基于nfc的移动支付安全解决方案研究与应用

《基于nfc的移动支付安全解决方案研究与应用》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

基于NFC的移动支付安全解决方案研究与应用郭先会1陈丹（21.成都三零凯天通信实业有限公司四川成都610041；2.中讯邮电咨询设计院有限公司成都分公司四川成都610042）摘要：随着互联网技术和电子商务的不断发展，越来越多的用户选择移动支付业务，与此同时，移动支付的安全性变得尤其重要，设计一种安全的移动支付解决方案具有重要的现实意义。本文通过详细分析现有的移动支付系统，并结合NFC和安全支付的特点，提出基于NFC的移动支付安全解决方案，并验证该方案的安全性。关键词：移动支付；NFC；支付安全中图分类号：TN948.61文献标识码：B1引言随着消费者移动支付需求增长的刺激，以及移动互联网的兴起和电子商务的快速发展，移动支付行业得到了快速的发展。据Gartner公司的最新数据显示，从2009~2012年，全球移动支付业务用户年复合增长率达到44.75%，预计到2015年，全球移动支付用户将达到3.84亿。移动支付不受空间和时间的限制，能够为消费者提供差异化、个性化和多样化的服务，消费者通过移动支付业务，能够快速有效地完成支付、缴费等金融服务，极大地方便人们的生活。但是随着移动支付业务的广泛应用，其安全性已经受到越来越多人的关注。本文通过分析现有的移动支付系统，并结合NFC技术和安全支付的特点，构建基于NFC的移动支付安全解决方案[1]。NFC(近距离通信)、SIMPass等技术实现，远距离支付主要有短信支付、WAP支付等[2]。随着移动电子业务的发展，移动支付面临来自互联网和移动通信系统的各种安全性攻击产生的风险。这些风险主要包括主动攻击和被动攻击。其中，主动攻击利用对数据进行篡改、伪造、拒绝服务等方式，试图对整个移动支付系统的运行加以干扰，以此达到对移动支付系统的破坏或其他目的；被动攻击是指攻击者以非法身份监听或监测通信网络中的信息，它对系统资源利用不产生干扰，而是通过试图对移动通信系统中传输的信息进行窃听。由于移动支付是基于无线通信的开放性传输，在给人们的生活带来方便和快捷的同时，其安全性也受到越来越多的关注。为了使移动支付能够安进行，移动支付系统必须满足的安全要求有：（1）信息的有效性。移动支付以无线通信为载体，在移动支付过程中，电子信息取代了纸质信息，这就需要保证电子形式信息的有效性。因此，需要预防在发生网络故障、系统软件错误、操作错误等情况下交易数据的有效性[3]。（2）信息的机密性。用户在进行交易的过程中，保证其信息不被非授权的人或实体非法窃取，并确2移动支付安全概述移动支付是指用户为了某种物品或服务，通过移动终端设备实现的在线交易。用户使用移动终端设备完成商品或服务的支付业务，不受时间和空间等限制，极大地方便了人们的工作和生活。移动支付按照支付距离可以分为：近距离支付和远距离支付。其中，近距离支付一般采用RFID(无线射频技术)、15 技术方案TechnologyScheme数据通信2014.5保只有合法的用户才能进行看到用户数据。（3）数据的完整性。防止买卖双方和支付平台之间传送的机密信息和数据在传输过程中遭到恶意篡改、插入等形式的破坏。（4）信息的不可否认性。主要用于防止发送方或接收方对所传送的信息抵赖。在信息发布、支付合同签署、支付谈判等关键交易步骤时，接收方或发送方有一方予以否认，就可以用另一方已签名的记录作为依据。NFC设备作为非接触式读写器，可以从包含有电子标签信息的卡片、设备等位置读取信息，同时向标签中写入信息数据。NFC技术作为一种快速、安全的近距离无线通信技术，相对于RFID技术而言，NFC具有传输距离短、速度快和能耗低等特点。同时，NFC采用13.56MHz的无线频率进行数据传输，并且兼容现有的非接触智能卡技术标准，已经得到越来越多终端设备厂商的支持。NFC虽然传输数据距离较近，相对于蓝牙、红外等技术具有较高的安全性，但是作为无线通信技术，依然存在数据窃听、篡改等安全问题。数据窃听通常指攻击者通过天线或其他分析设备获取设备之间传送的任何数据。如果读卡器与电子标签之间传送的数据没有进行加密，数据很容易被窃听；如果传送的数据进行了加密，数据的安全性取决于加密密钥的安全。同时，相对于主动模式，由于被动模式下NFC设备不产生自己的射频域，被窃听的可能性更小。3.2NFC在移动支付安全系统中的设计在移动支付系统中，主要由用户、移动支付平台、商家和银行支付网关组成。其中，用户作为移动支付系统的主体，首先必须是移动支付平台签约的银行客户，这样移动支付软件才能针对特定的用户完成特定的业务。