14、店内移动支付安全问题解析

店内移动支付安全问题解析

1. EMV卡交易授权流程

EMV卡交易授权流程的逻辑与磁条卡交易没有根本性的不同，都包含卡认证和持卡人认证等多个步骤。不过，与磁条卡相比，EMV芯片卡具有处理能力，能够动态管理风险并进行加密计算。在EMV交易授权过程中，使用动态数据（如数字签名）来认证卡片，而非磁条卡交易中使用的静态数据。

在EMV卡交易中，嵌入在卡中的芯片会对卡和POS终端提供的数据（如购买金额、交易时间和终端生成的不可预测数字）进行加密。加密使用安全存储在卡上的对称密钥，以生成唯一的授权请求密码（AQRC）。这个密码最终会作为授权请求的一部分，与静态卡数据（如PAN）一起发送给发卡行进行认证。使用动态密码可以降低磁条卡交易中常见的伪造欺诈和盗刷风险。

2. 店内移动支付服务概述

大多数移动支付服务采用令牌化技术，该技术用非敏感令牌替换敏感凭证，以防止用户凭证的泄露和伪造。根据移动设备发送的令牌类型，移动支付服务可分为两类：基于支付令牌（PTB）和基于服务令牌（STB）。

2.1 基于支付令牌（PTB）和基于服务令牌（STB）的移动支付服务对比

支付类型	支付服务	移动设备兼容性
基于支付令牌（PTB）	Apple Pay	iPhone 6/6+/6s/6s+/Apple Watch
基于支付令牌（P