5.1.1 安全电子支付的意义
从理论上讲，电子支付比传统的支付方式有更多的优点，例如便捷、高效、实时等，但为什么很多人在电子商务中仍然迷恋传统的支付方式呢？人们有时会采用“网上交易、网下支付”的方式，即先在网上进行商品信息查询，确定价格，进行订货，而采用传统的脱机方式付款，如货到付款、银行转账、邮局汇款等。尽管电子支付的发展前景十分诱人，但是其安全问题也变得越来越突出，如何建立一个安全、便捷的电子支付应用环境，对信息提供足够的保护，已经成为商家和用户都十分关心的话题，如果保障不了安全，电子支付就无从谈起，电子支付活动就很难在现实生活中蓬勃开展。
1安全问题对网上支付的影响
截至2007年12月31日，中国上网用户总数达2.1亿，网上支付用户规模达到5325万，上网用户对电子支付的信心比以往有所增加，但安全问题却仍是影响电子支付普及的最核心问题。据艾瑞市场咨询的《2006年中国网上支付研究报告》显示，中国大部分网民愿意使用网上支付，从网民在未来一年是否愿意使用网上支付的情况来看，有76.5%的网民表示在未来一年里会开始或继续使用网上支付，明确表示不使用网上支付的网民仅为6%，而还有17.5%的网民表示不知道，对是否使用网上支付还要根据实际情况进行选择使用。
在不愿意使用网上支付的网民当中，高达62%的人是因为担心交易与支付资金的安全性。
在中国互联网络信息中心CNNIC公布的一份报告中，用户对“目前网上购物最大的问题”的回答结果是：认为网上支付安全得不到保障的占36.5%，认为产品质量、售后服务及厂商信誉得不到保证的占27.6%，而认为付款不方便和送货不及时的分别占17.79%和9.39%。由此可见，电子支付的安全性仍是人们最关心的问题。电子支付的安全性问题已经成为电子支付发展的瓶颈，严重影响了人们使用电子支付的积极性，妨碍了电子支付在各个领域的广泛应用。
2安全支付问题对电子商务的威胁
安全电子支付是电子商务发展的核心和关键，由于基于TCP/IP技术的互联网络在设计之初没有考虑到有关安全的问题，在安全方面存在先天不足，所以随着电子支付和网上银行的发展，网络安全事故开始频繁发生，一浪接一浪的黑客风暴和病毒在互联网上横冲直撞，甚至连微软和Intel这样顶尖的高科技公司都不能幸免于难，电子交易与支付更是面临严重威胁。2005年，美国超过300万的信用卡用户资料外泄，导致用户财产损失严重。除了“冲击波”、“Iloveyou”、“熊猫烧香”等肆意横行的病毒外，以商业为目的，以欺骗用户为手段的间谍软件，如网络钓鱼软件（网络钓鱼攻击是一种主要以骗取用户各种在线交易的账户、密码的攻击方式）已成为电子支付的最严重的威胁，黑客曾模仿中国工商银行、中国银行等金融机构，设计了类似的网页，用来盗取用户账号和密码信息，非法从中获取利益。这样，使得很多用户对电子支付的信心大减。
3安全支付的社会环境与法律
如果电子支付的安全问题得不到解决，就会给商家和消费者的经济带来巨大损失，也关系着银行等金融机构的生存和经营成败的大事。为了防止各类不安全的事件发生，我们不仅要在电子支付中采取防火墙、数据加密、身份认证等网络与信息安全技术，同时，还要加强对消费者的安全教育。据调查，在电子交易支付过程中，有三分之一的消费者不会使用数字证书。电子支付安全不仅涉及技术问题，而且还涉及法律、政策问题，在政府相关部门的大力支持下，目前中国已有《电子签名法》、《支付清算组织管理办法》（征求意见稿）和《电子支付指引（第一号）》等相关法律文件出台。
