首页 >> 通信新闻 >> 专家专栏 >> 正文
 
从支付历史看认证在手机支付中的价值和应用
http://www.cww.net.cn   2010年6月29日 10:28    通信世界网    
作 者:刘志诚

在人类漫长的交易历史中,支付的方式和内涵发生过天翻地覆的变化。原始的易货交易采用不同物品的实物交换,缺乏公正和准确的度量导致交易的规模局限在狭小的范围内。而为了扩大交易的范围和规模诞生了最早的货币,如南美的贝壳,货币的原始动机是通过稀有而珍贵的物品作为统一的度量,因此,稀有、珍贵而且便于携带和计量是货币的基本属性。随着人类对火与工具的使用,贵重金属,金和银逐渐成为不同种族不同地域人们对实物货币不约而同的选择。

为了保障公正和准确的度量,需要通过铸币机构把贵重金属铸造成流通的货币,贵金属作为货币要确保货币的真实性,需要通过铸造含有标志的金属货币而确认货币的真实性的确认来源,同时需要确认铸币机构的公信力。在漫长的人类历史中,大部分铸币是由强权的王朝缔造者掌握着铸币权,通过国家机器确认铸币机构的公信力。当然,铸币的过程也充满着智慧的较量,通过调整贵金属的含量,铸币机构可以获得短暂的利益,不过劣币驱逐良币,劣币充斥之时也是铸币机构破产之时,而掌握铸币所有权的王朝往往也会随之土崩瓦解。

贵金属的稀缺与开采困难,制造工艺的复杂性在一定程度上降低了伪造的可能性,而非专业人士也在实践中可以摸索到真伪辨别的方式,例如,通过口吹银元耳听回声的方式判别银元的真伪已经成为民国时期电视剧常见的场景。在交易过程中对支付货币的认证简捷而有效。

在中国的宋朝已经出现了票据式货币——交子,但是由于其流通范围有限,发行机构的公信力以及货币的真伪识别认证环节存在问题,并没有普及票据式货币的使用,只有在近代,随着交易的种类,交易的规模日渐扩大,传统的贵金属货币已经远不能满足现代交易的需要,票据式货币才逐渐成为主流。为了解决票据式货币发行的公信力,一般采用依据金融机构持有的黄金储备数量发行对应的货币,货币对应的是实物黄金,凭票即付。这就是历史上有名的金本位机制,但是在20世纪60年代,金本位由于黄金开采量的限制再次阻碍了世界经济突飞猛进的发展而被各主要经济体联合废除。目前各国的货币发行模式一般采用由金融机构购买国债,根据持有的国债规模发行对应的货币。由于政府国债代表国家的公信力,因此金融机构在购买的国债范围内发行货币可以由政府兑现,转而把金融机构的公信力责任转嫁为国家承担。因此,从本质上来说,受国家监管的金融机构是可以拥有发钞权的,这也是国际通行的纸币发行方式。但是,在中国,货币的发行权是只有人民银行才具备的,这也是中国不同于现代金融体系的一个特例。

在近代历史上,不具备公信力或忽视公信力的政府往往会忽视经济规律滥发货币造成恶性通货膨胀,因此,票据式货币也就是纸币的价值只有在稳定并具有公信力的政府环境下才能够流通并逐步取代贵金属货币,中国民国时期法币与银元的遭遇既是明证。

票据式货币的防伪远比贵金属货币复杂得多,在现代的纸币的印制环节,政府对印刷设备、印刷材料方面均进行严格的控制,而且不断的采用各种创新的或复杂的印刷技术、印刷材料以及新的防伪成果来提高纸币伪造的难度。虽然如此,现在的纸币仍然存在大量的假冒,而且几乎可以假乱真。在交易过程中支付环节的纸币认证成为不可或缺的一环,认证纸币真伪的相关设备也已经形成了具备规模的产业链,手工鉴别和人眼鉴别在缺乏设备支持的交易场景中也成为无奈之举,纸币衍生的票据例如支票、汇票等基于票据的支付,存在同样的问题,笔者甚至听说过为了验证一张支票的真伪,交易双方必须飞到支票签发地验证的故事。纸币和票据支付的本意是降低交易成本,但在现代社会中难以实现对纸币和票据的有效地验证手段,无形之中又增加了交易的成本。这从一个方面也促进了现代电子支付的诞生和发展。

电子支付的范围比较广泛,传统的的基于磁条的借记卡和贷记卡(信用卡)的现场支付是其中最为常见的一种,虽然这种支付手段在国外早有普及,但在中国,却还是近二十年才逐渐发展和普及,即使现在,依然存在巨大的市场空间。比较新颖的支付手段是互联网的远程支付,随着支付宝、快钱、财付通等第三方支付的爆炸性增长,以及各金融机构信用卡和网上银行的普及,远程支付的用户也从专业人士逐渐过渡到平民百姓,远程支付已经成为网上交易不可或缺的手段。近两年电信运营商、银联、以及各大银行不约而同的打起了手机支付的注意,背后的巨大市场空间也不言而喻,仅中国移动一家已经拥有5亿多用户,如果引爆这个支付市场,其影响非同小可,无论对传统的银行卡支付还是网上支付都是不小的冲击。

