电子商务技术已经在我国得到广泛应用，人们在生活和工作中，已经逐渐改变了现金支付的交易方式，并将银行卡、网上银行和电话银行等支付方式引入到日常生活中。而智能手机在我国的普及应用，为移动支付提供了广泛的群众基础。手机用户只需用手机登录互联网，马上可以开始远程的商品购买以及各类消费。
用户也可通过带安全芯片卡的手机在商场和公交等地实现刷手机消费。相比传统支付方式，移动支付具有灵活、便利、交易时间短等特点，但是在支付中出现的安全问题也逐渐得到更多人的关注。移动支付把终端设备、互联网和应用提供商及金融机构联合，从而达到货币最终支付及资金自动转移的目的。由于移动互联网的开放性，在移动支付的过程中，用户进行资金支付或转移时，会存在信息泄漏的危险，进而造成经济损失，严重的还会导致用户的私密信息被窃取，给其造成更大的损失。只有对移动支付中的不安全和不稳定因素进行分析和解决，才能实现移动支付环境的安全性。
1、移动支付概述。
1.1 移动支付概念及分类。
移动支付就是交易双方使用移动设备转移货币价值以清偿获得商品和服务的债务。这是一种依靠短信、HTTP、WAP 或 NFC（近场通信技术）等无线方式完成支付行为的新型支付方式。移动支付所使用的移动终端可以是手机、PDA、移动 PC 等。目前手机是主要的移动支付终端，因此，也有人把移动支付称为手机支付.
按照支付的交互流程，移动支付可以分成近场支付和远程支付。近场支付是指移动终端通过非接触式受理终端在本地或接入收单网络完成支付过程的支付方式。按技术实现手段，近场支付技术方案主要包括基于 13.56 MHz 频段和基于 2.45 GHz 频段的技术方案，例如现在国内推出的手机公交一卡通等就属于近场支付。远程支付指用户与商家非面对面接触，用户使用移动终端在支付应用平台选购商品或服务，确认付款时，通过无线通信网络，与后台服务器之间进行交互，由服务器完成交易处理的支付方式，例如短信支付、谷歌推出的手机智能钱包就属于远程支付。近场支付中利用近距离无线通信技术实现的支付是目前移动支付应用热点。近距离无线通信技术包括射频识别（Radio Frequency Identification,RFID）、蓝牙、红外或非接触智能卡（如 SIMpass）等。
1.2 中国移动支付的发展。
中国移动支付产业自 2002 年起发展至今，产业的成熟期在 2009 年以后，运营商 3G 网络覆盖区域逐步扩大，而且网络持续优化，为更复杂的移动支付应用提供了相应的带宽支持，可以保障用户进行更快捷、更方便的实时在线处理。2013 年移动支付应用数量迅速增长，应用场景不断丰富。快捷支付的推广使支付更加便捷；打车软件在移动支付的助推下迅速推广，方便用户即时叫车、预约叫车；移动理财、移动财富等管理业务的兴起也得益于移动支付技术.
据中国互联网络信息中心（CNNIC）发布的《第 33 次中国互联网络发展状况统计报告》显示，截至 2013年 12 月，中国网民规模达 6.18 亿，其中，手机网民规模达 5 亿，继续保持稳定增长。据 Enfodesk 易观智库《2013 年中国第三方支付市场季度监测》 数据显示，2013 年中国移动支付总体交易规模突破 13 010 亿元，同比增长率高达 800.3%.《2014 中国移动互联网用户行为洞察报告》指出，超过九成移动互联网用户表达了会进行移动端支付的意愿，今年移动支付必将迎来井喷.
2、移动支付的安全性分析。
与所有的支付业务相同，安全问题是影响移动支付业务成功开展的关键因素之一。用户在考虑是否采用移动支付业务时，考虑的首要问题是交易的安全性。实际上，在开放的移动通信网络上传输这些涉及用户支付信息的敏感数据，不可能保证完全的交易安全性。由于存在信息被窃取的威胁，对交易的安全认证和数据传输的机密性要求必不可少.