5.1.2 电子支付面临的安全问题1电子支付中的不安全因素电子支付给人们带来交易便利的同时，也存在许多安全方面的问题，网络技术方面本身存在的漏洞和局限，为不法分子开展不法行为也提供了便利条件。这些安全问题直接影响了电子支付各方的经济利益，电子支付中的不安全因素主要有如下几点。
（1）信息被截获或窃取由于未采用加密措施或加密强度不够，数据信息在网络上以明文形式传送，入侵者可以在数据包经过的网关或路由器上截获传送的信息，或通过对信息流量和流向、通信频度和长度等参数的分析，窃取有用的信息，如消费者的信用卡号码、密码以及企业的商业机密等隐私信息。当消费者的信用卡号码和密码在网上被窃取后，盗用者就可以利用消费者的信用卡信息伪造出一张新的信用卡，然后就可以从任何一个ATM或POS机中取出消费者的资金。
（2）信息被篡改入侵者可以通过各种技术手段和方法，将网络上传送的交易信息在中途修改，然后再发向目的地。信息可以从三个方面被篡改：
①修改，即改变信息流的次序，更改信息的内容，如支付货币的数量；②删除，即删除某个信息或信息的某些部分；③插入，即在信息中插入一些额外的信息，让接收方读不懂或接受错误的信息。
利用电子支付系统进行支付，数据容易被修改，当支付金额被更改，发生多支付或少支付的问题时，会给交易双方带来很大麻烦。
（3）信息假冒入侵者可以冒充合法用户的身份发送假冒的信息或者窃取商家的商品信息和用户信用等，而远端用户通常很难分辨。信息假冒有两种方式。
①冒充他人身份。例如，冒充领导发布命令、调阅密件；冒充他人消费、栽赃；冒充主机欺骗合法主机及合法用户；冒充网络控制程序，套取或修改使用权限、密钥等信息；接管合法用户，欺骗系统，占用合法用户的资源。
②发送假冒的信息。例如，伪造电子邮件，虚开网站和商店，给用户发电子邮件，收订货单；发送大量恶意的电子邮件，挤占商家资源，使合法用户不能正常访问网络资源，或使有严格时间要求的服务不能及时得到响应。
由于支付方不知道商家到底是谁，商家无法确定信用卡等网络支付工具是否真实，以及由谁来支付和资金如何入账等，一些不法商家或个人就利用电子交易支付的非面对面特点来进行欺诈活动。
（4）否认已经做过的交易电子支付中还可能存在着发送者事后否认曾经发送过某条信息，接受者事后否认曾经收到过某条信息的情况。比如消费者不承认已发出的订单，商家卖出的商品因价格问题而不承认原有的交易或否认收到消费者的支付款项等。
（5）电子支付系统不稳定电子支付系统会突然由于技术性中断或故意被攻击而瘫痪，由于用户的电子货币信息存放在相应的银行后台服务器中，当银行后台服务器出现错误、运行中断或瘫痪时，用户就无法使用电子货币，可能导致正在进行的电子支付中断，从而影响用户的支付行为。
安全电子支付的目标基于上述的电子支付中容易出现的问题，安全电子支付必须实现以下几个目标。
（1）机密性在电子支付过程中，对用户的银行账户、信用卡卡号、信用卡密码、身份证号等重要而敏感的信息，必须进行加密和安全传输，以防止敏感信息被人窃听。采用加密传输，即使别人截获了数据，也无法在短时间内得到其真实内容。
（2）完整性完整性目标要求信息接收方能够验证出接收到的信息是否真实完整、是否被人篡改，以保障交易支付数据的一致性。
（3）身份的可鉴别性为防止电子支付中可能出现的欺诈行为，双方应能可靠地确认对方身份的真实性，并要求双方的身份不能被假冒或伪装。
（4）不可抵赖性交易一旦达成，交易的任何一方都不能对自己的交易行为进行抵赖，电子商务系统应能从技术角度提供防抵赖功能。
（5）可靠性系统要对网络故障、操作错误、硬件故障、系统软件错误以及计算机病毒所产生的威胁加以控制和预防。
