中国移动在2008年率先步入移动支付领域,从手机钱包、网上支付等各方突围,期望以支付带来增值业务的全面突破,改变通信市场日趋饱和收入吓下滑和沦为通信通道的尴尬局面。此时,一直占据支付领域绝对优势的银联以攻代守,推出基于手机终端的移动支付方案,把战火燃烧到运营商擅长的领域——移动终端,同时,同为运营商的联通、电信不甘寂寞,纷纷加入移动支付战团。银联利用联通、电信对移动市场的垂涎,在战略上与联通、电信结盟,期望三方共同在移动支付战役中阻击通信用户规模接近6亿的中国移动。因此,移动支付领域俨然进入战国时代,群雄割据,逐鹿中原。

中国移动和联通、电信的移动支付强调的是支付,切入点除了基于手机终端的支付,还包括银联接近垄断地位的现场支付,以及网银与第三方支付仍在有竞争有合作依然混战的网上支付。而银联觊觎的市场是利用运营商的桥头堡——手机终端进一步拓展自己的支付领域和支付方式。因此,从本质上讲,如果运营商期望通过移动支付实现突破通信领域的金融服务战略,利用用户优势把金融服务做成核心业务以实现多元化,那么运营商与银联的合作只能是各怀鬼胎,貌合神离。毕竟,运营商的以金融服务实现多元化目标与银联的拓展支付领域和支付方式的目标存在显而易见的冲突。

从银联的市场诉求和运营商的自身优势分析,无论是运营商还是银联,如果能在手机客户端的支付上占领市场先机,取得突破性的进展,就能取得移动支付阶段性的胜利。银联实现了该阶段的胜利就顺利达到了自己移动支付的目的。运营商如果不能在自己的强势领域——手机客户端取得先手,那么所谓的支付先行,布局金融的金融服务战略势必土崩瓦解,烟消云散。运营商只有利用自身优势,取得手机支付客户端关键战役的胜利,才能使自己的战略具备一个立脚点,为将来的金融服务战略打好坚实的基础。

在这场战役中,手机支付客户端关键的业务模式、流程基本可以参照网银模式优化和实现,因此,各方在业务层面的战术上了无新意,趋于同质化。但是,基于数字证书的互联网支付的安全模式目前在手机端并未广泛的应用,以银联为首的各商业银行的手机支付客户端在安全保护环节相对薄弱,简化甚至忽略了安全的保护措施。其中,手机终端的多样性以及与PC环境的不同带来的复杂性超出了软件开发商的驾驭范围是安全因素被忽略的一个根本原因。运营商可以利用这个薄弱环节,在手机支付客户端的安全支撑上勇于突破和创新,提出符合良好用户体验的手机支付客户端安全保障措施,取得手机支付客户端战役胜利。

手机支付客户端的安全保障要从网银或互联网第三方支付开始借鉴,随着《电子签名法》和人民银行《电子支付指引》的颁布,以USB KEY为载体的数字证书逐渐走入人们的视野,得到广泛的认可,成为一种公认的互联网支付的安全保护措施。目前网银和第三方支付在互联网支付中一般采用基于PKI体系的数字证书实现安全保障,认证中心在鉴证用户身份后为用户颁发代表用户身份的数字证书,网银或第三方支付的系统建立用户身份与银行账号的绑定关系实现以数字证书为基础账户识别机制。支付过程中,网银或第三方支付系统支持用户使用数字证书对支付交易进行数字签名。用户的数字签名可以实现支付交易的账户认证、交易完整性、交易机密性、交易来源确认、合法性的一系列保护。

对用户身份、账户的识别,对交易的保护只是互联网支付安全保障的一个方面。另一方面,是对用户业务处理界面的安全保护措施,业务处理界面的保护包括支付系统认证、安全控件的保护和认证等环节,支付系统认证是在基于WEB的安全方式中,利用PKI体系中广泛应用的SSL协议来提供安全防护,浏览器通过服务器证书识别银行和第三方支付系统的合法性,避免钓鱼网站假冒合法支付系统窃取用户信息从事中间人攻击。控件认证包括操作系统和后台系统的认证,证书是在用户本地使用,用户业务处理界面访问用户计算机本地资源,操作系统对用户本地资源的保护措施决定证书的访问需要通过认证的安全控件实现,网银或第三方支付机构使用代码签名证书对安全控件数字签名,代码签名对安全控件起到保护作用,经过签名的安全控件既可以确认安全控件的来源,防止假冒的安全控件,又可以对安全控件的完整性进行校验,防止黑客或木马程序对安全控件的事务处理逻辑进行篡改。代码签名同时是操作系统和银行、第三方支付系统操作系统识别认证安全控件的技术实现方式。通过代码签名对业务处理界面各个环节进行全流程的检测、控制,可以保障数字证书能代表用户的真实身份,防止数字证书被冒用、盗用。

