电子支付安全问题探讨

第四节　电子支付安全问题探讨

一、电子支付国内外应用现状

在国外，传统的纸制支付工具正逐步被电子化的支付方式取代。其中，美国2003年在迅猛增长的借记卡带动下，电子支付手段数量首次超过了支票支付方式，成为第一大支付方式。在我国，电子支付产业也进入快速增长时期。据艾瑞市场咨询发布的《2006年中国网上支付研究报告》显示，从2007年开始，中国电子支付产业进入成长期，到2008年整体市场规模将突破1000亿元。到2010年则将高达2800亿元，年复合增长率将超过60％。就目前来讲，现金的大量使用、支票多用于对公业务、储蓄消费占统治地位，这些特征基本构成中国支付文化的现状。阻碍中国用户使用电子支付手段的原因主要有两点：对安全性表示怀疑；支付受理环境较差。根据《2006电子支付产业调查报告》显示，在选择电子支付考虑的诸多因素中，64.5％的用户首选安全。可见，安全性成为制约电子支付发展的主要原因。因此，构筑安全保障体制，加强安全风险控制，化解非法交易对电子支付的威胁对于电子支付产业发展的尤为重要。

二、电子支付产业链模型及其安全性分析

电子支付发展所要求的是开放的支付环境，需要金融、通信、互联网等产业之间的融合。当前，众多的市场参与者，包括银行、非银行支付中介、电子商务企业等。

电子支付直接与金钱挂钩，一旦出现问题会带来较大的经济损失，并会在电子支付链中相互传递风险。我们必须收集、分析、鉴别电子支付产业链中的各种交易信息，对其进行安全性分析。电子支付安全性主要有三层含义：（1）完整性。指信息在存储或传输时不被修改、破坏和丢失，保证合法用户能接收和使用真实信息。（2）身份真实性。在交易信息的传输过程中，要为参与交易的各方提供可靠标识，使他们能正确识别对方并能互相证明身份，这可以有效防止网上交易的欺诈行为。（3）不可否认性。必须防止交易各方日后否认发出或接收过的信息。由此可见，电子支付的安全性对支付模式的管理水平、信息传递技术提出了很高的要求。本文试图从产业链出发，将电子支付安全问题分为两个方面：管理层面的安全——交易安全；技术层面的安全——信息网络安全，并从这两个方面探讨电子支付的安全性。

1.交易过程存在的安全问题

由于消费者与商家互不知道对方的身份，两者发生交易会产生信用疑虑，解决此类问题的途径可采用第三方担保，即由第三方支付平台采用通信、计算机和信息安全技术，在商家和银行之间连接，实现从消费者到金融机构、商家的货币支付、现金流转、资金清算、查询统计等问题。目前，我国市场上的第三方支付主要有3类：网络支付、移动支付、电话支付。在交易过程中，针对每个交易主体，存在以下安全问题：

对于消费者，一是被他人冒领、盗领款项发生损失。电子支付相关的立法工作相对滞后，对消费者的损失很难提供有效保障。电子支付系统发生故障、操作错误等问题时对消费者经济方面造成损失。二是交易受阻。利用电子支付方式时，发生因为断线、厂商拒收或其他原因，无法完成特定金额交易的困扰。

对于银行，不能预知客户的随机付款、对外转账和汇款等网上支付指令，付款频率、付款金额均不易掌控，造成头寸不足而形成的风险。此外，对身份认证的权威性、数据加密强度、商用密码产品、通信安全控制措施等电子支付业务的核心技术等关系行际互联的技术参数，没有相应的国家标准。各家银行各行其是，互不兼容，发生法律纠纷商业银行将处于被动地位。

对于第三方支付平台，其本身的法律地位不是很明朗。我国法律规定只有金融机构才有权利吸纳代理用户的资金。第三方支付平台作为非金融实体，其通过提供支付的方式“吸储”不符合法律规定。在第三方交易模式下，第三方支付平台积纳了大量中转资金，一旦发生挪用挤占，将会引起整个支付产业链的恐慌。

对于商户，电子支付制度漏洞为商户参与洗钱等不法活动提供帮助，其中网络赌博所产生的付款问题已经逐渐显现。由于各国对电子支付工具并未规范，不需要保存交易记录、报告或确认客户身份等义务，无法追踪，由此产生规范的死角。网上银行的兴起，则将使管制措施难以强制执行，这就为规避监管、在海外开设银行账户的不法分子提供了可乘之机。

