标签: 手机支付

    手机NFC的应用最大的特点是手机支付，但还有另外一个重要用途不知有没有想到，就是能够接收支付的账单。（不清楚是不是已经有人开发了啊。如果有人开发了，请在后面回复一下。）   今天下午看到有新浪微博的网友“幸福在深圳”说又遇到某超市的明细单上的总价莫名其妙地多算了钱，好在才几样东西，网友“幸福在深圳”一下子就算出来多计了8元钱，才避免了钱财的损失。网友的微博发言如下：   幸福在深圳：今天下午去深圳西乡港隆城*乐福买了点东西。看到小票我顿时石化了，学了十几年的数学但是用不上了。“0.20+29.00+70=107.20元”最后找工作人员，工作人员说我看错了 是78.炕爹啊，又是你，*乐福！     也有人讲，是账单上的70.00元那个物品，应该真实价是78.00元，只是因为打印机效果不好，造成大家的误会。但不管如何，顾客对商场的不信任，商场员工对收银机功能的心虚，都是导致事情发生的潜在原因。   笔者也是经常去购物的居家男人。通常一次性购物都在10件以上，每个单超过100元的比例还非常高。但这些单本人基本上从来不会去计算，就算是看单，也只是看那几样东西是不是都买了，从来不会去算总价是否正确。PS：估计所有人都跟本人差不多，购物已经很辛苦了，还去仔细算账，有这个时间都没有这个精力了。   究竟应该如何去解决问题呢？笔者认为目前双方的信任已经存在问题的情况下，应该是我们工程师们发挥优势的时候了。   移动支付功能正是现在手机新功能的大热点。我们可以要求收银员将用无线支付的功能，将账单发至我们的手机上，手机上安装一个新APP应用，它会自动做个结算，看是否正确。这样一来，所有的购物账单管理就简单得很了。不知将来手机/移动支付功能越来越普及的时候，收银机是不是会有这方面的改进？   业界朋友们，这算不算是给大家提供了一个好的商机呢？如果是的话，将来您发达了，记得给本人一笔报酬哦。  

听说黑鲨科技是一家深圳做海外移动支付的公司。近日获得MTK的非控股方式投资。 据称，深圳黑鲨科技拥有116个国家的手机支付平台，此次引入联发科将极大丰富其行业战略资源。 在其网站上所描述的是斯凯(Sky mobi)。2010年12月10日，斯凯以代码“MOBI”在纳斯达克成功挂牌，股价从发行的8美元涨至近24美元，但最近几天斯凯公司的股价连续大跌，腰斩至11.70美元。 现在手机支付在国内进展并不顺利，但在海外究竟发展的怎么样？软件平台商的前景如何？

中行E令诈骗尽显网银动态口令安全漏洞 ----网络钓鱼诈骗挑战网银身份认证安全之 网银身份认证设备浅析篇 杭州晟元芯片技术有限公司/郭志 目录： 网银身份认证设备的发展历史 网银身份认证设备的原理及安全性能分析 网银身份认证设备 未来发展趋势             进入今年１月以来，国内多省市发生以“中国银行Ｅ令卡网银升级”为名，通过手机短信和制作“克隆网站”（又称“钓鱼网站”）实施诈骗的案件。仅江苏省1月10日至24日短短半个月时间内就发生100多起同类诈骗，广东、浙江、北京等地也陆续出现多起网银诈骗案件，被骗金额从几万到几百万，全国各大媒体连续多次报道相关新闻。一时之间众多被骗用户在报案的同时将矛头指向发行行中国银行，本意是增强网上银行的登录和买卖业务安全的动态口令牌为什么反而成为被黑客利用的漏洞。 网银身份认证设备的发展历史         网上银行应用系统中的安全控制的第一道防线是身份认证。目前，国内外网银的身份认证技术主要分3个层次，一是网银推广初期采用静态密码技术，二是动态口令技术，三是基于PKI体系的数字签名技术。         静态密码技术在度过了网银前期的推广期后逐渐被淘汰。         动态口令产品主要有三类：刮刮卡、手机OTP以及时钟令牌。         