17、移动支付与区块链安全技术解析

移动支付与区块链安全技术解析

移动支付安全要点

移动支付在当今社会愈发普及，其安全问题至关重要。在移动支付体系中，涉及多个参与方，包括令牌服务提供商（TSP）和交易请求方（TR）等，各方都需承担相应的安全责任。
- 支付令牌的发放与存储 ：TSP要通过身份验证与验证（ID&V）方法、令牌保证方案和域限制控制，为合法持卡人的合法TR发放支付令牌。同时，TSP需将支付令牌与主账号（PAN）的映射安全存储在令牌库中，防止数据泄露并确保数据即时可访问。
- TR的安全责任 ：作为TR的移动支付服务提供商，在向TSP注册时，应遵守TSP的专有注册要求，并如实提供足够信息，如令牌域限制控制。在令牌提供过程中，要积极与TSP合作，并将发放的支付令牌存储在安全位置。
- 不同支付类型的安全措施
- STB支付 ：移动支付服务提供商应确保服务令牌的安全生成、传输和验证。若未注册任何令牌服务，为防止敏感卡信息泄露，可在数据静止时或支付授权过程开始后，用非敏感令牌值替换敏感支付卡信息。
- PTB支付 ：PTB支付服务提供商需将支付令牌安全存储在云存储或用户移动设备上。

在设备端设计中，卡模拟是移动支付的基石。目前有两种主流的卡模拟技术：支持安全元件（SE）的卡模拟和基于主机的卡模拟（HCE）。这两种技术在安全性上各有特点，在实施卡模拟时，需同时考虑安全要求和硬件/软件成本。

用户在移动设备上的身份验证是防止移动支付服务非法访问的重要步骤。现有的非生物识别、