中國支付網(wǎng)特約作者 徐業(yè)軍（原廣州羊城通有限公司總經(jīng)理/廣東嶺南通股份有限公司董事長，現(xiàn)為獨(dú)立咨詢顧問）

　　一,、NFC支付應(yīng)用相關(guān)背景

　　一直以來,，傳統(tǒng)非接觸式IC卡定位于快速支付應(yīng)用，主要基于13.56MHz射頻技術(shù)實(shí)現(xiàn)短距離非接觸式讀寫操作,，以及采用基于卡內(nèi)錢包的脫機(jī)交易形式,，因而得以實(shí)現(xiàn)安全、快速的交易應(yīng)用,，典型交易時(shí)間約250ms-300ms,，能夠滿足公共交通特別是軌道交通的大容量客流快速通過場景的應(yīng)用需求，因此在公共交通行業(yè)得到了普遍,、成熟的應(yīng)用,，其中尤其以中國為典型應(yīng)用代表。

　　國內(nèi)城市規(guī)模龐大,，人口流動(dòng)頻繁,，超千萬人口城市比比皆是，由于生活及工作區(qū)域相對(duì)分散,，城市居民對(duì)公交通勤具有巨大的需求,。以北上廣及香港為例，每日地鐵客流量均已逼近或超過1000萬人次,，對(duì)應(yīng)公交通勤卡發(fā)卡量均超過4000萬張,，日交易量均超過1000萬筆;國內(nèi)行業(yè)總發(fā)卡量超過4億張，總體應(yīng)用規(guī)模居全球之首,。由于公交通勤卡應(yīng)用具有額度小,、頻率高、使用廣等特點(diǎn),，因此得以成為應(yīng)用規(guī)模最大,、應(yīng)用模式最成熟的快速支付應(yīng)用。

　　金融行業(yè)同時(shí)也在大力推廣非接觸式支付應(yīng)用,。中國銀聯(lián)主推的閃付(QuickPass),、VISA主推的payWave、MasterCard主推的PayPass,，都采用了同樣的射頻技術(shù)和類似的技術(shù)標(biāo)準(zhǔn),。以中國銀聯(lián)為例，在國內(nèi)已部署受理閃付終端超過400萬臺(tái),，組織各成員銀行發(fā)行金融IC卡超過10億張,。

　　隨著移動(dòng)通訊技術(shù)的發(fā)展，通過將非接觸式IC卡技術(shù)與移動(dòng)通訊技術(shù)融合的NFC手機(jī)支付技術(shù)成為市場的熱點(diǎn)。其實(shí)NFC技術(shù)最早自2005年即開始發(fā)展,，諾基亞,、三星就是首批推出NFC手機(jī)的廠商。由于NFC手機(jī)支付應(yīng)用產(chǎn)業(yè)鏈條比較長,，包括NFC芯片廠商,、手機(jī)廠商、移動(dòng)運(yùn)營商,、支付機(jī)構(gòu)等,，涉及各方利益較為復(fù)雜，技術(shù)標(biāo)準(zhǔn)及應(yīng)用模式各有分歧,，導(dǎo)致實(shí)際應(yīng)用情況尚不理想,，比如時(shí)下的NFC全終端、NFC-SIM兩種主要模式,，分別對(duì)應(yīng)由支付機(jī)構(gòu)和移動(dòng)運(yùn)營商主導(dǎo)和推動(dòng),，最終結(jié)果就是典型的“理想很豐滿，現(xiàn)實(shí)很骨感”,，支持NFC技術(shù)手機(jī)比例不足10%,，應(yīng)用規(guī)模則更小。日前Apple強(qiáng)勢推出Apple Pay,，以獨(dú)特的安全和體驗(yàn)優(yōu)勢,，開啟了NFC支付應(yīng)用的新局面。

　　隨著移動(dòng)互聯(lián)網(wǎng)的普及,，以及可穿戴產(chǎn)品的興起,，通過非接觸式IC卡技術(shù)與藍(lán)牙4.0(BLE)低功耗通訊技術(shù)融合的外置式NFC支付產(chǎn)品也逐漸成為市場熱點(diǎn)。由于藍(lán)牙BLE技術(shù)已經(jīng)基本普及和成熟,，不會(huì)受到手機(jī)終端的制約,，而且外置式NFC支付產(chǎn)品產(chǎn)業(yè)鏈條短、應(yīng)用模式靈活,，并且成本低廉,，可以直接成為現(xiàn)有非接觸式IC卡的升級(jí)和替代，具有大規(guī)模應(yīng)用的爆發(fā)條件,。