基于PKI体系的数字签名技术是目前较新较安全的身份认证技术，目前已经从第一代USBKEY逐渐向第二代液晶KEY、按键KEY过渡，同时也出现了第三代生物识别KEY、手机SDKEY等高新安全的KEY。 网银身份认证设备的原理及安全性能分析         静态密码，就是不变的密码，这种简单的认证方式容易被黑客破解、窃取，国内银行已基本取消了静态密码的支付权限。         动态口令技术，也称为一次一密（OTP）技术，即用户的身份验证密码是变化的，密码在使用过一次后就无效，下次登录时的密码是完全不同的新密码。其中刮刮卡是基于银行事先生成好的密码组，用户使用一次后自动作废，刮刮卡成本低廉，使用方法简单，国内银行在2005年左右开始试推广，目前已不是银行的主推产品。手机OTP原理与刮刮卡相同，比刮刮卡更绿色环保，易用性更高。 动态口令牌是一种内置电源、密码生成芯片和显示屏、按照专门的算法每隔一定时间自动更新动态口令的专用硬件，密码的生成是由用户专用硬件来完成，降低了动态密码泄露及管理风险。         动态口令技术，改变了静态认证的固定密码口令，通过随机变化的一次性密码口令，提升交易的安全性。不可否认OTP技术作为理论上不可破解的抵御外部被动攻击的密码系统，在网上银行防止木马破解攻击方面发挥了广泛应用。但是同样网络黑客很清楚在网上银行业务流程“用户—网上银行—银行数据库”三个环节中，突破后两者很困难，于是，薄弱的用户端便成了他们攻击的主要对象。随着计算机技术的发展，在木马钓鱼的作用下，黑客能够实现和用户电脑的同步，而OTP技术的密码口令有效时间，给黑客提供了足够的截获、登录、转账的操作时间。         PKI(Pubic Key Infrastructure)是一种遵循标准的利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。基于PKI体系的数字签名技术，可有效保护用户私有信息（身份认证信息）的保密性、真实性、完整性及抗否认性。数字签名主要是消息摘要和非对称加密算法的组合。数字签名(Digital Signature)应用，从原理上讲，通过私有密钥用非对称算法对信息本身进行加密，即可实现数字签名功能。这是因为用私钥加密只能用公钥解密，因而接受者可以解密信息，但无法生成用公钥解密的密文，从而证明用公钥解密的密文肯定是拥有私钥的用户所为，因而是不可否认的。实际实现时，由于非对称算法加/解密速度很慢，因而通常先计算信息摘要，再用非对称加密算法对信息摘要进行加密而获得数字签名。下图简要介绍了常用数字签名的过程。         目前网银应用最普遍的基于PKI体系的数字签名产品是USBKEY，它是一种USB接口的硬件设备。它内置国密安全芯片，有一定的存储空间，可以存储用户的私钥以及数字证书，利用USB Key内置的公钥算法实现对用户身份的认证。由于用户私钥保存在国密安全芯片中，理论上使用任何方式都无法读取，因此保证了用户认证的安全性。         第一代USBKEY产品解决了用户私有信息的传输安全问题，有效预防了基于钓鱼网站的诈骗事件的发生。但是在交换操作方面还存在隐患，当用户长时间插入USBKEY时，黑客可以通过木马截获PIN码，远程控制，冒用客户的USB Key进行身份认证，发生骗签事件。针对该隐患各银行在不断教育用户提高自身安全意识，安装杀毒软件，防木马软件的同时，也开始大力发展第二代USBKEY产品。         第二代USBKEY产品主要包括液晶KEY、按键KEY、语音KEY等产品，该类产品的特点是增加用户签名交易时与银行端的互动，如通过USB Key显示或报读的数据内容就是真正被签名的内容，实现“所见即所签”，用户在确认显示或报读的内容正确无误后按下物理按键即可完成整个交易。