安全支付

电子商务通过第三方支付的安全研究论文

内容摘要:电子数据的安全以及企业间数据交换的法律确认问题是电

子商务发展的主要障碍。本文从电子交易技术基础和电子数据的基本

特征角度,对电子商务网上支付的安全及法律问题进行分析,旨在推

动我国电子商务的发展。

关键词:电子商务;网上支付;技术基础;电子数据

目前,我国电子商务的B2C、B2B以及C2C模式都可以实现在线支付,

突破了电子商务资金流的瓶颈。然而,在线支付同时也引发了支付安

全问题,“身份”认证、电子文件认证和网络银行在线支付的法律问

题以及税收、货币、金融监管等一系列问题。

电子商务网上支付的技术基础

电子数据交换是将商业事务处理数据按照一个公认的标准,形成结构

化的事务处理报文数据格式,通过电子方式在计算机系统之间进行传

输。因此,企业间开展电子数据交换除了自身必须应用计算机系统外,

还必须同时具备两个条件:通信网络和数据标准。

(一)电子数据交换的环境

通信网络是实施电子数据交换不可缺少的工具。在互联网出现之前,

企业内的数据交换主要在商用增值网上进行。增值网供应商提供的主

要业务有:私人业务、综合业务、不拒绝业务和验证业务。私人业务

是指增值网保证信息只能由指定的接收者阅读,他人无法看到;综合

业务是指如果没有人看信息,则信息从发送端到接收端的过程中不发

生变化;不拒绝业务是指发送端不能拒发,接收端不能拒收,并通过旁

听跟踪来实现;验证业务则保证信息从指定的发送端发送。通过增值

网实施数据传输,安全可靠,传输效率高。企业间业务往来中的格式化

数据都可通过增值网传输,包括采购进货单、退货单、发货单、报价

单、托运单、对账单、单价单、缺货通知单、付款明细表等。另外,

还可在海关申报、电子对账、电子转账、保险等事务处理中传输格式

化单据。

开展电子数据交换的关键是标准化问题,包括数据格式标准化和报文

标准。由于不同行业、不同企业都是根据自己的业务特点设计数据库

结构,当需要发送电子数据交换文件时,需要通过软件提取数据库中

的数据,并自动将其翻译成统一的标准格式才能传输和被对方接收。

电子数据交换标准主要有以下四项:网络通信标准、处理标准、联系

标准、报文标准。综观电子数据交换标准的发展过程,大致经历了三

个发展阶段:行业标准阶段、国家标准阶段、国际标准阶段。

(二)SSL安全协议

安全套接层协议(SecureSocketLayer,简称SSL)是由网景(Netscape)