2.1 移动支付中现存的安全问题。
目前在移动支付领域中出现的安全问题具体包括：（1）中间人攻击，通过拦截网络通信数据，进行用户帐户、密码信息的窃取和篡改；（2）拒绝服务攻击，通过扫描服务器获取网络防护的漏洞，以阻塞网络通道等方式对目标服务器发动攻击，使网络服务中止，造成业务无法使用；（3）网络钓鱼，攻击者将自己伪装成银行或其他知名机构，利用欺骗性的电子邮件等方式诱导收信人提供敏感信息，如信用卡号、账户和密码等；（4）恶意软件攻击，在用户不知情的情况下，下载了带有木马病毒的应用程序，安装到用户端后，遭受恶意扣费、隐私窃取等恶意行为;（5）用户的信用体系建设及完善不到位，一般小额支付的业务能经扣除手机的话费达成付费交易，但是会造成用户的手机话费透支、拖欠的现象，影响用户的信用度；（6）无法达到识别支付者的真实身份，故用户手机丢失以后，他人冒用移动支付，会造成用户经济损失，因此，对交易双方的合法身份认证能增强移动支付的安全性。
2.2 移动支付的安全特性。
移动支付作为一种电子商务模式，从交易过程安全的角度考虑，基本安全特性包括 4 个方面。
（1）认证支付者和被支付者的身份：移动支付具有认证支付者和被支付者的身份的能力；（2）用户资料需完整并保持一致：移动支付的过程中，用户资料需完整并保持一致，那么就能确保交易不会受到不良影响，电子支付交易的内容也可确认在用户端与服务器之间进行传递时并未发生改变，即确保信息交易时不会被任意地加入、修改或者删除；（3）资料信息具有保密性：通过网络送出或接受的数据信息，是不能被闯入者所读取和修改；（4）无法否认交易：移动支付具备防止出现交易的发送方或接收方不承认传输消息的行为.
3、移动支付安全的解决措施。
3.1 基于硬件安全模块 SE 的保护。
安全模块（Secure Element ,SE）主要功能是实现应用和数据的安全存储，对外提供安全运算服务。
传统互联网领域的网络银行应用，普遍采用硬件安全产品保护用户帐户及交易数据，其中使用最广泛的是 Usbkey 产品。因为木马病毒只能盗用放在计算机浏览器中的数字证书，对于存放在硬件介质 Usbkey 里的数字证书， 由于证书的私钥被牢牢封装在Usbkey 内，木马病毒无法盗取，因此“Usbkey+数字证书”是目前使用网银最安全的保障手段。 在手机支付中可以采用 SIM/USIM 卡作为安全模块存放用户的私钥和数字证书，能做到密钥永不出卡，加解密在卡中完成，这样敏感数据就非常难以被他人通过特殊手段获取或暴力破解。目前，中国移动在手机支付中主推的机卡协作 SWP 方案见图 1,就是基于这种方式。与 Usbkey 一样，它采用安全芯片作为主控制芯片，具有防篡改、防复制和抗各种攻击的能力，对比 HCE 支付等基于软件模拟 SE 的方案，安全性更高。
3.2 客户端与服务器间加密认证。
首先，我们打通手机客户端软件与 USIM 卡通信通道，并根据 ISO 7816-4标准实现两者之间的 APDU 指令交互。
之后，手机客户端软件发送 APDU 指令在USIM 卡上生成密钥对 ,将其中公钥导出发送至服务端制作客户证书，手机客户端也需要向 USIM 中写入服务端证书（服务器公钥）。
在进行网络电子交易时，手机客户端将交易数据以 APDU 命令的形式发送至USIM 卡， 卡端应用使用服务器公钥完成对交易数据的加密，使用用户私钥对其进行签名后，向手机客户端应答密文和签名数据；手机客户端得到该数据后，将其发送至服务器进行解密和认证。安全方案示意见图 2,网络中除了传输加密后的密文数据，还需传输以用户的私钥所做的签名数据。这样，在服务端既能验证了用户的身份，又保证了通信的数据的安全和完整.另外，最为关键的是：用户端所使用的加解密和签名密钥都存储在 USIM 卡中，加解密运算及签名运算均在卡内完成，这些都为系统提供理论上的高等级的安全保障。
3.3 客户端与 SE 交互安全性。
通过设定访问控制机制，手机操作系统可对访问安全模块 SE 的客户端进行合法性认证。 访问控制机制由手机侧 Access Control En-forcer 与 SIM 卡中的 AC 规则文件构成，目的是实现对客户端应用访问 SIM 卡的权限进行控制和管理， 以防止恶意程序非法访问 SE,给SIM 卡带来危害.国际组织 Global Platform 也在积极制定相关标准，实现对安全模块 SE 的存取访问控制，安全模块 SE 访问控制示例见图 3.
3.4 采取合理的监管措施。
移动支付的安全问题涉及方方面面，除了上述技术方法以外，还需要配套采取合理的监管措施来共同解决安全问题，可采取以下策略：
（1）加强移动应用发行商和移动支付服务商的安全测试和监管，防止恶意应用流入市场，并对应用软件的发布渠道进行监管，防止用户下载到恶意程序，逐步建立安全、可信服务环境。
（2）提高智能终端、操作系统和预置应用软件的安全防护能力。
（3）各机构紧密配合，逐步建立健全移动支付标准体系，研究制定保障移动支付安全的法规政策，促进移动支付健康发展.
4、结语。
移动支付这种新型的电子支付方式是未来的发展趋势，它给人们的生活带来极大的便利，但是随之而产生的移动支付安全性问题也日益突出。本文对移动支付安全性问题进行分析，并提出了有效的解决措施，相信随着移动支付应用环境的改善、用户消费习惯的转变，移动支付标准和法规的健全，中国移动支付市场的发展前景会更加美好。
