2020年4月2日，中国人民银行办公厅印发《关于开展金融科技应用风险专项摸排工作的通知》（银办发﹝2020﹞45号），摸排范围包括移动金融客户端应用、应用程序编程接口、信息系统等，摸排内容涉及人工智能、大数据、区块链、物联网等金融科技风险，内容涵盖个人金融信息保护、交易安全、仿冒漏洞、技术使用安全、内控管理5大方面123个摸排点。

本文是摸排工作主要摸排内容的系列解读文章第二篇。  

背景资料

交易是金融业务的基础组成部分，金融行业的存在离不开交易。保障交易安全是推进金融科技应用的基础。当前，金融科技在支付领域不断创新，尤其是在身份认证领域的不断变化。从《金融科技（FinTech）发展规划（2019-2021年）》来看，第八项重点任务“健全网络身份认证体系”即与此要求明确相关。

（八）健全网络身份认证体系。构建适应互联网时代的移动终端可信环境，充分利用可信计算、安全多方计算、密码算法、生物识别等信息技术，建立健全兼顾安全与便捷的多元化身份认证体系，不断丰富金融交易验证手段，保障移动互联环境下金融交易安全，提升金融服务的可得性、满意度与安全水平。综合运用数字签名技术、共识机制等手段，强化金融交易报文规范管理，保障金融交易过程的可追溯和不可抵赖，提升金融交易信息的真实性、保密性和完整性。积极探索新兴技术在优化金融交易可信环境方面的应用，稳妥推进分布式账本等技术验证试点和研发运用。

金融交易面向金融消费者提供服务，从银行卡、二维码再到基于生物识别技术的智能支付，易用性的提高也面临新型的安全风险。尤其是在“无感”支付理念畅行的时代，如何平衡“无感”身份识别与用户意愿的合理表达成为严峻挑战。发展适合金融科技的交易模式，保障用户资金安全是不可避免的话题。

基本方向

网络身份认证通常包括三种方式，即用户本人知悉的要素（如静态密码）、用户本人持有并特有的不可复制或不可重复利用的要素（如数字证书）、用户本人生物特征要素。

三种身份认证方式各有优劣，在官方的《规划解读白皮书》中，对常用身份认证的安全级别进行了比对。

身份认证技术	应用场景	使用成本	便捷性	安全性
静态密码	各类身份认证场景	低	较高	较低
短信验证码	快捷支付	较低	较高	低
数字证书	网上银行、手机银行	高	较低	高
生物识别	手机银行、移动支付	较高	高	较高

同时，由于各类身份认证机制都存在一些缺陷。单因素身份验证安全隐患高，“知悉要素”易被猜解，“持有并特有的要素”易被盗取，“生物特征”可被伪造，使得单因素身份验证不足够安全。部分金融机构和科技公司以互联网便捷性为由推进免密支付、“无感”支付等技术模式，使用户交易意愿的表达存在疑虑。基于单向认证的模式容易遭受中间人攻击。

推进网络身份认证，需要从用户参与、认证技术、交易监控等多方面予以关注。

（一）资金交易业务渠道开通/使用应有用户参与

随着金融科技的快速发展，金融服务通过App、互联网等线上渠道与消费者持续互动。然而，App、互联网等在开放的网络环境中运行，面临着外部数据攻击等多方面风险。层出不穷的支付模式对消费者的认知也是巨大的挑战。消费者必须深刻的理解不同的二维码支付、快捷支付、银行卡支付等业务之间的差别。为消费者提供金融服务渠道的开通确认，进行安全的提示是必不可少的。金融机构不能以便捷为由，诱使或欺骗消费者开通资金类交易，降低资金损失的风险。如在开通二维码支付时，应告知用户二维码支付支持小额免密等情况。

此外，在使用过程中，用户的参与也必不可少。无论是基于银行卡、二维码的支付抑或基于人脸识别等智能支付，用户必须能够通过密码等方式进行本人主动确权，严禁用户“无感”的情况下自动触发资金交易，资金交易结果应该通过有效地渠道通知到用户。用户在使用不同的支付方式时，金融机构还应根据交易的时间、位置、商户特征、交易金额等设置合理的身份验证方式，不能无节制推免密支付。