虽然在易用性及成本上增加了难度，但在安全性上该类产品是目前比较理想的安全认证终端。该类产品做到了安全的用户终端设备对银行终端设备的认证，可以有效降低基于网络诈骗行为的发生，然而对于抵御现实生活的有意盗窃，二代KEY在安全上还是显的有些力不能及。         第三代KEY产品，突破了现有KEY类产品USB接口的束缚，在易用性和安全性上取得了质的突破。作为在易用性突破的代表产品，手机SD KEY采用SDIO接口，将KEY的应用从电脑扩展到所有带SD卡槽的手持类设备，尤其在手机网银上的应用，随着手机实名制的普及及银联CUPMobile手机支付模式的大力推广，SD KEY突破理论基础实现了量产应用。同时基于无线KEY的需求将进一步丰富第三代KEY的产品线。         作为安全性突破的代表产品，指纹KEY采用生物识别技术，在技术上解决了PIN码输入的安全隐患，彻底实现所有的安全要素单独在安全芯片上运行。同时在应用上解决了PIN码遗忘、丢失等易用性问题。目前该类产品由于成本原因主要针对高端用户。但是随着国内IC设计企业晟元芯片的崛起，作为国内唯一一家同时拥有电子签名芯片和指纹芯片的IC设计公司推出的电子签名系列芯片之一AS602B，迅速的将指纹KEY的生产成本大幅度降低。同时随着市场应用环境的更加成熟、指纹识别技术的发展以及用户对安全保障需求的增加，指纹KEY势必将逐渐走向中端客户，从而迎来更大的发展。   网银身份认证设备 未来发展趋势           万事达组织认为，一项适用的网络银行安全（身份认证）技术，应该尽量满足以下特点：        A、“有效的”安全性，不仅满足高级别的安全需求，同时具备易用性；        B、统一性，在多种电子交易渠道中（如POS、网上等）都可有效适用；        C、高性价比，适合大众消费心理；        D、方便性，让用户能够立刻上手并且用起来不麻烦才有可能普及；         在实际应用中，认证方案的选择是从市场规模、系统需求和认证机制的安全性三方面来考虑的。在网银发展的初期，以市场推广为主要诉求，以方便性和高性价比来满足市场初期需要，对系统需求和身份认证机制的安全性放在第二位来考虑，因此首先出现的是基于静态密码的大众版网上银行。随着市场规模的逐步放大，对安全性的需求也逐渐强烈起来，此时出现了基于动态口令的多种产品。由于动态口令产品成本低廉，应用方便，因此以中国银行为主推的时钟令牌产品在前几年占据了较大的市场份额。然而随着利用钓鱼网站进行诈骗事件的逐渐增多，国内众多商业银行的身份认证产品开始转向推广更加安全的USBKEY电子签名设备。目前工行、建行、农行、邮储银行等大多数商业银行都已经在推广基于PKI体系的高安全U盾或者K宝，只有中国银行还在大范围推广使用动态口令牌。         从安全性、性价比和方便性方面来看，现有USBKEY比静态密码及OTP产品更安全，应用方面也做到了无驱无软方便用户使用，在价格上随着国内自主安全芯片设计能力的不断提高USBKEY价格也大幅度降低，性价比优势越来越明显。而在适用性与方便性方面第三代KEY的发展起到了关键作用，目前手机SD KEY的用户数量也在不断增长中。在安全性与方便性方面指纹KEY具有更大优势，因此未来针对用户差异化的需求第三代KEY将发挥更大作用。         从目前市场容量来看，截止2009年底，我国网上银行注册用户数已达到1.89亿，网银交易额达404.88万亿元。网上银行交易快捷、方便和操作简单的特性，极大地满足了网民的交易需求，因而倍受网民的青睐。但是由于互联网的开放性，网上银行系统的安全性问题令人担忧。据《瑞星2010年度安全报告》指出，2010年全年我国互联网上新增病毒750万个，比去年下降56%；新增钓鱼网站175万个，比去年增加1186%；其中，钓鱼网站的受害网民高达4411万人次，损失超过200亿元。