电子支付系统安全技术研究

电子支付系统安全技术研究我从事支付安全相关技术工作快小十年了，从最早接触PC端网银安全，到现在移动支付、刷脸支付遍地开花，亲眼看着电子支付从少数人用的新鲜事，变成了普通人衣食住行都离不开的基础服务。出门不用带钱包，买菜扫码、坐车刷码、手机上转钱交房租，几秒钟就能搞定，这些便利的背后，安全技术就是默默撑着这一切的顶梁柱。这些年我见过因为系统漏洞被黑客盗走资金的机构，也见过因为不小心被骗走积蓄的普通用户，更清楚安全这根弦一刻都松不得。本文我就结合自己的一线工作经验，从发展背景、核心技术、现存问题到优化方向，对电子支付系统安全技术展开梳理和研究。一、电子支付系统安全的发展背景与核心需求搞清楚研究的基础前提，我们首先要明确当前电子支付安全面临的整体环境，以及安全技术需要满足的核心要求。1.1电子支付普及带来的持续安全压力这些年电子支付的交易量和覆盖范围增长速度远超预期，从线上购物到线下村口小摊，几乎没有不能用电子支付的场景，这么大的市场空间，自然成了黑灰产攻击的核心目标。我跟同行交流的时候，大家都有一个明显的共同感受：每年截获的攻击数量都在稳步上涨，攻击手段也越来越隐蔽。之前我参与处理过一起中小支付平台的攻击事件，黑产用分布式DDoS攻击把平台服务冲瘫，趁着系统混乱篡改交易数据盗走了上百万的用户资金，最后平台赔完钱信誉尽失，没撑半年就宣布倒闭了。还有线下随处可见的商家收款码被偷换，用户付的钱直接进了骗子口袋，小商家一天甚至一周的营收就打了水漂，这些事都不是遥远的新闻，都是实实在在发生在我们身边的。所以电子支付越便利，覆盖范围越广，对安全技术的要求就越高，这是行业发展绕不开的核心需求。1.2电子支付安全的核心底线要求不管安全技术怎么更新迭代，核心都是要满足四个基本底线要求：第一是数据保密性，用户的银行卡信息、身份信息、支付密码这些敏感内容，绝对不能随便泄露给无关人员；第二是数据完整性，交易的金额、收款账户这些关键信息，不能在传输和处理的过程中被篡改，不能本来转100块变成转10000块；第三是系统可用性，不管是购物高峰还是大型促销，用户需要付钱的时候系统必须能正常使用，不能被攻击瘫痪影响正常交易；第四是不可抵赖性，用户付了钱、商家收了钱，双方都不能事后不认账，必须留下可追溯的合法凭证。这些核心需求，就是所有安全技术研发和落地的出发点，所有技术都是围绕这四个要求展开的。二、电子支付系统主流核心安全技术分析了解了背景和核心需求，接下来我们就具体拆解当前电子支付系统中应用的主流核心安全技术，这些技术覆盖了支付的全流程，从你打开支付软件输信息的那一刻开始，每个环节都在默默发挥作用。2.1身份认证环节的安全技术支付的第一步就是确认“你是不是账户的真实主人”，身份认证就是整个支付安全的第一道防火墙，目前主流技术可以分为三类。2.1.1传统静态密码与动态口令技术静态密码是最早普及的身份认证方式，就是用户自己设置的六位或八位支付密码，优点是实现简单，用户学习成本低，缺点也非常明显：容易被偷窥、被钓鱼网站窃取，很多用户还习惯所有账户用同一个密码，一旦一个平台密码泄露，所有关联账户都会陷入危险。后来为了弥补静态密码的缺陷，就诞生了动态口令技术，就是我们现在常用的短信验证码，或者硬件令牌生成的一次性动态密码，一般每分钟甚至几十秒就会更换一次，就算被黑客截获，过一会就会失效，安全性比静态密码提升了很多。但是动态口令也不是万无一失，这些年我碰到过好几起案例，骗子通过补办用户SIM卡克隆手机号，顺利拿到短信验证码后转走用户的全部资金，用户损失动辄几万几十万，所以动态口令目前也需要配合其他技术一起使用，不能单独作为核心认证手段。2.1.2生物识别认证技术最近这些年生物识别认证普及得非常快，就是用指纹、人脸、虹膜这些用户独有的生物特征来做身份认证，不用记密码，也不怕丢，带个手机刷个脸就能付钱，确实非常方便。现在主流的生物识别支付都加了3D活体检测技术，能分辨出是真人还是照片、视频、硅胶面具，一般的仿造根本骗不过系统。但是生物识别也有无法避免的固有风险：密码泄露了你可以随时换，但是指纹、人脸这些生物信息是陪你一辈子的，如果生物信息数据库被攻破泄露，用户根本没办法更换自己的生物特征，一辈子都会有风险，所以现在行业里对生物信息的存储要求特别高，必须加密存在物理隔离的专门安全区域，绝对不允许随便导出，这点现在所有正规机构都把控得非常严格。