公司推出的一种安全通信协议,它能够对信用卡和个人信息提供较强

的保护,是对计算机之间整个会话进行加密的协议。在SSL协议中,

采用了公开密钥和私有密钥两种加密方法,主要用于提高应用程序之

间数据的安全系数。协议的整个要领可以被总结为:一个为安装了安

全套接层的客户和服务器提供事务安全保证的协议,它涉及所有

TCP/IP应用程序。

(三)SET安全协议

安全电子交易协议(SecureElectronictransaction,简称SET)是由

Visa和MasterCard两大信用卡公司联合推出的规范。SET主要是为

了解决用户、商家和银行之间通过信用卡支付的交易而设计的,以保

证支付信息的机密、支付过程的完整、商户及持卡人的合法身份,以

及可操作性。SET的核心技术主要有公开密匙加密、电子数字签名、

电子信封、电子安全证书等。SET协议比SSL协议复杂,因为前者不

仅可以加密两个端点间的单个会话,它还可以加密和认定三方间的多

个信息。

电子商务网上支付的风险

电子商务网上支付风险从整体上可分为两大部分:计算机网络风险和

商务交易风险。

(一)计算机网络风险

计算机网络风险包括:计算机网络设备风险、计算机网络系统风险、

数据库风险等。其特征是针对计算机网络本身可能存在的安全问题,

实施网络安全增强方案,以保证计算机网络自身的安全性为目标。

另外,不论采用什么操作系统,在缺省安装的条件下都会存在一些安

全问题,只有专门针对操作系统安全性进行相关的和严格的安全配置,

才能达到一定的安全程度。网络软件的漏洞是进行网络攻击的首选目

标。此时计算机网络风险主要有:未进行CGI程序代码审计、拒绝服

务攻击、安全产品使用不当、缺少严格的网络安全管理制度。

(二)商务交易风险

商务交易风险是传统商务在互联网络上应用时产生的各种安全问题,

在计算机网络安全的基础上保障电子商务过程的顺利进行,即实现电

子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。电

子商务的形式多样,涉及的安全问题各不相同,但其中最核心和最关

键的问题就是交易的安全性。一般来说商务安全中普遍存在着以下几

种安全隐患:窃取信息、篡改信息、假冒、恶意破坏。

电子商务网上支付安全的强化策略

在传统支付系统中,伪造现金、伪造签名、拒付支票等是商品交易中

的风险。在电子支付系统中,由于知道私钥的任何人都能以买方的身

份产生数字签名,连续购买行为之间的关系可以被跟踪出来,电子数

字文档复制不影响原文档,所以,电子支付系统存在着与传统支付系

统类似的风险,而且风险可能更大。

电子支付系统的基本安全需求可以总结为:买方与卖方都必须证明自

己的支付身份;要求支付交易数据不可受到非授权的参与方的更改;

确保在未经用户明确授权之前不能从该用户的账户或智能卡中提取

任何现金;一项或多项支付交易数据的机密性。强化安全管理需要从

以下两个方面着眼:

(一)强化安全支付服务

首先,支付交易安全服务。支付交易安全服务涉及所有的电子支付系

统和所有的支付手段,具体包括以下内容:用户匿名性、地址不可跟踪

性、买方匿名性、支付交易不可跟踪性、支付交易数据的机密性、支

付交易消息的不可否认性、支付交易消息的新鲜性。其次,数字货币

安全。数字货币安全服务主要与数字货币相关,具体包括以下内容:

防止再度花费、防止数字货币伪造、防止货币被盗。再次,电子支票

附加服务。电子支票附加服务基于以电子支票作为支付手段的支付系

统的特定技术,其主要内容是支付授权转账(代理),即使某一授权的

参与方可以将支付授权转移给他所选定的另一参与方。

上述三种数字货币安全服务在一定程度上是相互冲突的,但在实施的

同时可以达到风险与保护的平衡。例如,可以将这三种服务设置成仅

当非法事件发生的时候才起作用(如有条件的匿名性)。

(二)强化企业内部的安全管理

首先,网络安全管理。网络安全管理主要包括以下内容:安全服务管

理、安全机制管理、安全审计管理、安全恢复管理等。其次,保密设

备与密钥的安全管理。保密设备的使用,应与网络中保护对象的密级

相一致。密码算法、密钥和保密协议是核心内容,同步技术和操作方

式的选择也相当重要。保密设备的管理主要包括保密性能指标的管理,

工作状态的管理,保密设备的类型、数量、分配和使用者的状况,以及

密钥的管理等。再次,安全行政管理。安全行政管理的重点是:安全组

织机构的设立、安全人事管理、安全的责任与监督等。

电子商务网上支付安全的相关法律问题

(一)电子数据的特征

电子商务不是以纸张作为记录的原始凭证,而是将数据记录在计算机

系统中的磁(光)性信息载体上。电子数据极大地改变了传统书面数据

的生成方式和存在方式,由于其不同于书面数据的特征,也改变了法

律对其证据效力的规定。电子数据具有以下特征:第一,无形性。电子

数据实质上是计算机存储介质中的一组电子信息,具有无形的特点。

第二,不稳定性。传统的书面数据一旦形成,其形态和内容不再发生变

化,除非遭受不可抗拒的灾害事故。第三,易改动性。传统书面数据一

旦生成,具有不可改动性。如有改动也容易留下修改痕迹。第四,技术

性。电子数据的生成、确认、传递、储存,以及为了保证它的可靠性、

安全性、完整性和可验证性等,都是建立在一系列的高技术之上的。

从某种意义上讲,上述问题的存在也阻碍了会计无纸化的发展。如果

电子数据的可靠性、机密性、完整性、可验证性得不到确定的保障,

那么开展电子商务进行无纸化交易是不可能的。即使采取了现代化的

网络通信手段,人们仍离不开纸质凭证。

(二)电子数据的数字签名技术

数字签名实际上是电子数据文件中一组用二进制数0、1表示的字符

串。它是通过加密技术,在发送方和接收方之间经过加密、解密转换

实现。基本原理是:报文发送方用散列算法从报文中生成一个固定长

度的报文摘要(散列值),然后用私有密钥对报文摘要进行加密形成发

送方数字签名并发送;接收方用同样的散列算法计算原报文的报文摘

要,再用公用密钥对附加的数字签名进行解密,如果两个报文摘要相

同,就确认该报文由数字签名方发送。

数字签名可以实现以下功能:一是接收方能够核实发送方对报文签名

的真实性;二是发送方事后无法抵赖对报文的签名;三是接收方无法

伪造对报文的签名。也只有同时具备以上三条,才能保证数字签名的

有效性、可靠性。

(三)电子数据的法律承认

完善的技术是电子数据普及使用的基础。但电子数据要得到社会的认

可,首先要取得法律上的承认,使其具有法律效力。由于电子商务没有

国界,有关电子商务的法律需要考虑全球普遍性,建立电子商务的法

律环境已受到各国的重视。联合国国际贸易法委员会在1996年通过

的《电子商务示范法》为各国电子商务立法提供了范本。我国于1999

年3月通过了新的《合同法》,也第一次承认了电子商务合同在我国

的法律地位。然而,完善法规应注意以下问题:

电子商务环境下的电子数据已不同于任何传统意义上的书面形式。是

取消书面形式的提法还是扩大书面形式的定义,是电子商务立法中面

临的问题。根据功能等同法原理,把符合书面形式功能的东西视同书

面形式,是目前普遍采用的做法。

在许多国家的法律中,涉及证据时都要求提供原件。原件具有独一无

二的特征,会计上的原始凭证一般都要求是原件。电子商务环境下的

电子数据是记录在计算机内的一串字符,传送给接收方的也是一串字

符,不可能具备独一无二的特征。从某种意义上讲,电子数据不存在

“原件”问题,因此,法律需要对此做出相应的规定。

电子数据(尤其是电子合同)的生效时间和地点在电子商务活动中具

有重要法律意义。在传统的商务环境中,不同国家的法律对此有不同

的规定。例如,英美法系国家采取“发出生效规则”,大陆法系国家则

采取“到达生效规则”。由于电子数据可在任何时间、任何地点发送,

具有较大的不确定性。因此,到达生效规则更适合于电子商务活动。

签名是交易合同和单据生效的必备条件。传统的书面签字是指某具体

人在交易合同和单据上亲笔写上自己的姓名或所代表的单位名以示

确认,并开始承担相应责任。然而传统的签字方法无法应用在电子数

据文件上。

参考文献:

1.段满珍,曹会云.制约我国电子商务发展的若干问题[J].河北理工

大学学报(社科版),2008(2)

2.王崇哲,王雁.实行付款凭单制有效控制购货款结算[J].商业研

究,2000(2)

3.王宁.基于电子商务的物资采购管理[J].化工管理,2008(2)

4.卓婷婷.电子商务网上支付风险问题探析[J].经济研究导

刊,2008(1)