面对如此严峻的安全挑战，各大商业银行加快新一代网银认证设备的推广力度，2010年仅USBKEY出货量就达到6000万只比2009年增长近一倍， 基于 PKI 体系的安全电子签名设备取代 OTP 设备已成必然趋势 。         同样在2010年表现抢眼的二代USBKEY全年出货量猛增，从09年几百万猛增至10年的2000多万只。面对日益白热化的网银市场，各大银行在用户推广上也积极开展差异化策略，针对中高端用户积极推进高新安全网银认证设备的推广工作。以手机SD KEY、指纹KEY为代表的第三代KEY的应用也日趋增多。         另外在国家政策层面，从2007年银监会发布134号通告到2010年初央行向银行业金融机构发布了《网上银行系统信息安全通用规范(试行)》，明确了网银安全的技术规范，国家对网银系统的安全方面的投入在不断加强。该技术规范包含基本要求和增强要求两个层次，基本要求为最低安全要求，增强要求为三年内应达到的安全要求。其中对身份认证设备的安全也做了详细规定，基本要求现有一代USBKEY可以满足，而增强要求则需要二代KEY和三代KEY来支持。         因此，无论是从市场需求角度还是从为维护国家金融安全角度考虑，在钓鱼网站日趋猖獗的当下如何提高网民的“财产”安全已经是一个迫在眉睫的问题。在网银产品的应用上各大商业银行势必会逐步淘汰落后的技术，加强发展新一代安全产品。晟元芯片愿意与产业链各方共同努力，携手共创网银安全的美好明天。         2011-1-28 附件： 典型案例：   乐清陈女士刚输完密码就被人用网银转走了200万 2010年12月23日 04:11都市快报【 大 中 小 】 【打印】 共有评论0条 陈女士是乐清人，今年 10月，她向某银行申请贷款200万元，想用于购房。她办了一张某银行的借记卡，又开通了网上银行。 陈女士的网上银行账户是用一个动态密码管理的。这个动态密码每隔一分钟自动更换。 前几天，陈女士收到一条短信：“尊敬的网银用户：您的中行E令于次日即将过期，请您尽快登录www.bocg.tk进行升级，给您带来不便敬请谅解，详情95566【中国银行】”。 陈女士赶紧登上这个网站，输入自己的用户名和密码，还有动态密码。 可是网站提示她：密码不正确。 第二天早上，陈女士又收到一条短信，说她申请的贷款200万元已经发放了。陈女士一查，发现她银行账户上没有一分钱了。 骗子是怎么获得密码的？ 警方也是第一次接到这类报警。警方查询发现，www.bocg.tk是一个钓鱼网站，也就是假冒的网上银行网站（真实的银行网站是http://www.boc.cn）。 根据陈女士的分析，警方推断： 1.陈女士收到“密码过期”的短信，从内容看，是很符合银行方通知的，还附有客服电话，这些都是障眼法。 2.目前这个钓鱼网站已关闭。经办民警发现，钓鱼网站页面和真实网站设计相似，有一定的欺骗性。 3.骗子怎么做的呢？ 民警分析，骗子是大量群发这个短信的。当陈女士上去这个钓鱼网站后，骗子在后台技术终端提示称密码不正确，需要再次输入。等陈女士再次输入后，她的密码和资料都被盗取了。 警方发现，骗子几乎是在陈女士再次输密码的同时，分两次，每笔都是999000元，再加上手续费，一共转走了1998024元，就这样陈女士向银行贷来的200万元飞走了。 其他案例 1 、 1月10日晚9时许，江苏家住凤翔苑的范某收到“＋8613063261741”发来的短信称：“你的中行E令将于次日过期，请尽快登录www.bocbt.com进行升级，详询95566中国银行”。范先生就登录以上网址，输入用户名，密码，动态口令。操作好后，他又登录中国银行的官方网站进行查询，发现卡里的2.2万余元已被划走。