　　二,、外置式NFC支付產(chǎn)品安全分析

　　NFC支付應(yīng)用與現(xiàn)有非接觸式IC卡支付應(yīng)用之間，有一點(diǎn)最大的差異,，就是封閉和開放的區(qū)別?，F(xiàn)有傳統(tǒng)IC卡支付應(yīng)用近乎處于一個(gè)封閉的應(yīng)用環(huán)境，消費(fèi)在專用的金融POS或公交收費(fèi)終端上完成,，圈存在專用的ATM,、自助終端或人工網(wǎng)點(diǎn)完成,，所有設(shè)備處于封閉的專線內(nèi)網(wǎng)或者VPN網(wǎng)絡(luò)內(nèi)部，可以確保環(huán)境,、設(shè)備及操作安全;即便可以通過互聯(lián)網(wǎng)操作,，也采用專門定制的設(shè)備和專用的協(xié)議，具有類似的封閉效果,。NFC支付應(yīng)用部署在用戶的手機(jī)終端和外設(shè)產(chǎn)品上,，設(shè)備、環(huán)境,、用戶均不受制約，安全性受到較大的制約和挑戰(zhàn),。

　　外置式NFC支付產(chǎn)品作為與NFC手機(jī)的互補(bǔ)性產(chǎn)品,，兩者同樣定位于實(shí)現(xiàn)NFC移動(dòng)支付應(yīng)用，有必要做一個(gè)比較簡單的對(duì)比分析,。

　　外置式NFC支付產(chǎn)品結(jié)構(gòu)比較簡單,，與NFC手機(jī)具有較大差別，如下圖,。

　　NFC手機(jī)通過基帶控制器分別連接SE和NFC控制器,，NFC控制器再與非接觸式射頻天線(含主動(dòng)或被動(dòng)射頻天線組件)連接;NFC手機(jī)處理器具有相當(dāng)于PC處理器的處理能力，能夠勝任各種復(fù)雜的業(yè)務(wù)邏輯和安全計(jì)算任務(wù);NFC手機(jī)具有成熟的,、工業(yè)級(jí)的操作系統(tǒng),，具有非常完善的權(quán)限控制和訪問規(guī)則，可以從OS層,、應(yīng)用層等多個(gè)層級(jí)進(jìn)行防范,，保證整體安全性。

　　外置式NFC支付產(chǎn)品通過藍(lán)牙BLE芯片或附加MCU直接連接IC卡芯片的7816接口,，IC卡芯片再與非接觸式射頻天線(含主動(dòng)或被動(dòng)射頻天線組件)連接;由于產(chǎn)品形態(tài)以手環(huán),、手表等形式為主，依賴電池供電,，對(duì)產(chǎn)品的功耗,、體積具有比較嚴(yán)格的限制，MCU處理能力有限,，因此難以實(shí)現(xiàn)比較復(fù)雜的業(yè)務(wù)邏輯和安全計(jì)算任務(wù),，只能采用啞終端的思路，即產(chǎn)品固件不包括業(yè)務(wù)邏輯,，通過將IC卡指令和數(shù)據(jù)在遠(yuǎn)程系統(tǒng)與IC卡芯片之間互相傳送,，實(shí)現(xiàn)指令的遠(yuǎn)程控制和本地執(zhí)行。遺憾的是,，如果對(duì)通過藍(lán)牙透傳IC卡操作指令和數(shù)據(jù)不采取安全防護(hù)處理,，產(chǎn)品固件只是簡單控制組件的訪問,，將為產(chǎn)品和系統(tǒng)帶來較大的安全隱患。

　　可能有人要說了,，IC卡芯片內(nèi)部本身包括安全芯片及COS,，具有非常高的安全性，具有EAL5+等安全認(rèn)證證書,，怎么不安全了?其實(shí)問題出在操作訪問距離上,。非接觸式支付(近場支付)技術(shù)的刷卡操作距離不超過10cm，并非受到射頻技術(shù)的能力限制,，而是出于交易安全的考慮,。深圳等地采用的基于基于2.4G的RCC(限域通信)非接觸式支付技術(shù)，為了防止空中非法操縱和竊取交易指令和數(shù)據(jù),，更是采取技術(shù)手段主動(dòng)將操作距離降至10cm以內(nèi),。在這種近距離下，用戶必須直接參與交易行為并視為對(duì)交易授權(quán),，這也是近場支付的由來,。

　　外置式NFC支付產(chǎn)品基于藍(lán)牙BLE(低功耗)技術(shù)實(shí)現(xiàn)無線連接及操作指令傳送，最遠(yuǎn)可達(dá)100米,，相當(dāng)于將近場支付的操作距離擴(kuò)大了1000倍,，其實(shí)已經(jīng)相當(dāng)于遠(yuǎn)程支付了。眾所周知,，IC卡支付應(yīng)用普遍采用“嚴(yán)進(jìn)寬出”模式(原因你懂的),，就是對(duì)錢包充值的操作控制相對(duì)比較嚴(yán)格，采用聯(lián)機(jī)交易方式;而對(duì)錢包消費(fèi)的操作控制相對(duì)比較寬松,，采用脫機(jī)交易方式,。這意味著稍有技術(shù)背景的攻擊者在獲得訪問權(quán)限后，可隨意扣除用戶卡的錢包余額,，以及讀取卡內(nèi)數(shù)據(jù),，包括PAN號(hào)等敏感數(shù)據(jù)。

