和窃取，最大限度地保障商户的交易安全。CA机构安全认证流程机构安全认证流程 发 放发 放
12、CA认证中心支付网关商 家数字证书加密、签名企业数字证书服务器身份证书确保网上支付信息私密性、真实性、完整性和不可抵赖性虚拟账户银行账户 软件安全加密措施 安全认证安全认证 -VBV验证服务在国际信用卡安全支付方面，网银在线与VISA国际组织结成战略合作伙伴关系，推广采用“3D”安全标准的VISA验证服务。VBV(Verified by VISA）简称VISA验证服务，是VISA国际组织为提高信用卡网上支付安全性，维护用户利益而推出的新一代全球通用支付标准。VISA验证服务验证服务 -确保信用卡网上支付安全-私人密码保护：私人密码保护：当持卡人在发卡行的网站进行网上付款时，除了输入信用卡号和有效期外，还要输入在 登记VISA验证时自设的安全密码，提 升其对网上支付的信心。-核对个人确认信息：核对个人确认信息：当持卡消费者进行网上付款时，可以通过核 对个人确认信息是否正确，以确保正在使用 安全的 VISA验证支付系统。-隐私与交易安全保障：隐私与交易安全保障：安全密码和个人确认信息只有持卡人本人可知，有效避免恶意拒付、网络欺诈等交易纠纷的发生，进而保护商家利益不受损害。系统运维保障系统运维保障 双机热备 岗位设置的互为监督（开发人员与运维人员的互为监督）系统运维制度（日志检查、定期重启、系统监控）双机热备或双数据中心管理（对数据库安全的硬件保障措施）网络线路的备份