据了解，收到短信时范某也注意到了号码并不是银行客服，而是普通的手机号码。当时，他正好在登录网上银行，便没有起疑。由于动态口令每1分钟就更新一次，在对方的要求下，他输入了两次口令。而不法分子就利用这短短的一两分钟时间，套取了范先生的密码，并迅速转账。 2 、 1月6日，江阴受害人沈某被骗60万元、谢某被骗30.2万；12日，滨湖区的刘某也被骗60万。 3 、 1月6日，家住长宁区的张小姐对短信信以为真，账户里的70余万现金消失得无影无踪。“照例说银行有冻结账户的权利，而根据警方目前掌握的信息，骗子转账的账户开户地在广州。”张小姐告诉记者：“所以我立即就打电话给中国银行广州分行，希望他们能够冻结这个账户，但是对方却说了一堆我听不懂的话，然后把我推到了上海这边。”结果这一来一回，张小姐打了几十个电话却依然没能冻结这个“可疑账户”。 4 、 1月9日，青岛市民刘先生收到陌生号码发的短信，刘先生就在家中电脑登录这个网站，该网站的页面和中国银行官方网站的页面大体一致，网页右上角显示立即升级e令，刘先生就点击升级，随后页面上指示让其输入网银账户的用户名、密码、动态口令，提示升级完成后，刘先生就关了页面。第二天上午刘先生到中国银行提钱，发现其银行账户里的钱被转走了10余万元，他立刻就想起在网上操作的事，惊觉自己被骗，遂向警方报案。经查“www.boct.tk”这个网站已经不存在，对方盗用了刘先生的网银信息转走了其账户里的钱。  5 、 1月11日，金先生卡内30万余额全部被转走，中行浙江省分行查询发现，3点02分时，金先生账户发生交易，30万余额全部转入在中行安徽省分行开设的一个叫李菊的人账户内。 3点03分，李菊账上这30万到账。3点08分，李菊账上这30万被分割成2万、3万不等的数字，分别转到国内各地10多个账户。银行方面说，由于全部转出，这笔钱现在已经无法冻结。 6 、 1月13日下午5点45分左右，南京市民许先生正准备下班，突然收到一条手机短信：“尊敬的网银用户，你的中行E令将于次日过期，请尽快登录WWW.BOCVK.COM。进行升级，给您带来不便请谅解，详询95566(中国银行)。”巧的是，许先生正是中国银行的网上银行用户，而且，很多银行平时常发短信提示用户办理各项业务，所以，看到这条短信后，许先生虽然发现来自一个陌生手机，但他并没产生怀疑，在拨打中国银行95566客服电话、发现占线后，他顾不得多想，利用办公室电脑，根据短信提示登录所谓“中国银行”的网址WWW.BOCVK.COM.。网页打开后，徐先生看到，显示的界面正是“中国银行”，他根据网页提示，输入自己的用户名、密码以及随机产生的中行E令(动态口令)、身份证号等信息后，页面显示升级成功。看到这儿，他放心地退出界面，可没一会儿，当再次登录自己的中行网银账户时，许先生发现账户上的101万元已被转走。 7 、 没过几天，同样的事情发生在苏州市民唐先生身上。他被骗的更多，有198万余元。而据反病毒公司网秦统计，“假银行”欺诈短信泛滥，单月用户举报量已经突破6000个。 8 、 1月7日，家住广州市番禺区的范女士账户已经被转出30万人民币。 9 、 青田金先生银行账户里转账了90万元。 10 、 家住长宁区的张小姐被转走了70余万元。 11 、 家在江苏的李先生被转走了34余万元。 12 、 杭州金先生的房贷卡30万元被骗走。 13 、 绍兴市民章某在接到假冒的中行网银E令卡升级的短信后，登录假中行网站，48秒100万被偷走。 14 、 绍兴市民魏先生、陆先生也分别被相同骗局骗走了1700元和11多万元钱。 … …            … … … …            … … 据金山网络最新统计数据显示，近两周，访问过中行山寨网站的用户已经多达5万人。 相关链接 公安网：《无锡警媒联手防范“中行网银E令升级”诈骗犯罪》 泡泡网：《银行网银遭山寨 5万用户遭遇网银骗局》 新华网：《"网银升级"诈骗高发 专家称正确辨识使用才是关键》 新快网：《升级网银百万元被转账 八招应对网银诈骗》