用户在移动支付系统中主要的操作有用户注册、发送支付命令、确认交易、账户管理、消费金额设置等；商家在移动支付系统中为用户提供商品或服务，也必须是移动支付平台签约的银行客户，在移动支付系统中主要的操作有商家注册、订单生成、账户管理、请求撤销等；移动支付平台作为整个移动支付系统的核心，需要与多家金融机构合作，为银行、用户和商家提供移动支付服务，为移动支付系统的每个参与方建立连接，并完成每个参与方的需求。移动支付平台主要完成的功能有用户注册、用户认证和银行请求等；银行网关的主要功能是处理发送到银行的请求[4]。本文基于软件安全的思想，通过挑战应答的认证机制唯一识别用户，保证客户端软件在特定的手机上运行，同时使用NFC技术交换客户端与POS机之间的关键信息，采用3G移动网络实现客户端与服务器之间的数据传输。本文建立的移动支付系统如图1所示，该系统利用手机的唯一身份识别与银行账户3基于NFC的移动支付安全解决方案实现移动支付的关键在于选择对应的支付协议，并给出相关的算法设计。本文使用NFC协议进行端到端的通信，并详细分析该协议下的移动支付过程和安全性。3.1NFC概述NFC(NearFieldCommunication)，即近距离无线通信技术，是由RFID(非接触式射频识别)演变而来，是由飞利浦半导体、诺基亚和SONY等公司共同研发的短距离高频无线电技术，在13.56MHz频率的有效通信距离为20厘米。随着移动通信技术的发展，目前已有多款手机支持NFC技术，可以实现移动设备与电子设备之间的非接触式点对点数据传输。NFC技术由于其传输距离短、较快的连接速度和更好的安全性，已经在移动支付领域得到越来越多的关注。基于NFC的通信通常发生在发送设备和接收设备之间，NFC设备将点对点通信、非接触卡模式和非接触式读写器功能整合到一起，所以NFC设备既可以作为发送设备，也可以作为接收设备。NFC的三种工作模式如下：（1）卡模式：在此模式下，NFC设备处于被动模式。相当于采用RFID技术的IC卡，可以替代公交卡、门禁卡等。该工作模式的优点是，NFC设备通过非接触读卡器的RF域供电，所以即使NFC设备在没电的状态下仍然能够工作。（2）点对点模式：此模式下，可用于数据交换，两个相距很近的NFC设备可以快速建立连接，并实现点对点通信，如发送图片、同步设备文件等，具有传输速度快、功耗低等优点。（3）读写器模式：在此模式下，NFC设备处于主动模式。NFC设备必须在有电的时候才能够工作。16 技术方案TechnologyScheme数据通信2014.5相关联，并利用3G移动网络和NFC技术进行数据传输，通过银行对账户资金的管理，实现基于NFC的安全移动支付平台。通过该平台用户可以进行快捷消费，同时商家能够便捷地进行收款，移动运营商和银行也能够更好的拓展自己的业务。询、身份认证和支付等功能。系统终端既是带有NFC功能的移动终端设备，目前大多数的智能手机都具有NFC功能，但是需要根据本系统要求进行功能扩展，NFC设备需要在读写模式下，产生NFC的标签，并可以读取NFC标签内容，同时支持与其他NFC设备之间的信息交互。在移动支付系统中，带有NFC功能的智能终端既可以作为支付卡使用，又可以作为商家的支付终端使用。基于移动支付的安全性要求，本系统所设计的支付协议需要满足机密性、完整性、认证性和不可否认性的特点[5]。通过加密可以完成机密性，通过基于共享密钥的认证方式完成认证性，通过数字签名完成不可否认性。由于数字签名一般采用非对称密钥，其运算量相对于对称密钥来说比较大，并且在一般情况下还需要数字证书。如果采用非对称密钥，在本系统平台中还需要引入新的参与者，增加系统的复杂性。所以本系统通过在传输的信息中添加一段隐秘信息，以达到采用对称密钥完成不可否认性的要求。图1基于NFC的移动支付系统本系统主要由银行系统、移动支付平台、通信网络、移动支付软件和系统终端四部分组成。银行系统主要管理用户与商家之间的账户资金，并通过跨行处理系统完成跨行之间的资金转入和转出，以此完成用户与商家的资金操作。移动支付平台作为移动支付系统的核心，是由移动支付供应商提供服务，完成银行与客户端之间的信息交互。移动支付平台主要由账户管理、文件管理、身份认证等功能组件组成，在客户端请求数据后将数据统一交到银行的支付系统中，实现用户身份认证和用户注册等功能。通信网络作为数据信息交互的纽带，实现数据交互实时、安全传送，所以通信网络需要具有快速的数据传输速度和安全可靠的网络质量。随着3G技术的发展，3G网络的最快传输速度达到384KB/S，本文采用3G网络，用户手机通过3G网络与银行支付平台建立安全的数据传输通道，同时，用户手机通过NFC技术对与POS机之间交互的数据进行加密后通信，保证用户数据的实时、有效、安全的传输。