书城教材教辅电子商务安全与实训
32285200000009

第9章 网络支付的概念及其安全

经济全球化已经到了,电子商务是中国经济与世界经济接轨的需要,畅通的物流、信息流与资金流是发展电子商务的保证。目前,我国的情况是物流配送体系不完善,商业信用度低,由于信息安全性低导致的在线支付手段缺失尤为突出,网上交易、网下结算还是支付的主要方式。电子商务变成只有网上商店、电子商情、电子合同,而无网上支付的“虚拟商务”。网络银行的诞生使在线即时支付成为可能,改变了传统的“一手交钱、一手交货”的交易模式,实现了真正意义上的电子商务。

在中国,电子商务领域已有多家网站推出支付工具,如淘宝的“支付宝”、eBay易趣的“易付通”(已升级为“安付通”)、慧聪网的“买卖通”,以及2005年初雅虎与新浪的合资公司一拍网,推出的“e拍通”等。但是,在缺少个人支票和信用卡的使用习惯及基础设施的情况下,支付在中国仍然是个大问题,特别是非面对面的交易,传统的支付手段严重阻碍了电子商务的发展。

2.1.1网络支付的定义

电子商务运作模型和业务流程中三个环节——信息流、资金流和物流,是促进电子商务发展的关键。作为中间环节的网络(在线)支付,是电子商务流程中交易双方最为关心的问题。如果这个环节不能解决,那么真正实现电子商务就成为空谈,就没有电子商务得以顺利发展的基础条件,电子商务就成了“虚拟商务”,只能是信息传递的电子化、合同的无纸化,而无法完全实现网上交易,使得电子商务快捷便利的优势大打折扣。

最初的网上购物不包括网络支付功能,只负责提供商品(服务)信息浏览和下订单。付款是通过其他途径(如电话、传真和邮局汇款,银行转账、汇款等形式)完成的。不过,对于电子商务来说,这些付款方式使得其方便性与实效性大打折扣,甚至可以说非常类似于邮购方式,当然这些无法令追求效率和便捷的人们满意。

因此,电子商务的进一步发展必然要求网络支付的同步。传统支付和结算必然要适应电子商务环境的特点而加以变革和更新,乃至创造出某种全新的支付模式来适应电子商务的迅猛发展。

目前电子商务亟待解决的问题就集中在如何通过现有的网络技术如Internet Web、数据加密、防火墙技术、各种交易协议(如SET——Secure Electronic Transaction“安全电子交易协议”和SSL-Secure Socket Layer Protocol“安全套接层协议”)、客户端浏览技术和软件等,使得客户和商家透明安全地进行交易。其中,支付系统的可靠和安全,是整个电子商务框架的基础和保障。

电子支付,英文为“Electronic Payment”,概括地说就是传统支付形式的电子化。或者是通过电子信息化的手段实现交易中的价值交换。

而网络(在线)支付,英文为“Online Payment”或者“Internet Payment”,是指以计算机网络系统特别是互联网系统,以电子信息传递的形式来实现资金的流通和支付。

目前,国际通行的网络支付工具主要有电子信用卡、电子借记卡、电子支票和电子现金等。有了这些常用的支付工具,就可以通过一些常用的互联网支付手段来实现网络支付,例如登录网上银行。

信用卡支付是电子支付中最常用的工具,信用卡在欧美等发达国家和地区已经成为最普遍的支付方式。可以在许多公共场合使用。也可以刷卡、POS结账以及在自动取款机上提取现金等方式进行支付。广义的信用卡是指能够为持卡人提供信用证明,持卡人可以据此进行消费和享受服务的卡片,包括银行贷记卡、借记卡、储蓄卡和支票卡。

信用卡比较适用于计算机网络空间的操作。在电子商务中最简单的形式是让用户提前在某一公司登记一个信用卡号码和口令,当用户通过网络在该公司购物时,用户只需将口令传送到该公司,购物完成后,用户会收到一个确认的电子邮件,询问购买是否有效。若用户对电子邮件回答有效时,公司就会从用户的信用卡账户上,减去这笔交易的费用。此种方式的缺点在于安全措施差,可以看出持卡人主要是依靠商家的诚信来保护自己的信用卡隐私信息,但是一旦信息披露出现纰漏,则难免出现安全问题和网络支付纠纷。

网络支付的实现不只涉及技术层面的问题,还包含三个主要的因素,即支付工具的适用范围、不同支付工具中支付人与被支付人的操作办法以及不同的政策与法律监管机制。

长期以来,不同国家银行业务与支付系统的发展大多局限于国界的范围,并形成了各自不同的支付文化,最直观的表现是支付工具及使用方法的区别上。我国一般习惯使用现金,支票多用于对公业务,储蓄消费占据统治地位。而美国及欧洲国家非面对面的现金支付方式相对比较普遍。从整体上看,全球零售支付呈现出向电子非现金方式转移的趋势,如卡支付的快速增长、直接借记转账的大量应用等。