2.信息及网络存在的安全问题

目前信息及网络存在的安全问题主要如下：

信息泄漏。在交易过程中，消费者是弱势群体。商家可以选择支付方式，而消费者在填完一大串信息后不知道这些信息将流向何方，很难杜绝信息的泄漏。

电子支付网络设施落后。近年来，我国网络发展不均衡。我国计算机、网络防火墙还主要依靠国外技术。电子支付诸多参与者现有的技术规范措施不能适应大规模电子交易的需要。以银行为例，银行是电子支付产业链中的核心纽带，而目前我国银行的金融服务和信息化建设水平相对落后，特别是县级以下银行机构，金融服务信息化还存在相当大的难度。普遍存在的网络带宽较窄、速度缓慢等问题，影响了运行效率和支付质量。

潜在隐患。电子支付业务大多通过网络进行，没有了以往的签字、盖章及纸质凭证。银行业务的各种账务和记录都可以不留痕迹地修改，监管部门看到的数据不能正确反映支付情况，这给电子支付带来了潜在的安全隐患。

三、加强电子支付安全的建议及对策

电子支付安全是一个社会系统工程，它需要构建一个从上到下完整的安全体系。这个体系的具体内容包括，完善的法律与制度、有效的管理与组织流程以及对风险与责任的合理分配，从而建立用户对支付的消费信心。

1.构建安全的电子支付产业链

加强电子支付产业链的各参与方主体间的权利义务关系和风险责任分配机制，从产业链各个环节控制风险、强化安全。

（1）消费者增强个人信息安全防范意识。在安全问题上，加强支付者对身份验证或使用密码钥匙的常规了解，通过实施防火墙技术、加密技术、认证技术、防病毒软件即时升级来保障交易安全，同时对专业提供网上支付服务和第三方平台作用的企业也应有足够的认知。在产品问题上，当权益受到侵害后，立即向侵权者提示并警告，向法律专家进行咨询，也可以向有关部门及时投诉。如果涉嫌诈骗，及时报案，以保障自身和其他消费者的合法权益。

（2）加快各类银行卡的发行和功能拓展，更新完善电子网络系统，增加金融电子设备。在设备上，通过购买、租用等方式，选择并拥有诸如硬件设备、系统软件、网络通信及银行前端等基础设施。建立有效的管理制度，包括对相关人员操作权限的授权制度、职责分离制度、外包机构的管理制度、紧急状态应急制度和交易数据保管制度等。此外，银行在电子支付业务中，应努力保全相关证据资料，设置先进的证据保全系统，对网络交易进行同步保存。除电脑保全交易信息外，对每日电脑打印的日结单，向客户发出的信函、传真等书面材料也应予以存储。

（3）电子商务企业应构建高安全性的运营支付系统，由于涉及的层面非常广，需要在架构设计、系统稳定性设计、信息存储、保密设定等多方面采取措施。完善的技术措施可以规避网络风险。在应用层上采取措施确保不存在单一故障点，提高系统的稳定性；在架构设计上，确保水平扩展的能力，以便应付将来大流量大容量时期，对系统进行相应的扩容；建立若干物理隔绝的功能区，避免黑客入侵后长驱直入；使用高端防火墙将重要数据库保护在核心数据区，提高数据安全性；在信息存储方面，使用公开加密算法对数据通信以及数据存储进行加密，确保数据的完整以及安全性。

（4）金融监管部门和央行应当加强对电子支付平台的监督管理和检查力度，及时进行风险提示或处理。此外要对第三方支付的账户进行规范；要求第三方严格区分自有资金和中转账户资金，不得随意挪用挤占，不得进行风险性盈利投资甚至投机；要求第三方在开户行存入保证金，一旦出现问题，银行可以抵御风险。

2.健全的法律保障体系

电子支付的持续发展必须有健全的法律保障体系和服务支持体系。从法律建设上看，只有《电子签名法》；在规章层面上，信息产业部出台了《电子认证服务管理办法》，中国电子商务行业协会推出了《网络交易平台服务规范》。电子商务领域，尤其是电子支付方面的立法还有很大的空白地带。政府有关部门要制定有关数字化、货币发行、支付与管理制度以及电子支付业务结算、电子设备使用等标准。此外，由于网络跨国性交易特性，除自律规范之外，更需要通过各国有关银行或金融相关法规加以规范，给电子支付的发展提供规范明确的法律环境。立法机关要密切关注电子支付业务的最新发展和科技创新，研究制定有关法律法规，明确界定电子支付产业链各参与者的职责、权利和义务，明确法律判决的依据。

3.严格电子支付监督管理机制

加强业务监管，加强内控防范与电脑犯罪，建立健全监管法律体系，实施适时与定期监控，将传统的现场监管与非现场监管相结合，行业自律与金融监管相结合，合规性监管与风险性监管相结合，创新监管手段、方式、内容，严格电子支付监督管理机制。