手机支付未来有巨大的发展机会，这点大家没有意见。手机支付运营商会在其中扮演重要角色，这可能也是大家都没有意见的说法。但是，我相信，这个说法可能会越来越有问题。有一天手机支付，电信运营商被边缘化也不是没有可能。 手机支付分为两种情况，一是近场支付，二是远程支付。近场支付说白了，就是钱存在卡里，用刷卡的方式坐车、买东西。远程支付，用过网争和支付宝的人都知道，自己可以通过帐户进行付款。 这些支付手段现在都有，比如学校里的一卡通，还有已经存在的支付宝。但是为什么支付会成为手机支付呢，因为今天手机已经成为我们一个器官，成为我身体的一个组成部分，任何时候我们都是随时携带着这个手机，用它来支付非常方便。因为是用手机支付，所以运营商会在其中扮演重要角色，运营商要做支付，差不多成为很当然的事，可能很少有人会想，这个领域其实没有电信运营商什么机会，电信运营商会被边缘化。 然而，最近飞象网上的一条新闻引起我的触动，银联已经推出“贴膜”业务，把一个小小芯片，贴在手机的sim卡上，装回手机，这个手机就可以进行刷卡支付了。这也让联想起更多的能够支撑近场支付的手段，以后这个支付卡不但是可以和sim卡做在一起，而且它还可以做到SD卡，甚至TFT卡中，这些卡可以很方便地装进手机，用过智能手机的朋友都知道TFT卡正在成为手机的标准配置，是手机存储的基本工具。那么这些装在TFT卡和贴膜的支付卡，需要和电信运营商有什么关系吗？这些和电信运营商其实是没有什么关系的。银联系统完全可以建立起一套近场的支付系统，虽然用户是拿着手机，也是携带很方便，但是，只要银联自己做行了，并不需要通过运营商去发卡，也不需要运营商去管理，这种情况下，运营商其实什么事也没有，这怎么不是边缘化呢？ 手机支付中，运营商被边缘化的可能性是存在的，而且我想银联一定希望实现这个目标。 当然电信运营商肯定不希望这种情况出现，不希望在这个过程中被排除在外，失去重要的市场，也失去一次非常大的发展机会。那么对于运营商而言，怎么才能不被排除在外呢？

作者：In-Stat中国移动互联网研究经理 管黛 就在中国移动入股浦发银行、为手机支付铺路后不久，银联高调宣传要大力开展手机支付，看来手机支付跑马圈地的大战正式开始了。 笔者一直认同运营商的营销能力，认为运营商来做手机支付这事还是有优势的，比如支付便捷性、用户规模基础、捆绑营销手段等。前两天看到家边超市中，居然已经布有中国移动的POS机，POS机旁边还提供手机支付说明手册，供消费者自取参考，不由得感叹中国移动推动手机支付的决心和力度。 但是，在看到这些POS机时，作为一名普通的消费者，对于是否会使用运营商账户的手机支付，也不禁犹豫起来。 运营商手机支付的目标用户有两大类，一类是现有银行卡用户，这些用户有电子支付的使用习惯，可能更容易接受手机支付；另一类是没有银行卡或电子支付经历的用户，如4、5级以下城市和农村地区，这些用户不太容易接受电子支付，不过由于在电子支付方面还是空白，如果运营商能先入为主，还是有机会。 笔者是一名银行电子支付重度用户，在看到运营商电子支付这个新方式时，不免有几个顾虑： 1、虽然不需要换手机，但换个SIM卡，目前还是要150块大洋。 2、银行信用卡可以积分，且目前账户中已有不少积分，即时运营商手机支付也有积分奖励，至少也要等到银行卡积分到期兑换后才会考虑换成运营商的手机支付。 3、最重要的，信用卡可以透支，至少50天的免息期，而这是运营商做不到的。 所以运营商的手机支付能不能做起来，还要在营销手段上做做文章，比如和语音服务的资费套餐捆绑等等，否则从银行手中争夺支付用户，也不是那么容易。 点击浏览更多 管黛博客文章