网络支付还涉及政治与法律领域的话题,不同国家经济政策的传统、制定法律与政策的办法、消费者保护在经济环境中的地位等,都是影响支付文化差异的重要因素。在支付系统参与者方面,非银行机构的角色差异也在支付文化中占据重要地位,如邮政服务系统、信用卡组织、电信运营商等。另外,商家和消费者对于支付工具的体验与期望也是重要内容。例如,消费者在决定采用某种支付工具时,商家可以作出何种担保、对于消费者来说风险的高低等,这些因素都或多或少影响着商家和消费者对于支付工具的选择。

2.1.2网络支付的基本功能

安全有效、方便快捷是所有网络支付方式追求的共同目标,对于一个实用的网络支付系统而言,它至少应该具备以下几种基本功能:

1.对相关支付信息流进行加密

可以采用对称和非对称密码体制进行信息加密、解密;采用数字信封、消息鉴别码等技术加强数据传输的保密性与完整性,防止非法用户截取信息。例如,利用网络银行转账时,防止网上信用卡密码被恶意攻击者破译、窃取。

2.使用数字签名和数字证书实现对商务活动各方的认证

为实现网上交易与支付的安全性,对参与网上交易的各方身份的有效性进行认证,通过认证机构或注册机构向参与各方发放数字证书,以证实其身份的合法性。例如,防止一些不法分子利用假的银行网站在网上骗取用户资金账号和密码。

3.使用数字摘要算法确认电子支付信息的真伪

为保护数据不被未授权者建立、嵌入、删除、篡改、重放,而是完整无损地到达接收方,可以采用数据杂凑技术(Hash技术)。即通过对原文的杂凑生成消息摘要一并传送到接收方,接受方可以通过消息摘要来判断所接收的消息是否完整;否则,要求发送方重发以保证其完整性。例如,不法分子截获了一个转账消息,将其中转账的目的账号更改为自己的账号。

4.系统能够保证对相关业务或行为的不可否认性

网络支付系统必须在交易过程中生成或提供足够充分的证据,来迅速判别纠纷中的是非,可以用数字签名等技术实现。例如,客户在交易规定时间内完成支付,而商家因为自己的原因拖延收到货款时间从而延迟发货,甚至根本否认收到客户网上支付,从而产生纠纷。

5.处理网上交易的多边支付问题

由于网上交易的支付要牵涉客户、商家和银行等多方,其中传递的购货信息和支付信息必须连在一起,因为商家只有确认了某些支付信息后才会继续交易,银行也只有确认支付信息后才会提供支付。为保证安全,商家不能读取客户的支付信息,银行不能读取商家的购货信息,这种多边支付的关系能够通过双重数字签名等技术实现。

2.1.3网络支付的安全问题与需求

信息时代,互联网的发展、电子商务的兴起、网络支付的推广应用,使信息安全问题更显突出。在网络支付中,资金支付体系问题是电子商务中主要的安全隐患发生点。基于Internet平台的电子商务必然涉及客户、商家、银行及相关管理认证部门等多方机构,以及它们之间可能的资金划拨,使得客户和商家必须充分考虑支付体系是否安全。因此,保证安全是推广应用网络支付的根本和基础。

1.网络支付的安全问题

具体来说,网络支付流程中面临的主要安全问题有以下几个方面:

(1)支付账号和密码等隐私支付信息在网络传递过程中被窃取或盗用。

(2)支付金额被篡改。

(3)不能有效验证收款方的身份。

(4)对支付行为或支付信息内容进行抵赖、修改和否认。

(5)网络遭恶意攻击致使网络支付被故意延迟。

(6)支付行业经营和政策风险。

对于这个问题,一方面,国家对支付公司的资质应该严格审查,商户的账户和支付公司自身的账户应该分离,并被保险;另一方面,商户在选择支付公司时,一定要整体考察公司的资质背景,尤其是它的持续盈利能力。

2.网络支付中的安全需求

网络支付中的安全需求包括如下几方面:

(1)保证网络支付数据的保密性。

(2)保证网络支付数据的完整性。

(3)保证网络支付结算双方的身份认证。

(4)保证网络支付行为发生的事实及发生内容的不可抵赖。

(5)保证网络支付系统运行稳定可靠、方便快捷,做好数据备份与灾难恢复功能。

(6)通过立法保护。