手機(jī)支付是近幾年才發(fā)展起來(lái)的支付方式。它有著與信用卡同樣的方便性，同時(shí)又避免了在交易過(guò)程中使用多種信用卡以及商家是否支持這些信用卡結(jié)算的麻煩。消費(fèi)者只需一部手機(jī)，就可以完成整個(gè)交易過(guò)程，深受消費(fèi)者，尤其是年輕人的推崇。手機(jī)支付將會(huì)有非常大的商業(yè)前景，而且將會(huì)引領(lǐng)移動(dòng)電子商務(wù)和無(wú)線金融的發(fā)展，成為人們生活中購(gòu)物方式的一種潮流。隨著手機(jī)支付業(yè)務(wù)的不斷擴(kuò)大，手機(jī)支付系統(tǒng)面臨的主要問(wèn)題之一就是系統(tǒng)的安全問(wèn)
手機(jī)支付是近幾年才發(fā)展起來(lái)的支付方式。它有著與信用卡同樣的方便性，同時(shí)又避免了在交易過(guò)程中使用
多種信用卡以及商家是否支持這些信用卡結(jié)算的麻煩。消費(fèi)者只需一部手機(jī)，就可以完成整個(gè)交易過(guò)程，深受消費(fèi)者，尤其是年輕人的推崇。手機(jī)支付將會(huì)有非常大的商業(yè)前景，而且將會(huì)引領(lǐng)移動(dòng)電子商務(wù)和無(wú)線金融的發(fā)展，成為人們生活中購(gòu)物方式的一種潮流。隨著手機(jī)支付業(yè)務(wù)的不斷擴(kuò)大，手機(jī)支付系統(tǒng)面臨的主要問(wèn)題之一就是系統(tǒng)的安全問(wèn)題。
而當(dāng)前，我國(guó)關(guān)于手機(jī)支付安全性方面的研究幾乎一片空白。針對(duì)手機(jī)自身的特點(diǎn)，基于橢圓曲線加密體制和AES加密算法的混合加密算法，設(shè)計(jì)了一種可以處理高額交易的手機(jī)支付模型。成功地實(shí)現(xiàn)了用戶的銀行帳號(hào)與手機(jī)號(hào)碼的綁定，在銀行帳號(hào)和手機(jī)號(hào)碼之間建立了一對(duì)一或多對(duì)一的對(duì)應(yīng)關(guān)系。該模型采用雙重認(rèn)證的方式進(jìn)行認(rèn)證，無(wú)線運(yùn)營(yíng)商對(duì)手機(jī)號(hào)碼進(jìn)行認(rèn)證，銀行對(duì)銀行帳號(hào)進(jìn)行認(rèn)證。目前國(guó)內(nèi)的支付系統(tǒng)都要求在交易過(guò)程中傳送用戶的銀行帳號(hào)密碼，而在本文的支付系統(tǒng)中，用戶的銀行帳號(hào)密碼不需傳送。
1 手機(jī)支付和混合加密算法
手機(jī)支付，又稱移動(dòng)支付。它是利用STK技術(shù)在
SIM卡上開(kāi)發(fā)的通過(guò)手機(jī)進(jìn)行消費(fèi)的功能。主要基于銀行帳號(hào)和手機(jī)號(hào)碼的惟一性，將銀行賬戶和手機(jī)號(hào)碼進(jìn)行綁定，使用戶可以通過(guò)手機(jī)短信息、語(yǔ)音、WAP、GPRS等多種方式對(duì)自己的銀行帳戶進(jìn)行操作，實(shí)現(xiàn)查詢、轉(zhuǎn)帳、繳費(fèi)、消費(fèi)等功能，并可以通過(guò)短信息等方式得到交易結(jié)果和帳戶變化通知。
用橢圓曲線加密體制生成對(duì)稱加密算法AES的隨機(jī)會(huì)話密鑰K，使用隨機(jī)會(huì)話密鑰K和AES加密算法來(lái)加密消息。這樣構(gòu)造的混合密碼體制可以獲得較快的加密速度和較大的加密強(qiáng)度。選擇基于橢圓曲線的數(shù)字簽名，通常是一個(gè)二維向量，記為(r，s)。
2 手機(jī)支付系統(tǒng)模型
帳戶管理是銀行的強(qiáng)項(xiàng)，如果沒(méi)有銀行的參與，則不能處理高額支付。本文的支付模型是手機(jī)用戶、銀行、商家及無(wú)線運(yùn)營(yíng)商四者都參與的系統(tǒng)，與參考文獻(xiàn)的支付模型相比，具有較強(qiáng)的實(shí)用性。整個(gè)交易過(guò)程按系統(tǒng)模型中的標(biāo)號(hào)順序依次進(jìn)行，如圖1所示。
3 參與者的初始設(shè)置
商家S通過(guò)橢圓曲線密碼體制，選定IDS作為自己的身份標(biāo)識(shí)，密鑰對(duì)是(ds，Qs)，其中ds是私鑰，Qs是公鑰，保留ds，公開(kāi)Qs和IDs。與商家的初始設(shè)置過(guò)程一樣，無(wú)線運(yùn)營(yíng)商T的身份標(biāo)識(shí)是IDT。密胡對(duì)是(dT，QT)；銀行B的身份標(biāo)識(shí)是I
DB，密鑰對(duì)是(dB，QB)。通過(guò)橢圓曲線密碼體制選擇(d1，Q1)作為與商家通信時(shí)的密鑰對(duì)。選擇同無(wú)線運(yùn)營(yíng)商通信時(shí)的密鑰對(duì)(d2，Q2)；將Q2與手機(jī)開(kāi)戶的消息(包括手機(jī)充值)發(fā)送給無(wú)線運(yùn)營(yíng)商；無(wú)線運(yùn)營(yíng)商進(jìn)行物理鑒定(包括身份證等)并驗(yàn)證用戶提交的消息后，生成用戶的手機(jī)號(hào)碼IDU發(fā)送給用戶，同時(shí)在手機(jī)帳號(hào)的數(shù)據(jù)庫(kù)中儲(chǔ)存新用戶(IDU，Q2)。選擇同銀行通信時(shí)的密鑰對(duì)(d3，Q3)；將Q3、IDU及初始存款的相關(guān)消息遞交給銀行；銀行進(jìn)行物理鑒定(包括身份證等)以確信手機(jī)號(hào)碼IDU的合法性后，生成用戶的銀行帳號(hào)IDBU發(fā)送給用戶，同時(shí)在銀行帳號(hào)的數(shù)據(jù)庫(kù)中儲(chǔ)存新用戶(IDBU，IDU，Q3)。
4 手機(jī)支付系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)
(1)手機(jī)用戶生成購(gòu)買指令m1(包含購(gòu)買物品的名稱、數(shù)量及轉(zhuǎn)帳銀行的名稱等)，用密鑰d1生成m1的簽名(r1，s1)；生成核實(shí)手機(jī)權(quán)限的指令
m2(不涉及交易的具體細(xì)節(jié))，用密鑰d2生成m2的簽名(r2，s2)；用同商家通信時(shí)的會(huì)話密鑰，對(duì)m1、r1和s1進(jìn)行加密處理得到密文c1；用同無(wú)線運(yùn)營(yíng)商通信時(shí)的會(huì)話密鑰，對(duì)m2、r2、s2和IDS進(jìn)行加密處理得到密文c2，將c1和c2合并后發(fā)送給商家。