（二）加强电子认证技术的研究和使用

为解决身份验证的难题，各种新型的认证技术不断推出，国内外的身份认证框架也不断完善，基于IIFAA、FIDO等身份认证技术正逐步降低身份鉴别的难度。金融行业推进基于SE、TEE等终端安全技术建立可靠的密钥存储和运算环境，使用分散密钥协同签名的机制，能够实现私钥在移动环境下的安全使用，降低用户学习成本，提高交易验证强度。基于生物识别技术，如使用声纹识别+动态密码的方式，实现个人生物特征与持有要素双重认证，符合多因子组合、动态因子、隐私保护等规则，能够改进用户体验，提高安全效能。

（三）不断完善交易风险监控能力

个人金融信息保护问题的出现通常被认为是信息化、网络化、数字化时代产生的问题，是科技挑战了传统人类价值的结果。因而，解决个人金融信息的问题仍然需要使用科技的手段来解决。个人信息需要通过不同的终端（如ATM、POS）、软件（App等）进入信息系统中，强化终端、软件的安全管理，提高其防范非法入侵、存在信息泄露的风险，能够有效控制信息源头的安全问题。而在存储和使用中，有效采用密码技术，使用安全加密、去标识化、匿名化等技术手段，可以有效畅通数据流通能力，从而在发挥数据价值的过程中降低信息安全的风险。因而，金融信息的问题需要科技领域的不断努力。

工作建议

本次金融科技在交易安全的摸排，是要检验金融机构在交易方面的安全机制落实情况，推动金融机构采用便捷又安全的技术方案。无论是基于静态密码、数字证书、生物识别，都有其特定的安全要求。

（一）静态密码使用的相关要求

使用静态密码时，应防范弱密码的情况发生，如“111111”、“123456”以及生日密码、手机号密码等；同时，在密码输入的情况下，应采用屏蔽显示的方式，杜绝“小眼睛”显示密码；输入密码应采用安全控件、加密键盘等方式，使用逐字符加密、随机密钥、乱序键盘等方式，安全传输用户密码；输入密码的App等还应具有防范截屏等安全功能。这些基础的技术要求在JR/T 0092、JR/T 0068、支付安全风险专项排查工作中都有明确规定。

（二）数字证书的使用要求

使用数字证书时，应使用安全的数字证书方案。数字证书的法定效力来源于《电子签名法》，安全的数字证书应遵循国家密码管理部门的有关要求。JR/T 0068中提出网上不能使用文件证书、软证书等方案，某些厂商提供的基于软证书的方案采用多层密钥加密，无法满足金融对于交易安全的签名需要，在摸排工作时需要特别注意。

（三）生物识别的使用要求

使用生物识别时，要特别注意生物识别的抗攻击能力，生物识别使用人工智能技术无法做到100%的精准度。使用生物识别技术，还必须做好用户的生物特征保护工作。

声纹识别应满足JR/T 0164的相关规范要求并通过金融科技产品认证。基于人脸的支付模式目前仅在线下支付场景进行试点工作，人脸识别要支持活体检测，并符合《人脸识别线下支付安全应用技术规范》的有关要求。移动端的人脸设备由于并非支付级的安全摄像头，容易被静态图片、3D头模等绕过，存在较高的安全隐患。人脸作为支付要素时，由于人脸的捕获无需经过当事人的同意，作为鉴别因素也存在较高风险，应将人脸作为支付账号进行路由，通过支付口令等方式确认用户意愿。

在使用支付风险监控系统时，需注意支付风险监控系统的规则。如果是手工设置的规则，应做好规则的检查，确保规则的有效性；如果采用大数据、人工智能进行建模规则，也需要注意数据来源合法性、训练数据无偏见等问题，需要检验模型和规则的效果，持续优化完善。

结束语

以上是关于《关于开展金融科技应用风险专项摸排工作的通知》（银办发﹝2020﹞45号）交易安全相关内容的介绍，下期将对伪冒漏洞风险的内容进行解读。

国家金融IC卡安全检测中心（银行卡检测中心）为金融机构提供金融科技应用风险专项摸排技术解读及相关摸排工具，帮助金融机构快速建立金融科技应用台账，形成金融科技应用风险统计分析功能，建立健全金融科技应用风险监控体系。