而如何做手机支付,在手机支付过程中应该注意哪些环节,无疑是需要重点考虑的,这个考虑也不能无的放矢,随性而为,一定要尊重支付的历史,尊重在交易环节中支付所起的作用以及价值,一定要了解传统支付中存在的问题,并思考如何在手机支付发展中避免重蹈覆辙。

从支付发展的历史来看,首当其冲的重大问题是认证问题,如何确定支付的货币的真实性,如何实现对货币的“认证”。说到这一点,并不是已经解决了手机支付的所有问题,学习历史也一定要超越历史,要总结历史规律中隐含的颠扑不破的真知,我们在简单的回顾支付历史的过程中一直在谈货币的真伪、货币的公信力并总结出了货币的认证在支付环节的重要性,但我们一直在忽略一个显而易见的细节,或者说因为显而易见我们才认为其并不重要,那就是对人的认证。

在贵金属货币和纸币的支付环节,我们不追究货币获得的渠道以及使用者的身份,因为这远超出支付涉及到主体的范围,在这个交易过程中只涉及交易双方。然而后续的支付从票据开始均开始加入第三方,即金融机构,而这个过程中已经不再是货币的实物交付,而是虚拟的账户数据变更,那么必须要确认账户所有者的身份才能变更账户,否则,这个变更将丧失货币的真实性和公信力。

基于银行卡的现场支付从一定程度上考虑了认证的问题,并形成了一套在一段时间内行之有效的安全认证机制,银行卡磁条信息存有用户的账户信息以及银行相关信息,部署在商户的刷取磁条卡的设备(POS)需要具备安全接入模块(SAM),操作人员通过签到机制输入个人识别码识别操作员身份,POS和支付交易后台均具备同一密钥管理中心同一主密钥分发的密钥,密钥包括完整性校验密钥以及加密密钥两大类型。在支付刷卡过程中,用户通过磁条卡的账户信息和个人密码识别用户身份,交易后台通过SAM卡识别POS身份,然后该信息通过POS设备的SAM卡内的密钥进行处理实现完整性和机密性保护,透过POSP到达支付交易处理后台,交易后台采用主密钥和相同算法分散出对应POS密钥解密处理即可完成交易的验证,验证完成后既可以提起清算。当然,实际的交易环节远比这里的简单描述复杂,但其核心思想十分明确,和上述描述过程基本相同,即在支付过程中实现对账户(磁条卡)、用户(识别码\PIN\密码)、商户(SAM、识别码)、支付交易(金额等)的认证。

磁条卡由于只包含账户信息,而且磁条信息在支付过程中需要读出,因此很容易伪造,目前伪卡的泛滥已经成为不小的隐患,另外,虽然合法POS具有用户识别码加密的功能,但是对恶意盗取用户密码的 POS或ATM设备,通过欺骗手段很容易获取用户输入的识别码,因此,非法的POS或ATM设备可以轻易获得用户的账户和密码,等同于没有认证环节,危害极其严重。

国际最大的发卡组织VISA、Master等机构合作发起了EMV标准,即带安全芯片的智能卡标准,中国人民银行依据此标准主导制定了中国金融芯片卡的国家标准即PBOC2.0,银联基于国家标准的基础上删节、修改制定了自己的企业标准QPBOC2.0。EMV标准最重要的核心意图之一是通过非对称技术实现卡的认证,防止卡的复制和伪造,在标准中,对卡的识别和认证采用两种方式,第一种称作静态数据认证,即由发卡行对账户信息进行数字签名后写入芯片卡,虽然这种方式可以防止账户信息的伪造,在非连接交易中可以有效保护金融机构和商户的利益,防止伪卡,但是静态数据认证只是对读出的数据确认来源,并不能解决卡的复制问题,第二种称作动态数据认证,即由芯片卡的安全芯片产生不能导出私钥的非对称密钥对,然后由发卡的金融机构对导出的公钥签名,生成用于卡片识别的数字证书,在验证动态数据时,由卡片数字证书对应的卡内私钥对账户和其他数据数字签名形成动态数据,POS设备读取到动态数据后根据索引文件索引POS存储的颁发发卡金融机构证书的认证中心根证书,利用证书信任链机制验证发卡金融机构数字证书、卡片数字证书的有效性,证书有效性获得保障后验证动态数据数字签名的有效性,由于私钥由安全芯片生成并且不可导出,动态数据认证可以有效地杜绝卡的复制,从而实现对卡的认证,即对账户的认证。EMV标准对具体支付业务以及卡的形态、特性等做了详细的规定,在支付业务的处理过程中根据安全级别定义了不同的安全机制,从目前的支付体系来看,支付业务本身通过对称密钥体制的安全级别可以保障支付交易的真实性和完整性,本文不再对EMV该部分细节进行描述。

[1]  [2]  
相关新闻
编 辑:赵宇    联系电话:010-67110006-864
[收藏] [打印] [进入论坛] [推荐给朋友]
关键字搜索:手机支付  认证  
文章评论评论()】
昵称:  验证码:
 
重要新闻推荐
每日新闻排行
企业黄页
会议活动