2.1.3多因子融合认证技术目前行业里主流的安全方案都是多因子融合认证，就是把两种以上不同类型的认证方式结合起来，比如大额转账的时候，需要你同时输入支付密码（你知道的信息）、验证短信验证码（你拥有的物品）、刷脸（你本身的特征），三个不同维度确认身份，就算其中一个因子出问题了，还有其他两个因子挡着，安全性提升了不止一个档次。我之前参与开发大额支付系统的时候，监管就明确要求，超过一定额度的交易必须采用至少两个因子的认证，就是为了把风险降到最低。当然这里也需要做体验平衡，小额支付如果每次都要三个因子验证，用户肯定会嫌麻烦，所以现在都是根据风险等级动态调整，小额快速支付只要一个因子就能完成，大额交易或者陌生场景才需要多因子验证，兼顾安全和用户体验。2.2数据传输与存储环节的安全技术身份确认完了，交易信息要从用户端传到支付服务器，还要长期存储在机构的服务器里，这个环节的安全也非常重要，不然信息半路被截走或者存储的时候泄露了，一样会出大问题。2.2.1加密传输技术现在所有正规的支付系统，传输环节都是用HTTPS加TLS加密的，说白了就是用户手机发出去的所有支付信息都是打乱加密的，就算黑客在中途截获了数据包，他没有对应的解密密钥，也根本解不开，看不到里面的内容。我刚入行的时候，还有不少小的支付平台嫌麻烦，用不加密的HTTP传输，那时候随便一个抓包工具就能拿到用户的银行卡密码，安全性几乎为零，太危险了。现在监管要求越来越严，正规平台都换成加密传输了，但是还是有一些不合规的小众平台，还有一些商家自己开发的小收款系统，没做加密传输，依旧存在不小的风险。现在国家也在全面推广国密算法的加密传输，安全性比原来的通用算法更高，也是未来行业发展的方向。2.2.2敏感数据脱敏存储技术用户的敏感信息存在服务器里，绝对不能存储明文，行业里现在通用的做法是脱敏存储，比如银行卡号，一般只存储前六位和后四位，中间的数字全部加密替换，就算数据库被黑客攻破拖走，黑客拿到的也是不完整的信息，根本没法用来交易。核心的加密密钥，都是存在专门的硬件加密机里，这种硬件加密机是物理隔离的，除了专门的运维人员，其他人根本碰不到，黑客就算攻破了普通的业务服务器，也拿不到解密密钥，没法解开用户的敏感数据。之前我们做系统等级保护测评的时候，这一项是硬要求，不达标根本没法上线运营，所以现在正规机构这块都把控得非常严格。2.2.3令牌化技术这个技术大家听起来可能觉得陌生，其实天天都在用，就是你在第三方支付平台绑卡之后，不用每次都输完整的卡号，平台会给你生成一个替代真实卡号的“令牌”，所有交易都用这个令牌来走，就算令牌泄露了，黑客也拿不到你的真实卡号，没法用来做其他交易，这个技术既提升了安全性，又让用户绑一次卡就能一直用，不用每次输卡号，体验也好，现在几乎所有的第三方支付都在用这个技术，已经非常成熟了。2.3交易环节的风险识别与防控技术就算前面两道防线都被突破了，交易过程中也还有最后一道防线，就是风险识别和防控，目前主流技术也分为三个层级。2.3.1基于规则引擎的风险拦截规则引擎是风控最基础的手段，就是提前设置好各种风险规则，比如单笔交易金额超过你平时平均消费的十倍，或者交易地点是你从来没去过的境外，或者收款账户已经被标记为诈骗账户，系统就会直接拦截交易，要求用户重新验证身份。我刚工作的时候，风控基本全靠规则引擎，现在它依旧是整个风控体系兜底的核心，很多明显的风险一下子就能拦下来，简单直接效果好。2.3.2基于机器学习的异常交易识别这些年大数据和人工智能发展起来，机器学习也普遍用到了风控领域，就是系统会持续学习每个用户的交易习惯，比如你平时都是工作日中午在公司附近消费，晚上在家附近购物，每月转账都是固定给那么几个人，金额也都不大，如果你突然凌晨两点在陌生城市给一个陌生账户转一大笔钱，系统就能识别出这个行为和你平时的习惯不一样，就会判定为异常，进行拦截。这种方法比固定规则更灵活，能发现很多规则想不到的新型诈骗模式，当然也偶尔会有误伤，我自己之前换了新手机，第一次付买房的首付款，一下子就被系统拦了，当时还挺着急的，但是冷静下来想想，这其实是对我负责，万一真的是盗刷呢？所以误伤虽然麻烦点，总比出事要好。