我国第三方支付的安全性问题分析王哲魏敏.docx

王哲魏敏 （武汉科技大学文法与经济学院湖北武汉430081）【摘要】本文首先通过分析我国电子商务应用中第三方支付的发展现状,提出了第三方支付发展存在的几个主要的安全性问题，接着对国内第三方支付安全策略进行了分析，重点对比分析了几个主流第三方支付平台的技术安全性措施。【关键词】电子商务第三方支付安全性问题一、第三方支付的概念和发展现状所谓第三方支付，就是一些和国内外各大银行签约并具备一定实力和信誉保障的第三方支付服务商提供的交易支持平台。在通过第三方支付平台的交易中，买方选购商品后，使用第三方平台提供的账户进行货款支付，由第三方通知卖家货款到达、进行发货；买方检验物品后，就可以通知付款给卖家，第三方再将款项转至卖家账户。第三方支付分第三方网上支付、固话支付和移动支付等几种，本文中谈到的第三方支付特指第三方网上支付。第三方支付成功解决了相互不了解的人的交易诚信问题，自身也得到了快速发展。根据艾瑞、易观国际等咨询公司的有关数据，2003年我国第三方支付行业的交易规模不到10亿元，2004年达到74亿元，2009年达到5808亿元，2010年上半年达到4546亿元，预计未来三年内仍会以年均70以上的速度增长。二、第三方支付存在的安全性问题1、信用卡套现、洗钱问题层出不穷由于第三方支付账户可以从一家商业银行账户中充值，再将账户余额转到在另一家商业银行的账户中，因此，利用信用卡进行套现，因为有了第三方支付的帮助变得异常简单。同时，由于支付宝之类的第三方支付兼具资金的收付功能，因此，它不仅存在着信用卡套现的风险，更面临诸如洗钱之类的问题。在支付中，有相当一部分交易属于虚拟货币的交易，比如腾讯公司的Q币，移动通讯公司的话费充值等。因而不排除有些人通过设立多个账户，从事虚假的虚拟货币交易，以此达到转移不法资金，以达到洗钱的目的。2、账户资金被盗、网络诈骗时有发生在淘宝网购物，通过支付宝付款一直被认为是目前最安全的网购方式。然而，近来消费者大量网购资金并未转入支付宝，而是被黑客劫至“中国移动通信集团湖南有限公司电子商务中心”、“北京联动优势科技公司”等第三方支付平台，继而流进骗子的账户。例如，一名由于第三方支付平台监管不严而遭遇网络诈骗的网友表示，自己在某大型网购网站购物时，第一次支付不成功，随后被骗子商家用另一家小型第三方支付平台的链接骗去500元。事发后，该网友分别找到两家支付公司，它们互相推诿，最后只能不了了之，“花钱买教训吧”，该网友很无奈。可见，网民第三方支付账户资金被盗，少数人利用第三方支付工具进行网络诈骗已经成为一个较普遍的社会现象。3、安全保障的技术手段有待改进网络钓鱼是指骗子以低价等作为诱饵，诱使用户在假的网站或冒充的页面付款，从而导致资金损失。根据杀毒软件厂商的最新报告，网络钓鱼的黑色产业链初步形成，其危害已经超过传统的病毒和木马，成为威胁网民利益的第一杀手。近期不断爆发用户按照第三方支付平台的正常操作步骤，资金却被转入到指定账户。可见，第三方支付平台的技术安全保障手段亟待加强。另外，目前第三方支付平台普遍采用的重要技术安全保障手段数字证书，其并不是真正意义的独立第三方CA认证，而是内部建设一套符合实际要求的证书注册审计系统，使自身具备证书申请、审批、下载、证书状态在线查询、证书撤销等功能，然而这种数字证书并没有法律效力。4、第三方支付平台本身不是金融机构目前，国内的第三方支付企业属于非金融机构，是有限责任公司的性质，一旦公司出现破产等情形，则可能引发剧烈的多米诺骨牌效应，导致其他企业的资金链出现问题。因此，即使是附属于某些著名的网站，第三方支付平台也存在一个信用问题。许多第三方支付公司的在途资金已经远远大于它的注册资金。那么，用户的资金放在平台上是不是安全？如何保障这些资金的安全值得政府监管部门的思考。三、国内主流第三方支付平台的安全策略分析1、配合央行加大力度打击信用卡套现、洗钱中国人民银行2010年6月21日公布的非金融机构支付服务管理办法，不仅对作为第三方支付平台的非金融机构做出严格规定，同时也对支付平台的用户加以严格管理，此举无疑会对网络非法套现行为造成打击。