（1）强化监管机制

一是设立市场准入监管。设置最低资本金限制，加强内控机制和风险管理，针对第三方支付平台，可采用类金融机构设置保证金机制，积极研究电子支付保险问题。对于行业之间的恶性竞争，可政策引导并购，减少重复建设，扩大规模，增强实力。二是加强业务内容监管，包括强化安全技术。界定业务范围及从业人员的资格。业务开展的管理和日常检查、信息披露等内容，应遵循“公开、公平、公正”的原则定期向社会发布。三是建立相关制度。从制度层面上进一步明确电子支付业务的准入程序与形式、电子支付业务的审查要点，以及对业务的监管和报告要求等。

（2）建立协同监管机制

要建立人民银行、银监会、信息产业部等相关部门的协同监管机制。建立联席会议制度，实现信息资源共享，防范金融风险与网络金融犯罪。涉及电子支付及银卡市场的监管主体为央行及银监会；央行从反洗钱、反非法集资等金融市场稳定的角度实施监管；央行与信息产业部对第三方支付平台实施双重监管，前者维护支付清算系统稳定，后者则从信息服务市场许可制度出发。此外，由于电子支付方式的无国界性，还需建立国际统一的法制规制，加强金融监管的国际合作。

（3）创新监管手段

监管当局除了制定具有针对性管理办法外，还应加快自身电子化建设步伐，依托先进的科技手段，实施非现场监测，不断适应金融监管中出现的新问题和新情况。同时，学习国外先进的管理办法及监管手段，建立风险预警机制，对显现的问题及早发现并解决。

4.构建诚信的社会信用环境

电子支付的多方参与者，包括参与交易的双方、第三方支付平台、银行、商务、工商以及其他机构，都要承担一定的信用责任，他们需要在一个完善的诚信环境下交易。目前，我国已经建立起了由人民银行负责的个人征信系统、反洗钱监测系统、账户管理信息系统等，这些系统的建立有助于电子支付活动参与者的身份确认和交易选择，在一定程度上保障了电子支付的安全性。也应该看到，现有的信用体系无法完全提供电子支付所需的信用服务，需要建立一整套适应于电子支付的有效信用体系，并完善与诚信相配套的监管体制，对信用机构及其活动进行有效管理。这种诚信环境和机制需要社会各方共同长期努力才能营造出来，需要运用法律、经济、道德等手段提升整个社会的信用水平，构建完善的信用环境。可采取的措施有：加大建立社会信用管理体制的宣传；建立企业和个人信用评价与监管机构；建立企业和个人在电子商务活动过程中的第三方信用服务和认证机构；建立完备的法律法规保障及信用奖惩机制等。

四、关注电子商务网上支付安全问题

电子商务是指通过电脑和网络来完成商品的交易、结算等一系列商业活动过程的一种方式，它可以消除时间和空间上的障碍，降低交易成本，减少运作时间，从而为广大企业和个人用户带来方便和效益。电子商务的内容包括信息流、资金流和物流信息流和资金流直接以因特网为基础，应该说信息流和物流比较容易实现，而资金流即网上支付实现起来却比较复杂，所以人们在谈及电子商务时.往往把网上支付手段作为衡量是否真正实现电子商务的标志。

所谓网上支付，就是利用商业银行开通的网上银行业务，采用数字签章（电子签章）的安全防护技术认证措施，使客户不必出门，不必开支票，不必贴邮票，就能经由网络迅速地完成款项支付、资金划转的电子转账作业。目前，我国的电子商务公司大都采用“网上交易、网下支付”的方式，即先在网上进行商品信息查询，确定价格，进行订货，而采用传统的脱机方式付款，如货到付款、银行转账、邮局汇款等，这种方式比较安全和容易接受，但损害了电子商务的方便性和时效性的真正含义，使其成为电子合同，无法在网上完成整个交易。从理论上讲，网上支付比传统的支付方式有很多优点，例如便捷、高效、安全等，那么为什么人们在电子商务中仍然迷恋传统的支付方式呢？这实际上已经成为发展电子商务的主要瓶颈。除了商家和客户还不习惯用电子货币消费外，关键是我国的网上支付业务还很落后，网上支付的效率还很低，确认支付的时间较长，网上支付收取的上网费用和管理费用过高。网上支付有种种限制，如金额限制、地域限制等，重要的是网上支付的安全性问题、信誉问题得不到保障。在中国互联网络信息中心（CNNIC）公布的一份报告中，用户对“目前网上购物最大的问题”的回答结果是：认为网上支付安全得不到保障的占36.5％，认为产品质量、售后服务及厂商信誉得不到保证的占27.6％，而认为付款不方便和送货不及时的分别占17.79％和9.39％。由此可见，网上支付的安全性是人们最关心的问题。网上交易的一个重要特征是虚拟，网上商店又叫虚拟商店，网上银行又叫虚拟银行。然而，虚拟容易给人们带来心理上的不确定性，觉得对虚拟空间里的事物难以把握。同时，从技术角度讲，要在虚拟空间里实现原来“看得见摸得着”的商业交易，也并非简单，所以，无论是商家、银行，还是一般用户，都非常关心资金的安全及保密问题。应该说，目前我国的电子商务公司的安全措施甚至安全意识都相对落后，商家和用户资金的安全性和私密性势必受到一定的威胁，造成商家和用户的不信任。网络环境下的支付安全不仅涉及技术问题，而且还涉及法律政策问题，包括法律法规、政府政策、金融体制等等，技术问题虽然是直接保障安全的手段，但离开了法律政策和管理的基础，纵有最先进的技术，网上支付的安全也不会得到保障。

