金雅拓:支付从黑盒到白盒的安全迁移

标签:安全移动支付银行SIM银行卡tsm

访客:24304  发表于:2015-12-18 20:32:59

【导读】随着微信和支付宝等企业大力推广O2O,以及金融机构不断拓展支付应用场景的过程中,信息安全以及支付安全是必须受到重视的事情。

金雅拓:支付从黑盒到白盒的安全迁移

百度手机卫士发布《2015年上半年中国互联网移动安全报告》显示,中国的手机网民总数为5.94 亿,使用手机支付的用户数已达2.76亿。其中,27%用户的支付环境存在风险。另外,《2014年中国移劢互联网用户移动支付行为调查-DCCI互联网数据中心》显示,65.2%的用户曾遭遇过移动支付安全问题。

全球数字安全领域领导者金雅拓传统上更关注个人信息安全,其SIM卡、MIM卡、银行卡、可信管理系统等产品都是围绕个人数字交互与通信。其在在支付方面主要发力在安全模块方面。

金雅拓大中华区和韩国区解决方案业务副总裁陈君岳表示,传统发的是信用卡或者SIM卡,现在也有很多把实体卡改成通过空中的方式,下载到不同的载体上,在手机里面用不同的形式,有SIM卡,还有TEE,还有软件上面的。而金雅拓做的是是传统做个人化信息的安全载体。如果发给运营商,就给运营商发SIM卡,如果发给手机厂商,就是嵌入式安全模块。

移动支付只是业务其中的一个领域,“做载体是我们的强项。不同的发卡组织在发卡时都要把资料安全地写进去,它是通过空中的方式加密,端到端解密,写到安全模块上。写卡有好几个方式,第一个是跟运营商,第二个是银行。银行要看客户把安全信息放在哪里,放在SIM卡,我们就跟SIM卡对接。如果放在手机里面,我们就在前中端里面去拿。”陈君岳说,“但现在,金雅拓看到的是安全技术从黑盒到白盒安全的迁移。”

对于支付、安全以及移动支付等发展,金雅拓大中华区和韩国区解决方案业务副总裁陈君岳想说的更多。

金雅拓:支付从黑盒到白盒的安全迁移

记者:你们跟银行合作的应用场景和内容是哪些?

陈君岳:银行分成两块,一个是发传统实体卡的业务,我们跟大行和小行都有合作。在移动支付部分,我们跟几个股份银行或者是商业银行也有合作,因为大行通常都是自己做。具体来说,第一个传统的业务就是发实体卡,银行下单给我们,我们出这样的卡片给它。

另外一种是手机里面的。手机的安全载体大概分成几种,一个是SIM卡,第二个是嵌入式的前中端,第三个是TEE,它是一个特殊的安全芯片,放在CPU里面,第四个是软件上的白盒加密,一共是这四种。我们的方法是:要把用户个人化的信息写到安全载体上来,你必须要有空中传输通道,跟后端数据做连接,下载到几个不同的载体上来,它才能够提供不同的服务。这四个不同的载体方面,我们跟不同的银行的合作、技术也不一样。比如在手机上有Samsung Pay、华为钱包,小米钱包等等,每个用户都有自己的选择。而从发卡行的角度,就要支持不同的终端,越多越好。

还有一种合作方式是我们刚刚聊到的Samsung Pay。我们目前为止在欧洲先开始合作,因为我们传统的市场在欧美做得比较多一点。很多不同的银行如果要跟Samsung Pay合作的话,必须每一家跟三星对接。所以三星想避免这样复杂的情况,就通过金雅拓,或者已经选好的平台方,让这些银行先接入到金雅拓平台,然后再让金雅拓单点接到三星,通过这样的模式能够减少复杂性。目前在欧洲刚开始,推广得还比较好。Samsung Pay有个特色,它用的不是NFC,它主要的立足点是,不限制于用芯片卡的终端,磁条的终端它也都能够接收。因为它通过磁条式芯片来感应信息,所以不用对终端做任何修改,对商家、银行和受理方也都是现成的,不用做任何的改动。Samsung Pay在韩国一个月就有一百多万的用户,你可以到韩国看,每个人都拿着三星的手机,因为受理环境已经具备了。在欧洲很多地方可能会推得比Apple Pay好,主要是因为它的受理环境比NFC环境好很多。

记者:在合作的过程中,随着技术的变化和市场的变化,客户对你们提出来的合作需求,您觉得有没有比较明显的阶段性的差异,比如硬件、软件的不同?