　　三,、外置式NFC支付產(chǎn)品安全對(duì)策建議

　　筆者認(rèn)為,，由于外置式NFC支付產(chǎn)品本身的計(jì)算和處理能力有限，僅靠產(chǎn)品本身難以維護(hù)支付安全性,，應(yīng)該從整體的系統(tǒng)化思路進(jìn)行考慮,，由遠(yuǎn)程系統(tǒng)和外置式NFC支付產(chǎn)品之間相互配合，采取在兩者之間建立安全通道的方式,，保障IC卡指令和數(shù)據(jù)的安全傳輸,，防止空中截獲及篡改指令和數(shù)據(jù)或者發(fā)起非授權(quán)交易。

　　安全通道技術(shù)主要包括兩種：

　　1. COS安全通道

　　通過改造IC卡內(nèi)部的COS軟件,，增加特殊定制指令,，通過定制指令建立遠(yuǎn)程系統(tǒng)和IC卡芯片之間的安全通道,，與交易相關(guān)的APDU指令和數(shù)據(jù)全部通過定制指令以密文方式在遠(yuǎn)程系統(tǒng)和IC卡芯片之間傳輸，中途即使截獲數(shù)據(jù)也無法解碼或篡改,，從而保障空中交易的安全性,。

　　COS安全通道方式與GP采用安全通道實(shí)現(xiàn)空中發(fā)卡的原理類似，需要卡片支持JAVA,，對(duì)COS應(yīng)用進(jìn)行開發(fā)和測試,，以及對(duì)密鑰系統(tǒng)、發(fā)卡系統(tǒng),、充值系統(tǒng)進(jìn)行開發(fā)調(diào)整,。據(jù)筆者了解，中國銀聯(lián)藍(lán)牙卡暨可穿戴產(chǎn)品移動(dòng)支付方案采用COS安全通道方式,。

　　2. 終端安全通道

　　通過改變產(chǎn)品設(shè)計(jì),，在產(chǎn)品硬件設(shè)計(jì)中額外增加具有PKI或?qū)ΨQ加解密算法的安全芯片，通過額外安全芯片建立遠(yuǎn)程系統(tǒng)和產(chǎn)品固件之間的安全通道,，所有IC卡的APDU指令和數(shù)據(jù)全部通過安全通道以密文方式在遠(yuǎn)程系統(tǒng)和產(chǎn)品固件之間傳輸，中途即使截獲數(shù)據(jù)也無法解碼或篡改,，從而保障空中交易的安全性,。

　　終端安全通道方式與目前網(wǎng)銀采用安全通道實(shí)現(xiàn)銀行卡網(wǎng)上支付的原理類似，需要對(duì)安全芯片進(jìn)行管理和發(fā)行,，以及對(duì)充值系統(tǒng)進(jìn)行開發(fā)調(diào)整,。

　　兩種安全通道方式對(duì)比，COS安全通道建立方式層級(jí)更低,，通道位于IC卡COS層面,，會(huì)話密鑰位于IC卡芯片內(nèi)部不可導(dǎo)出，安全性非常高,，但對(duì)系統(tǒng)影響較大,，牽涉多個(gè)基礎(chǔ)系統(tǒng)的修改和調(diào)整，工作量較大,，而且原則上要求卡片采用JAVA卡;終端安全通道建立方式層級(jí)較高,，通道位于產(chǎn)品固件層面，會(huì)話密鑰位于安全芯片內(nèi)部不可導(dǎo)出,，安全性較高,，但對(duì)系統(tǒng)影響較小，支持Native卡,，無需對(duì)卡片及COS進(jìn)行調(diào)整,，需要建立額外建立安全芯片的管理體系，及對(duì)充值系統(tǒng)進(jìn)行修改和調(diào)整,，工作量較小,。兩種安全通道技術(shù)同樣來源于金融支付領(lǐng)域的成熟應(yīng)用技術(shù),，都能夠滿足建立安全通道、保障空中傳輸數(shù)據(jù)安全的要求,，可根據(jù)實(shí)際系統(tǒng)應(yīng)用情況進(jìn)行選擇,。

　　隨著近期互聯(lián)網(wǎng)+概念的提出，外置式NFC支付產(chǎn)品作為互聯(lián)網(wǎng)與IC卡行業(yè)結(jié)合的IC卡+產(chǎn)品,，通過為IC卡添加移動(dòng)連接能力,，使IC卡不再需要通過終端即可與系統(tǒng)直接連接，消除中間環(huán)節(jié),，提供更有效率的訪問方式,，將為金融和交通行業(yè)支付帶來各種創(chuàng)新應(yīng)用。筆者相信,，IC卡+有機(jī)會(huì)成為現(xiàn)有傳統(tǒng)IC卡的顛覆性替代和升級(jí)產(chǎn)品,，以各種可穿戴產(chǎn)品形態(tài)，與手機(jī)NFC支付應(yīng)用一起成為移動(dòng)近場支付的主要版圖,。

　　如果進(jìn)一步,，建立基于IC+的云服務(wù)，直接連接所有IC卡+,，結(jié)合空中開卡和空中充值,、空中消費(fèi)服務(wù)，將實(shí)現(xiàn)互聯(lián)網(wǎng)+時(shí)代的全國交通卡移動(dòng)互聯(lián)互通,。