●法律法规政策环境建设要使网络安全地运行

信息安全地传递，就需要靠必要的法律规范，以法制来强化网络安全。这主要涉及网络规划与建设的法律、网络管理与经营的法律、网络安全的法律、用户数据保护的法律、电子资金划转的法律认证、电子签名和电子文件的法律效力、电子身份认证的安全标准、电子身份认征机构的设立与管理、电子签名当事人与主管部门的法律责任、计算机犯罪与刑事立法等法律问题。有了相关法律的保护，还必须有相应的配套政策，才能使网络安全的实施具有可操作性。

●技术标准规范环境建设

我们使用的因特网和PC机，是一个开放的平台，没有人可以保证你的系统不会被侵害，而这种侵害主要体现在：病毒或恶意代码的攻击，造成数据丢失或被篡改，网络瘫痪；黑客的攻击、非授权访问，造成信息失窃或被伪造篡改，网站不能被访问；另外，你的系统硬件本身无任何安全性可言，假如一个电子行家在你的PC机、终端或键盘上略施手脚，就可以截获或改变你的网上传送资料，窃取你的口令密码、账号等有关信息，俟机作案，为了防止各类不安全事件的发生，必须采取更先进的技术手段，如防火墙、信息加密、支付网关、支付协议等技术，必须制定网络安全技术规范标准，这对于在Intemet上进行电子商务极为重要。它不仅有利于网络安全和互联，还可以促进公平竞争。目前，全球关于电子商务的标准体系有多种，中国还没有自己的完整标准，大都是采用国际上较为流行的SSL和SET两种网上支付协议。SSL是安全套接层协议，它是最早应用于电子商务的一种由客户和商家两家参与的支付协议，整个过程中只有商家对客户的认证，缺少客户对商家的认证。由于在初期阶段，参与电子商务的都是信誉较高的大公司，这个问题并不突出，但随着参加电子商务的商家越来越多，对商家的认证问题越来越突出。SET称安全电子交易协议。它是包括客户、商家、银行的三方支付协议，它是将客户的采购请求和价格信息进行数字签名，商家认可该采购有效并将请求传给银行，银行处理请求，若价格匹配，则银行对客户的账号扣款并指令商家完成该笔交易。另外，还有安全交易技术协议（sTT），安全超文本传输协议（SH］］P）等等，正是由于有了这些标准规范协议，才能够使网上支付安全得以实现。为了保证网上电子交易的安全性（保密性、真实完整性和不可抵赖否认性），防范交易及支付过程中的欺诈行为，除了信息传输过程中采用更强的加密算法等措施外，还必须在网上建立一种信任及信任验证机制，对其信息的准确性和合法性进行验证，使交易及支付各方能够确认其他各方的身份，这就要求参加电子商务的各方必须有一个可以被验证的身份标识，即电子证书或称数字证书。数字证书是交易各方在网上进行信息交流和支付等活动的身份证明，在电子交易的各个环节都必须验证数字证书的有效性，通过数字证书和非对称密钥实现用户身份验证，从而保证交易和支付的正常进行，避免商业纠纷，建立相互间的信任。因此，建立一个能够发放和管理数字证书的权威性认证机构是实现电子商务和网上支付的重要保证之一。值得说明的是，任何安全都是相对的和有代价的，不要追求一个永远也攻不破的安全技术网络。安全与管理始终是联系在一起的，要想以后的网站永远不会受到攻击，不出任何安全性的问题是不可能的，今天安全明天就不一定安全，安全是发展的、动态的，因此就需要不断地检查、评估和调整相应的安全策略，没有一劳永逸的安全，也没有一蹴而就的安全。实际上传统的支付方式也并非安全，就像人们认为坐火车、汽车比乘飞机安全一样，实际上飞机的事故率非常低，甚至比走路和骑自行车更安全，这就是所谓的约定成俗，实际上是一种思维误区，任何支付方式都不是绝对安全的，对于可能出现的网上支付安全问题，回避并不是最好的办法，结果只能阻碍正常的发展进程，要正确认识安全与发展的关系，做到在发展中求安全，在安全中求发展。