陈君岳:不同的客户有不同的想法。举个例子,传统的银行客户在意的是安全,所以所有东西放在硬件安全上面,你得需要经过很多不同的认证,比如EMV、银联、Visa 等特殊的安全认证,你必须认证过了之后安全没有问题我才用。现在更多的比如Android Pay是放在纯软件环境下,在手机APP里面放一个特殊的区块,把它给框起来,这里面是不允许普通的应用去碰的。这种就是通过HCE的方式。还比如工行、招行,他们也都有这方面的功能,嵌入到招行或者工行自己的手机银行APP里面的,都是不需要硬件安全的。

所以主要还是取决于SIM卡里面的个人资料到底要放在硬件里面还是软件里面。而放在软件里面很容易突破,黑客可以通过很多不同的方法拿到这个信息。但现在这个技术,我们看到是从黑盒到白盒安全的迁移。所谓黑盒就是智能卡里面的,在这个卡里面全部是安全的,现在慢慢到白盒安全,就是完全在软件里面做不同的加密,各家的技术都有不同。

记者:你们在这块有哪些特色的安全产品?比如在白盒安全上。

陈君岳:在白盒安全上,我们是把SIM卡下载到APP里面。这方面在欧洲美洲有好几个银行都有合作,在亚洲我们跟几个客户还在讨论阶段。从软件安全来看,最大的特点是你不需要换硬件,只需要软件直接下载,符合相关的规定就可以了。现在的方式,除了软件里面放一个白盒加密,把密钥放在上面,还可以在后端随时更新密钥,比如你刷了三次卡,它就要换密钥,通过空中下载的方式写到密钥里。这种方式能够减少一定的风险,因为这个东西是线上更新的,你最终只能刷三次,你还可以设置时间点,限制它在一天或者几个小时之内有效,用这样不同的方式实现软件上的安全。而这种软件上的安全,可以保证手机覆盖率,就不需要必须换有特殊安全性能的某款手机才能够使用。

记者:从业这么多年,您觉得除了技术发展,在受理环境上面,哪些因素是制约移动支付往前发展的因素?

陈君岳:从受理环境来看,需要看技术的覆盖率是什么样的。比如我们讲的NFC,你一定换成NFC的终端才能够受理。比如很多的商户,他自己本身除了NFC之外,也有二维码的微信支付,还有支付宝。我认为受理环境要看你从什么角度来看,如果从NFC角度来说,中国非接的受理环境已经比其它国家好很多了,用移动支付的接受度也比其它国家好很多。可是有另外一种是更方便,就是二维码还有线上支付,与传统讲的银行体系安全概念完全不同。传统的银行体系安全,它设计的理念是你一定要经过最安全的硬件,最安全的软件,经过所有的认证,然后在一个公开的环境下来做。但是微信支付和支付宝支付是完全通过云端的方式,所有的东西在空中传输,包括个人资料。所以它的控制方式是不一样的,它是从线上去控制你个人的风控。但是二维码和线上支付有一个好处,你只要有网络,你只要下载APP,只要把你的银行卡直接绑定在里面你就能够用。所以客户体验非常好,因为它很优惠又很方便,唯一的限制就是一定要在线,因为你的卡片资料都是在空中传输的。

记者:金雅拓今年在大中华区市场的主要业务侧重点是什么?

陈君岳:我们公司现在是比较平衡性的发展,在传统方面,有电信业务、银行卡业务、ID卡,还有物联网方面,我们都提供相应的解决方案。业务从认证芯片开始,在几个不同的部门里面一直并行发展。而在相对应的部分,我们也特别注重移动支付方面。

记者:这几年发展下来,公司在这几部分的侧重有没有明显的变化?

陈君岳:从移动支付的角度,我们目前看到的是能够支付的种类非常的多。跟之前比起来,不再只有NFC,不再跟SIM卡相关。举个例子,也是之前我们经常做的:我们先从运营商开始,把SIM卡放在NFC手机里面,写到应用里,然后写到SIM卡上面,然后完成刷卡的动作。到后来还有放到手机的安全模块当中的,有Apple Pay、Samsung Pay,到后来的HCE, 再到NFC,或者放在TEE(可信运行环境),这是在手机CPU里面特别有一块做安全存储。还有现在不需要硬件,而是用令牌(Token)方式。

所以技术的演进非常快,我们每半年就得要更新一次我们自己本身的知识才能跟得上时代的潮流。以前我们接触的客户基本上是运营商、银行,现在连手机厂商也有自己的支付工具,比如华为、小米、OPPO、魅族都有自己的支付方法。还有谷歌做的Android Pay,是希望借这个框架给所有的手机厂商去用,发卡行可以用他自己本身的钱包做管理。这些都是我们刚刚讲的跟硬件安全相关的,而现在更多的部分放在软件上的安全方面。所以在移动支付方面,我们在中国或者整个北亚区,都跟手机厂商和银行的合作比较密切一些,为他们提供相关的安全芯片。

记者:未来一年在移动支付市场上会有哪些着重想发展的地方?

陈君岳:从移动支付上来讲大概分成两个部分:第一个是硬件上的部分,就是指我刚才讲的安全模块,所谓的SIM卡,嵌入式安全模块,TEE。另一方面还有软件的安全,把你的个人信息放进去的那个载体上面,也是我们一直在发力的地方,包括对运营商、银行、手机厂商。相应的你要有配套的平台和软件,跟不同的服务提供商做对接,使服务提供商通过这个平台能够下载用户的个人信息到安全模块上面。我们的平台环境能够跟不同的服务提供商做连接,下载个人客户的应用信息。服务提供商只要单点接入就能够覆盖这么多的安全模块。对发卡方来讲,它单点接入就能够覆盖这么多的客户群体。

评论(0)

您可以在评论框内@您的好友一起参与讨论!

<--script type="text/javascript">BAIDU_CLB_fillSlot("927898");