Thales HSM成為行動支付邁向交易系統的關鍵安全基礎

金融科技(FinTech)業者帶動的第三方支付、線上到線下(Online to Offline, O2O)與比特幣(Bitcoin)等行動支付熱潮,莫不以金鑰管理系統的建立做為電子/行動交易的關鍵安全基礎設施,同時更為Thales硬體安全模組(HSM)方案灌注新一波強勁的成長契機與動力。

不論是金融3.0(Bank 3.0)所掀起的行動銀行等數位化顛覆革新,或是金融科技(FinTech)業者帶動的第三方支付、線上到線下(Online to Offline, O2O)與比特幣(Bitcoin)等行動支付熱潮,莫不以金鑰管理系統的建立做為電子/行動交易的關鍵安全基礎設施,同時更為Thales硬體安全模組(HSM)方案灌注新一波強勁的成長契機與動力。

從身分認證、端到端加密與手機資訊安全三管齊下

隨著行動網路基礎設施、無線連網裝置與相關技術,乃至從政府到產業,再到消費者的相關支援、配套措施與需求的日趨熱絡、成熟與完善,致使全球行動支付市場呈現大幅成長的態勢。為了順應全球行動支付的潮流,並推動台灣行動支付相關產業應用的蓬勃發展,2015年1月立法院已三讀通過行政院送審的《電子支付機構管理條例》(亦即俗稱的「第三方支付專法」)。3月中旬,金管會並於所明定的「電子支付機構資訊系統標準及安全控管作業基準辦法」草案中,針對交易安全而將交易金額劃分成3種級距。

凡交易金額每筆低於5,000元、每日低於2萬元、每月低於5萬元者屬於第一級距,只需透過預先設定的密碼即可。凡每筆5萬元以下、每天10萬以下、每月20萬元以下者,皆屬第二級距,必須透過電子支付機構預先透過簡訊傳送的密碼來完成交易。至於第三級距是指每筆5萬元以上、每天10萬以上、每月20萬元以上的電子交易,則必須透過晶片金融卡或令牌裝置所產生的一次性密碼(OTP)來進行。再者,只要是帳戶間的款項移轉,前兩個級距都必須透過晶片金融卡或Token OTP來完成,至於第三級距則必須藉由臨櫃或憑證來辦理。

Thales大中華區資訊安全部銷售總經理周志豪(右)及台灣區代理商亞利安科技總經理范梓芳(左)
Thales大中華區資訊安全部銷售總經理周志豪(右)及台灣區代理商亞利安科技總經理范梓芳(左)

Thales大中華區資訊安全部銷售總經理周志豪表示,整體而言,上述第三方支付專法及安全草案莫不是因應今後電子交易逐漸全面朝向行動化發展之全球大趨勢下,而在法制面的必然舉措與必要回應。不僅如此,當前使用者對行動支付的強烈需求,也加速金融科技化與科技金融化的發展腳步,前者亦即當前銀行界如火如荼展開的金融3.0 (Bank 3.0)政策,其中藉由智慧型手機取代實體銀行而成為掌上型分行,則成為Bank 3.0的主軸策略之一。

至於後者多半是指非金融機構透過前瞻科技推出創新性金融服務的顛覆性FinTech風潮而言,其中佼佼者,除了眾所皆知的第三方支付平台美國Paypal及中國支付寶外,並包括美國P2P借貸平台Lending Club、資金營運平台C2FO、中國理財平台陸金所(LU.com)等,而台灣也有支援行動聲波支付服務的紅陽科技,以及提供推播互動式安全認證機制的蓋特資訊(iDGate)。

「不論是Bank 3.0銀行或FinTek業者所推出的行動分行或第三方支付等各類創新應用及服務,都會以智慧型手機等行動裝置來進行交易,也因為如此行動裝置的安全性便顯得格外重要,」周志豪強調指出:「對此必須從三大層面來確保整體行動支付的安全性,首先得透過身分認證機制來確認使用者真實身分,其次是提升資訊傳輸的安全性,第三則是確保行動裝置中的資訊安全。」

