如何加密认证第三方支付数据？“网联”是这么干的！

　　过去，支付机构直联银行的模式存在多种隐患，其中包括支付信息过于分散、消费者个人支付的敏感数据易泄露等信息安全问题。而“网联”作为行业交易数据的转接枢纽，将按照金融等保四级标准搭建完善安全体系，确保支付数据安全。特别是当大量支付信息等敏感数据都以“网联”作为中心节点进行传输时，如何从技术上保障这些数据在传输中的机密性、完整性、真实性及抗抵赖性就成为“网联”必须解决的问题。为此，“网联”与第三方电子认证机构中国金融认证中心（CFCA）开展合作，使用了基于数字认证技术的安全方案。

　　该方案基于CA/RA总体架构，在本方案中，所有接入“网联”的银行、支付机构都需要一张类似身份证那样的身份证明来证明自己的身份，这一证明就是数字证书。接入平台的机构向部署在“网联”平台的RA（证书颁发系统）提出证书申请、提交身份资料，RA将审核通过的申请发送至与其直联的CA（即CFCA），之后CA颁发企业数字证书并通过RA发放。

　　通过数字证书的签发及签名验签，“网联”得以保障支付数据的真实性、机密性、完整性及抗抵赖性。考虑到平台对数据传输安全性和系统易用性的高要求，“网联”与CFCA对该方案进行了优化，使其具备以下特点：

　　部署自建RA：“网联”采用了自建RA，与托管RA等部署模式相比，具备自主可控、集成方式灵活、网络稳定性好等优势。可以灵活应对未来数字证书发证量的发展变化，并支持API接口集成，应用方式多样，同时证书申请的证书信息及用户信息自动同步至平台业务系统，方便查验和管理。

　　支持国密算法及高级加密标准：根据国务院办公厅《金融领域密码应用指导意见》的要求，我国到2020年要实现国产密码在金融领域中的全面应用。而该方案中涉及的产品系统均支持SM2、SM3、SM4国密算法，并具备运算效率高、数字签名后的运算结果值小、节约存储资源等优势，同时产品系统也能兼容RSA2048等国际算法并支持AES256高级加密标准。AES256是目前安全等级最高的对称加密算法，在业务场景需对大量内容进行加密时，AES256可以发挥高效加密的优势。

　　国产SSL证书传输层加密：CFCA为与“网联”连接的各大机构颁发SSL数字证书（亦称服务器证书）。SSL证书是加密保护传输中支付数据的关键，其通过在服务器间建立加密传输层，让HTTP明文传输升级为HTTPS密文传输，并验证服务器真实身份，使数据传输连接仅在可信服务器间建立。CFCA国产SSL证书的颁发严格遵循全球统一的身份验证标准，在产品性能、平台适用性等方面可比肩国外顶级SSL证书。“网联”、银行、支付机构采用CFCA国产SSL证书，不仅能避免金融信息外泄风险，亦可满足不同平台用户的加密需求。

　　数字信封通过采用对称加密与非对称加密技术保证了只有规定的接收人才能阅读信息内容，第三方无法窥探。这种先用数字信封加密内容、再通过HTTPS加密传输的模式为支付数据上了“双保险”，即使传输层被攻破，攻击者也会因没有私钥而“打不开”信封。

　　经过“网联”与CFCA的共同努力，这一数据安全传输控制方案已成功实施，成为确保银行、支付机构以标准化、规范化接入“网联”平台的重要一环。2017年3月14日，“网联”专线成功接入CFCA系统，完成第一笔数字证书申请业务。试运行三个月来，“网联”平台运行稳定，各项工作都在按计划逐步推进，越来越多的银行、支付机构陆续接入“网联”，该方案的作用也在逐步体现，使更多传输中的支付数据得到加密保护和真实性认证，成为保护平台数据传输安全的基石，协助“网联”这一重要的金融基础设施促进互联网支付市场的稳定发展，为支付用户的资金、信息安全提供有力保障。