2.3.3跨机构联动联防技术现在黑产都是流窜作案，单靠一家支付机构的黑名单根本防不住，所以现在行业里都做了联动联防，各家支付机构、银行、公安会共享风险账户黑名单，骗子在一家骗了人被标记之后，在所有机构那边都会被拦截，只要你碰这个风险账户，系统就会立刻报警。这些年联动联防拦了很多大规模的诈骗案件，效果比各家单干好太多了，这也是现在行业里主流的风控模式。三、当前电子支付安全技术存在的短板与挑战整体来看，我们现在的电子支付安全技术体系已经比较完善了，能挡住绝大多数的攻击，但是作为一线从业人员，我很清楚，这套体系还有不少短板，也面临很多新的挑战。3.1不同主体之间的技术水平落差过大头部的大型支付机构资金充足，技术能力强，安全投入大，不管是加密还是风控都做得非常到位，但是大量的中小支付机构，还有线下的中小商家，安全投入非常有限，很多小商家用的都是免费的收款工具，开发商为了压缩成本，很多安全防护都没做到位，还有不少商家安全意识差，收款码贴出去就不管了，被人换了都好多天发现不了。我之前去过一个乡镇的集市，碰到一个卖水果的阿姨，收款码被换了一周才发现，一共损失了八千多块，那可是她起早贪黑一个多月的收入，当时看着她急得掉眼泪，我真的特别难受，这件事也让我明白，安全技术不能只服务于大机构，小商家的安全一样重要。另外新场景新技术也带来了新的风险，现在电子支付的场景越来越多，刷脸支付、车机支付、智能家电支付，还有很多新的支付形态，这些新场景原来的安全技术不一定适配，比如物联网设备的车机、智能音箱，本身的运算能力有限，没法运行太复杂的安全程序，很容易被黑客攻破，进而窃取支付信息，这些新风险都是原来没有的，需要我们研究新的技术来应对。3.2用户端的安全意识短板拖了后腿再先进的技术，也架不住用户自己不小心，我见过太多用户，为了方便，支付密码设成123456，微信、微博、支付全用同一个密码，随便点陌生链接，随便给陌生人透露验证码，还有的为了一点几十块的小好处，把自己的支付账户借给别人用，最后被别人用来走诈骗的赃款，自己账户被封，还惹上法律麻烦。之前有个刚毕业的大学生，就是帮网友刷了个单，借了自己的支付账户，结果走了几十万赃款，差点背了刑事责任，真的太可惜了。技术能防黑客，但是很难防用户自己放松警惕，这也是现在很大的一个挑战。3.3黑产攻击技术在持续升级我们安全技术在进步，黑产的攻击技术也在进步，原来黑产做钓鱼网站，做得很粗糙，一眼就能看出来，现在用AI几分钟就能生成一个跟官方支付网站一模一样的钓鱼网站，还能AI换脸骗过活体检测，甚至用AI模拟用户家人的声音骗转账，手段越来越隐蔽，越来越高明，我们这边技术更新的速度，有时候都赶不上黑产变招的速度，这场对抗是长期的，永远不能停下来。四、电子支付安全技术的未来优化方向面对这些问题和挑战，我们也一直在思考，未来电子支付安全技术该往哪个方向走，才能更好的保护用户的资金安全，支撑行业的健康发展，结合我这些年的工作经验，我认为可以从四个方向优化。4.1推进分层分级的安全体系建设，缩小技术落差不能一刀切要求所有机构都做高端防护，但是要给中小机构和中小商家提供低成本标准化的安全方案，比如官方可以推出免费的安全验证工具、基础风控工具，让小商家花很少的钱甚至不花钱就能用上合格的基础安全防护，监管也要多下沉指导，帮中小商家补上安全短板，毕竟电子支付的安全，不能少了任何一个群体。4.2平衡安全性和易用性，优化用户体验现在很多时候大家觉得支付麻烦，就是不管交易大小都用一样的安全验证，其实我们可以做动态的风险调整，根据交易金额、交易场景、账户风险来调整认证的强度，小额日常支付，用户过往风险不高，就简化验证，大额支付或者陌生场景交易，再用严格的多因子认证，这样既不影响安全，也不会让用户觉得麻烦，真正做到安全又好用。4.3深化产学研联动，推动安全技术持续迭代现在新的风险不断出来，就要靠高校、科研机构、企业和监管部门一起合作，加快新的安全技术的研发和落地，比如国密算法的全面推广，零信任安全架构的落地，还有针对AI攻击的新一代风控模型研发，都需要各方一起努力，我们自己在工作中也经常跟高校的实验室合作，一起研究新的攻击手段，开发新的防护方法，这样才能跟得上黑产的节奏。4.4强化用户安全科普，从末端补上安全漏洞技术再好，也要用户有安全意识才行，我们要多做接地气的科普，比如在社区开讲座，在短视频平台拍点通俗易懂的小视频，告诉大家不要随便点陌生链接，不要随便透露验证码，不要借自己的支付账户给别人，很多诈骗其实都是很低级的