1. PKI 技术简介

PKI 技术是确保网上支付系统信息安全的唯一有效技术。在了解什么是 PKI 技术之前，还是让我们来分析一下目前网上支付业务所急需解决的四 大逻辑安全问题： (1) 交易信息被非法截取，需要解决机密性问题； (2) 用户身份被假冒，需要解决真实数字身份验证问题； (3) 交易数据被非法篡改，需要解决数据完整性问题； (4) 交易被否认，需要解决交易的不可抵赖性问题。这 4 大问题也是整个互联网上最令人头痛的问题，必须解决。

解决以上 4 大问题的有效技术手段只有 PKI 技术。 PKI 技术就是利用公钥理论和技术建立的提供信息安全服务的基础设施。公钥体制是目前应用最广泛的一种加密体制，在这一体制中，加密密钥与解密密钥各不相同，发送信息的人利用接收者的公钥发送加密信息，接收者再利用自己专有的私钥进行解密。这种方式既保证了信息的机密性和完整性，又能保证信息具有不可抵赖性。作为一种技术体系， PKI 可以作为支持机密性、身份认证、完整性和不可否认性的技术基础，从技术上解决网上身份认证、信息完整性和抗抵赖等安全问题，为各种网络应用提供可靠的安全保障。

(1) 机密性(Privacy)
机密性是指一个双方之间的交易信息不能被外界获得或干扰。 PKI 技术使用数据加密来确保交易的机密性、数据传输的机密性和数据存储的机密性。目前，被广泛使用的 SSL 证书就是使用 PKI 加密技术来提供数据的机密性保护， SSL 证书保证了从用户浏览器到服务器之间的重要信息是被加密传输的，是不可能被非法窃取的。而客户端数字证书则被用于电子邮件信息的加密和各种重要文件在服务器上的加密存储，确保重要文件即使被黑客窃取也无法使用。

(2) 真实性(Authentication)
真实性是指电子商务系统仅限于那些能提供适当的真实身份证明的人才能访问。简单的身份认证通常是用户名和密码方式，这是一个非常弱的身份认证，非常容易被破解。最可靠的身份认证是使用客户端数字证书作为身份认证凭证，与代表服务器真实身份的 SSL 证书相配合做可靠的双向身份认证。而代码签名证书则可以用来数字签名软件，来证明软件的真实身份。当然，签发数字证书的 CA 必须验证申请者的真实身份。而为了保证身份的可信，数字证书必须是由受信任的根证书颁发机构所颁发。

(3) 完整性(Integrity)
完整性包括两层意思，一个是指接收方接收到的数据与发送方发送到数据相同，也就是说数据并没有在传输过程中被修改 ( 无论是由于系统错误还是故意 ) ；另一个意思是指在今后任何时间，这是一个不可否认的证明同一文档的不同副本是否相同。
PKI 技术使用 “ 信息摘要 ” 或 “ 哈希 ” 来以确保数据的完整性。任何数据都可以看作是一串数字，都有一个唯一的消息摘要或哈希值，其他数据不可能产生相同的哈希值。只要对原始数据做任何修改，那怕是在最后增加一个空白，则其哈希值将会有所不同，这样就能检测到数据已经被修改。消息摘要是验证数据完整性的常见方法，发送者计算出消息摘要，并连同数据文件一起传送。收件人收到数据文件后也计算出消息摘要，并把它收到的摘要值相比较，如果相同，则表示数据文件没有被修改。

(4) 不可抵赖性(Non-repudiation)
不可抵赖性是指如果电子商务交易双方发生分歧或争议时，电子商务系统中必须有无可辩驳的证据用来证明实际上发生了什么。最常见的方式提供不可抵赖性证明是使用数字签名。数字签名等同于手写签名，受数字签名相关法律保护。 PKI 技术采用双钥体系 ( 公钥和私钥 ) ，发送信息的人使用自己的私钥签名数据文件，而接收者利用发送者的公钥来验证签名，验证通过则证明此数据确实是发送者发送的，是不可抵赖的。电子商务交易双方都使用其客户端证书数字签名合同就能有效地解决不可抵赖性问题。可见，保护好自己的私钥是非常重要的，一般重要的网上银行系统采用硬件 USB Key 来存储私钥。

总之，网上支付系统中与逻辑安全相关的 4 大主要风险都可以通过部署 PKI 技术来解决，具体体现在数字证书产品在支付系统中的应用和部署，包括 SSL 证书、客户端证书和代码签名证书。只有 PKI 技术才能保证数据的机密性、真实性、完整性和不可抵赖性。