例如，支付宝通过其自行研发的网上支付风险监控系统对检控到的违规操作，将冻结该账户资金，支付宝同时还主动和银行联系，要求发卡银行针对套现现象做信用卡网上支付单笔限额的规定。对于杜绝洗钱问题，关键在于对交易双方的身份核查。不少第三方支付平台推出实名认证服务。例如，2005年7月25日开始，支付宝公司推出了“支付宝认证”服务，支付宝公司一直严格遵循中华人民共和国反洗钱法，对用户进行了双重身份认证身份证认证和银行卡认证。2、实名认证、全额赔付应对资金被盗、网络诈骗国内领先的第三方支付平台如支付宝、快钱等目前都采用了多种安全措施。例如，快钱除了从技术手段上防范盗卡之外，还在安全方面加设了用户的认证系统等六道功能，试图将安全隐患压低到最小程度。作为国内最大的第三方支付平台，支付宝的做法更为完备。早在2006年7月，支付宝就推出“支付宝认证”服务，对所有使用支付宝的卖家进行双重身份认证，即身份证认证和银行卡认证。除了与公安部全国公民身份证号码查询服务中心合作校验身份证的真伪，支付宝还与各大商业银行进行合作，利用银行账户实名制信息来校验用户填写的姓名和银行账户号码是否准确。支付宝公司还在国内率先推出了“全额赔付”制度和交易安全基金，网络欺诈发生率仅为万分之二。3、采用多重技术手段保障用户安全按照艾瑞咨询发布的2010年第三季度第三方支付的市场份额，对比前几名的第三方支付企业的安全技术保障措施（截止2010年12月20日），结果如表1所示。表1主流第三方支付企业的安全技术保障措施第三方支付平台对比项支付宝财付通快钱上海银联易宝SSL加密是是是是是登陆问候语否是是否否安全问题是是是是是登陆验证码是是是是是安全控件是是是是否邮件提示是是是否是口令卡否是是否否数字证书（文件证书）是是是否是手机绑定、信使服务是是是是是登陆、支付密码是否独立是是是是是支付盾（移动证书）是是是否否手机动态口令是否否否否账户安全检查是是是否是二次登陆密码否是否否否银行卡联名服务是否否是是风险实时监控是否否否否（1）采用SSL协议保障底层安全。从表1可以看出，到目前为止，几乎所有主流第三方支付都采用安全套接层协议（SSL协议）作为底层协议，客户机和服务器交换信息前都必须构建安全通道，所有信息都经过加密传输，安全性将大为提高。（2）采用数字证书保护用户账户安全。分析的五家第三方支付平台除了中国银联在线外都推荐使用数字证书，即使您发送的信息在网上被他人截获，甚至您丢失了个人的账户、密码等信息，仍可以保证您的账户、资金安全。（3）采用手机验证保护用户账户安全。数字证书安全级别虽然较高，但对于不少计算机入门者来说使用有一定难度，于是支付宝推出了手机短信的动态口令登陆的方式，财付通、支付宝等推出了短信验证服务、信使服务等，既可以保护用户账户安全，还为用户对数字证书的备份、导入等难题提供了解决方案。（4）采用U盾或和银行U盾绑定保护用户账户安全。第三方支付虽然现在还是民营企业，但是为了保护用户账户安全，不少企业向金融机构看齐，不断提升安全保障措施。现在不少第三方支付还可以提供类似于银行网银U盾这样的工具，既方便了用户又保证了用户的使用安全，还有的第三方支付平台和银行加强合作，银行的U盾即可用来登录、管理第三方支付平台的账户。（5）多重安全技术策略确保用户安全。第三方支付平台越来越重视安全性能的开发，从表1中看出像支付宝这样的领军企业，为了用户安全不断创新，采取数字证书、手机动态口令、安全控件和风险实时监控等多重安全策略齐下的方案，大大降低了技术风险。同时，对于数字证书的管理，第三方支付企业应加快与第三方CA机构的合作，使第三方支付企业从证书的颁发者、管理者真正转变成为被认证者。这样，用户的权益将得到法律更多的保护，这对于从根本上保障电子商务交易的安全具有重大的现实意义。4、争取早日拿到央行的电子支付牌照据中国之声新闻纵横报道，央行支付结算司相关负责人表示，首批第三方支付牌照可能在2010年年底发放。这意味着像支付宝、快钱、财富通等第三方支付企业将很快被“正名”，获得官方认可的支付牌照。可见，第三方支付的民营出身将正式纳入央行的金融机构管辖范围，第三方支付本身的信