根據香港銀行公會針對各國採用雙因素認證(2-Factor Authentication)的研究報告指出,透過簡訊發送OTP最為普遍,中、港、台、新等國皆普遍採行,但美國卻未實施,而只有透過密碼搭配提示問題的認證機制而已。對於跨國金融機構而言,通常會選擇Token等較高認證標準來確保網路/行動交易的安全性。為了杜絕中間人(Man-in-the-Middle)攻擊等網安風險的發生,端到端的加密防護已逐漸成為普遍要求。

周志豪表示,隨著行動支付與相關業務的大行其道,如何加強身份認證、端到端資料傳輸及手機資料的安全保護,會是今後金融/支付機構資源投入的一大重點。Thales旗下HSM方案,則是今後行動支付不論採取PKI、Token、SMS OTP或端到端加密等機制背後的關鍵基礎。不僅如此,Thales並早已推出支援HCE與mPOS相關資源、所有功能與各項應用的行動支付專用HSM-payShield 9000,進而協助業者打造方便、安全又高效率的行動支付平台。

Thales HSM協助行動支付杜絕網路犯罪風險

在線上支付日漸蓬勃的同時,行動支付業者早已將焦點放在線下實體交易的O2O支付服務上,使用者到實體店面消費時,可以方便地透過手機QR Code完成線上帳戶的扣款支付作業,再再突顯出O2O將成為第三方支付之後的下一波兵家必爭重點。如今中國可說是全球第三方支付及O2O業務發展最迅速的地區,但在缺乏相關監管配套機制的情況下,一旦像是支付寶等FinTech業者倒閉,勢將引發重大的衝擊。

對此,周志豪預估指出,為了尋求更安全又簡便的行動支付機制,比特幣將會成為第三方/O2O支付的下一步。比特幣是以區塊鏈(BlockChain)技術為基礎的電子錢包系統,而區塊鏈則是由密碼演算法產生而出,由於該技術能完美保存交易技術,因而提供遠比其他金錢交易系統更高、更完備的稽核、監控能力與安全性,因而勢將成為日後行動交易的明日之星。

不論是第三方、O2O或比特幣等行動支付服務,抑或當前香港推行的電子支票,都會涉及金鑰與憑證的管理與保護。此外,為了讓更安全的PKI或自然人憑證等機制應用在手機上,最簡便直接的做法就是將個人憑證全部集中交由金融機關或FinTech支付業者來管理,如此一來,金鑰與憑證的安全防護與管理便顯得更加重要。對此,Thales HSM方案將會是確保金鑰與憑證安全無虞的最佳保障,更是杜絕日益猖獗之網路犯罪的必要安全基礎設施。

值得一的是,當前金管會的「電子支付機構資訊系統標準及安全控管作業基準辦法」草案中,對於私鑰儲存之晶片硬體安全強度標準,竟然採用的是較舊的FIPS 140-1 Level 2標準,對此,周志豪建議指出,面對行動支付金鑰管理機制的建立,可以採用Thales HSM方案,因為當前不論Thales旗下通用型HSM與支付專用型HSM,皆符合最新FIPS 140-2 Level 3安全等級標準,因而能提供更安全無虞的硬體強化式的防篡改及防外洩保護機制。

在亞利安科技的代理支援下,目前Thales在台市場的經營成果有目共睹,除了許多OEM代工製造業者透過Thales nShield HSM進行智慧財產的安全保護外,同時有高達60-70%的信用卡與ATM皆採用Thales HSM方案。如今,隨著Bank 3.0及FinTech的商機蔚起,當前許多電子銀行、行動支付與FinTech業者,例如蓋特資訊、MagTek、Proxama、TPS、Synthesis Software等,莫不以Thales HSM做為重要的金鑰管理基礎設施,也為Thales HSM方案灌注新一波強勁的成長契機與動力。

關於我們

自1990年創刊UXmaster雜誌,1991年獲得美國LAN Magazine獨家授權中文版,2006年獲得CMP Network Computing授權,2009年合併CMP Network Magazine獨家授權中文版,2014年轉型為《網路資訊》雜誌網站,為台灣中小企業協助技術領導者落實企業策略,了解網路規劃及應用,為企業網路應用、管理、MIS、IT人員必備之專業雜誌網站。


與我們聯絡

加入《網路資訊》雜誌社群

© Copyright 2017 本站版權所有,禁止任意轉載 網路資訊雜誌 / 心動傳媒股份有限公司 聯絡電話:+886 2 29432416