2. PKI 技术在第三方支付平台的正确部署应用解决方案

综合 PKI 技术的优势和目前普遍存在的问题， WoSign 给出了支付系统应该如何正确部署 PKI 技术来解决第三方支付中遇到 4 大逻辑安全问题。

1. 为网站服务器正确部署绿色地址栏的 EV SSL 证书

(1) 为主网站服务器部署最高安全级别的 EV SSL 证书，并强制要求全网站使用 https 访问。

(2) 使用 WoSign SSL 证书免费健康体检系统发现服务器存在的安全漏洞，并及时修补，以防止黑客利用安全漏洞攻击服务器。必须及时处理的常见的与 SSL 相关的安全漏洞有： 没有关闭不安全的 SSL 2.0 协议、没有关闭不安全的 40 位 / 56 位加密套件以及没有关闭不安全的重新协商机制和不支持安全的重新协商机制。

(3) 系统自动检测用户浏览器版本，要求用户使用主流的新版安全浏览器，从而确保用户的安全。一些非主流浏览器和低版本浏览器有许多安全漏洞，不能保证用户帐号的安全。

2. 用户证书将全面用于账户安全登录、交易数字签名和客服邮件数字签名与加密

(1) 用户证书必须是全球信任的客户端证书，而不是自签证书，自签证书无法保证证书的全球唯一性和无法保证用户证书不会被假冒；

(2) 去掉不安全的用户名 / 密码登录方式，改用用户证书加密码的安全登录方式，登录时要求用户选择合适的证书登录；

(3) 不同权限的用户颁发不同性质的用户证书，如新注册用户仅用于登录帐号和付款，通过认证的用户则新增加一张不同的用户证书，用于不同的用户权限；

(4) 用户的任何交易操作，都要求用户选择用户证书来对此交易数字签名，系统验证用户签名是否正确并存档备查，以解决交易的不可抵赖性问题；

(5) 重要的证书申请、吊销等操作都要辅助手机短信验证；

(6) 用户证书绑定用户邮箱，用户可以用用户证书数字签名其电子邮件和加密电子邮件与客服通信，完成各种需要验证用户身份的客服工作和用户操作；

(7) 用户删除证书则一定要真正吊销证书，并实时添加到证书吊销列表中，确保吊销的证书真正不会发挥作用；

(8) 用户可以使用其用户证书数字签名和加密各种系统需要的重要文件，只要这样，才能证明文件的真实身份；

(9) 用户也可以把各种重要文件用自己证书加密后上传到系统的保险柜中，这是最安全的文件保险柜，没有用户证书解密，即使别人拿走文件也没有用。此功能拟在增加用户的粘性；

(10) 用户证书支持 USB Key 作为安全载体，以确保用户证书的安全使用。

3. WoSign 即将向第三方支付服务提供商免费开放 PKI 系统平台

WoSign 作为中国领先的数字证书产品提供商，能为用户提供基于 PKI 技术的各种信息安全解决方案。 WoSign 拥有性能优异和高度可靠的 PKI 基础设施， PKI 系统分别部署在中国电信、中国联通、美国、英国和香港等全球各地互联网骨干网上，能提供十亿用户级的证书签发、吊销和重新颁发等证书管理，并且有一个分布在全球的系统维护团队在确保系统安全和稳定。目前，已经为几万用户提供了超过 4 年多的可靠证书服务。

WoSign 深知：我们的专业系统完全可以为更多的用户提供服务，而目前的第三方支付系统都是自己搞一套不完善和不安全的证书颁发系统，非常不利于在线支付业务的安全健康发展。因为您们的专业是支付业务，而我们的专业是证书业务。

为了促进我国第三方支付业务的安全健康发展， WoSign 决定将开放我们的 PKI 系统平台，向第三方支付业务提供商免费提供数字证书管理接口，可以像自建系统一样自主地颁发用户证书、吊销用户证书等。但不同的是：我们的系统所颁发的证书是全球通用，浏览器和其他客户端软件所信任的客户端证书。

互联网是开放的互联网，支付业务也是覆盖全球的业务，所以用户证书一定是全球受信任的证书，而不是像目前采用的方案的不受浏览器和 Windows 系统信任的自签证书。

采用 PKI 技术的安全的第三方支付系统是应对互联网的各种安全威胁的需要，也是支付业务安全健康发展的需要， WoSign 愿意携手国内第三方支付服务提供商共同为在线支付安全保驾护航。