移动支付软件安装在用户手机上，通过3G移动网络与移动支付平台进行连接，并为用户提供安全的数据存储、支付信息查4结束语本文通过分析NFC及其关键技术，提出并设计了一套基于NFC的移动支付安全系统。在该系统中，由于用户与服务器端之间的信息交互均采用安全通道进行传输，两者之间的传送的数据使用共享密钥的方式进行加密后传送，即使攻击者对数据进行截获，如果没有密钥信息解密，仍然无法获取到用户信息。用户移动支付软件中的用户账户信息有移动服务提供商随机产生的账户，移动提供商将随机账户与用户的银行账户进行关联匹配，这就保证了攻击者无法在用户的移动支付软件与支付系统交互的信息中获取到用户的真实账户信息。由此可见，此移动支付系统具有较高的安全性。参考文献[1]许峰，崔隽，黄皓.基于J2ME的移动支付安全方案研究，计算机科学，2008,35(10)：94-97[2]白丽.面向3G的移动支付安全解决方案研究，现代计算机，2009，7：127-128[3]李曦.一种安全的移动支付方法，计算机应用研究，2005,517 技术方案TechnologyScheme数据通信2014.5(25),1546-1547[4]黄晓芳，周亚建，赖欣，杨义先.基于第三方的安全移动支付方案，计算机工程，2010，9(36)：158-159[5]单美静.移动支付之安全问题，电信科学，2010,11A:141-143作者简介：郭先会(1986-)，女，重庆人，工程师，重庆邮电大学研究生，主要从事移动通信，多媒体通信。陈丹(1982-)，男，四川资阳人，工程师，重庆邮电大学硕士研究生，主要从事信息化、IP城域网等相关咨询设计工作。■(上接第9页)从实验结果可以看出本系统对前四个敏感词计算出敏感度，其数值都比较接近1；第五个关键词“三鹿奶粉事件”为禁用词，系统判定其敏感度为1；最后三个安全词系统判定其敏感度为0。从准确度上来说，本系统对每个关键词的判定都是很符合要求的。从运行速度上来说，系统的判定时间已经达到了毫秒级，平均判断所用时间可以近似说明系统的运行效率。本系统对禁用词和安全词的判定达到10毫秒的数量级。对需要计算相关度的敏感词，最慢的反应时间也在0.2秒之内，这是用户在正常上网中完全不会感觉的，真正达到了柔性干预的目的，有良好的用户体验。总体而言，本系统在功能上实现了对敏感词准确、智能的判断；在性能上可以在用户无法察觉的毫秒级时间内完成干预。本系统已经满足设计所要求的智能性，柔性和高效性的特点，可以在实际环境中使用。数据量的增大，相似度计算的时间必然增加，因此，对敏感词数据进行分类来省去不必要的计算可以大大减轻相似度计算的负担，从而进一步提高关键词匹配计算的效率。参考文献[1]马晓宁.高校网络舆论的干预与疏导[J].现代经济信息,2013,19(19):433-435[2]宋帅.高校突发事件网络舆情引导对策研究[D].安徽:安徽农业大学,2013[3]唐勇.互联网舆情监控系统的设计与实现[D].北京:北京邮电大学,2013[4]张振峰.基于向量空间模型的文本分类算法研究[D].杭州:杭州电子科技大学,2013[5]KingAndrew.Websiteoptimization[M].USA:O’ReillyMe-dia,Inc,2008[6]熊潇.基于搜索引擎索引分析的互联网舆情监控研究[D].上海:上海交通大学,2009[7]黄翼彪.开源中文分词器的比较研究[D].河南:郑州大学,2013[8]张华平,刘群.基于N-最短路径方法的中文词语粗分析模型[J].中文信息学报,2002,16(5):1-7[9]张凌宇,马宗民.一种模糊概念相似度的计算方法[J].东北大学学报(自然科学版),2013,34(9):1236-1239[10]詹志建,梁丽娜,杨小平.基于百度百科的词语相似度计算[J].计算机科学,2013,40(6):199-2024结束语本文所设计的词法分析和关键词匹配计算方法，主要是在敏感词方面可以柔性的判断，使敏感度的判断不是盲目的，而是智能的。通过实验表明，本文设计的算法可以在舆情监控方面高效进行分析和判决。本文所涉及的分词技术和相似度计算算法还有许多问题需要研究。分词方法需要有许多强大的理论模型的支持，理论模型是否合理，算法是否针对大量数据进行训练都直接影响分词的效率和准确性。另一方面，相关度计算算法在求向量点积的过程中存在大量的零项，对数据预先进行合理的处理可以大大提高运算速度。就整个模块而言，随着敏感词库作者简介：郭远，男，学生/本科，主研领域：通信工程。喻志浩，学生/本科，主研领域：通信工程。周莲英，教授/博士，主研领域：网络安全，网络性能，无线（移动）网络，电子商务，物联网。■18