网银和第三方支付验证有效的安全保障措施,在不牺牲用户体验的情况下移植到手机支付客户端是手机支付客户端安全保障措施的核心思路。安全保障是核心目的,用户体验是限制条件,要在有所限制的前提下实现目标,需要对手支付客户端的环境进行系统和客观的分析,依据手机终端的特点和优劣势分析,扬长避短、创新改进,从而设计出比较完善的从互联网支付安全保障移植到手机支付客户端安全保障的解决方案。

首先,是手机终端的硬件性能,目前手机市场的阵营分为智能和非智能手机,从手机支付客户端面对的人群来说,以使用智能手机为主,智能手机的中央处理器的计算能力均在300MHZ以上,在新款的手机中,频率已达1GHZ,远远超过PKI体系起源的80年代PC的运算能力,因此,PKI体系在硬件性能方面的限制已经微乎其微。

其次,是手机操作系统的复杂性,从symbian、windows mobile、blackberry,到ios、android、webos,手机终端的操作系统层出不穷,而对安全措施的实现也颇有差别,虽然均支持数字证书的PKI体系,但作用范围和PKI体系的实现参差不齐,互有胜负。从长久趋势来看,各操作系统虽然千差万别,但殊途同归,手机终端的智能操作系统逐渐过渡到以*nux核心实现硬件操作层的基本功能,以java、html5等面向互联网的适用于web应用的开发语言作为应用层开发工具的相同模式。因此,采用统一的安全机制替代操作系统的安全实现,并根据操作系统的特点进行适配,是折中的万全之策。

另外,数字证书的载体也是一个比较复杂的问题,数字证书在在PC上的载体以USB KEY为主,通过操作系统证书容器实现的文件证书是一种补充的方式。以手机终端而言,SIM卡作为数字证书载体具备天然的优势,可惜,目前的SIM卡作为移动通信空中通道的身份识别和验证机制既没有采用非对称的方式实现,又因为移动通信空中接口安全机制要求对手机终端操作系统屏蔽而大部分手机操作系统不支持对SIM卡的直接访问,目前,仍不能作为有效的数字证书载体。要做到空中接口与终端操作系统同时安全的访问SIM卡涉及到整个移动通信行业产业链的革新与改造,路漫漫兮其修远兮。目前中国移动参照国外运营商的成功经验推出的变通方式是通过空中通道接口访问SIM卡的数字证书,然后通过空中接口再返回到终端操作系统,该方案涉及到两个通信通道的交互,其性能和用户体验受到一定程度的限制。银联采用的MicroSD接口的智能卡作为数字证书载体也是一种手机终端数字证书载体的实现方式,MicroSD智能卡由于涉及到用途单一、成本高昂、兼容性差等因素制约,目前只能停留在小范围的发展阶段。文件证书成本低廉,推广方便,同时又能起到数字证书的安全保障作用,可以作为手机客户端数字证书载体的实现方式,不过,由于文件证书的用户私钥以文件方式存在,必须设计出一套保护机制实现用户私钥的保护,降低用户私钥泄露的风险。

从上述分析来看,以数字证书作为手机支付客户端安全保障措施的大范围推广,关键在于不损失用户体验的情况下对文件证书的私钥保护。在PC环境中,存储在操作系统或应用环境密钥容器中的私钥一般通过用户识别码进行保护,即通过用户预先选定的密码作为私钥调用的前提条件,这种依赖于密钥容器、密码的二重保护措施,其安全级别仍是受到质疑。所以,在实际应用中出现了一些新的密钥保护方案,其中比较典型的就是招商银行专业版和支付宝的文件证书。虽然,招商银行与支付宝对文件证书保护的实现细节不尽相同,但是其设计思想是一致的,即把二维的文件私钥容器保护、用户密码保护进行扩充,增加了私钥容器所在硬件设备的识别。对于私钥容器所在硬件的变更,会发起用户私钥恢复的机制,该机制采用用户参与的方式,例如,回答系统侧保留的预留问题或者第二通信通道的短信确认码,系统验证后实现硬件设备的重新变更和注册。这样,把二维参数的安全变成四维参数安全,从而提高用户私钥的安全性。

手机终端侧的私钥保护不能单纯的借用PC的四维安全保护方式。原因在于,用户预留问题会严重影响手机终端用户体验,第二通信通道对手机终端而言已经不能称为第二通道。因此,手机终端私钥保护需要另辟蹊径,依据用户、容器、硬件、服务端四个维度设计出新的私钥保护方案。良好的文件证书私钥保护方案可以为手机支付客户端的安全保障提供有力的支撑,成为手机支付客户端成败的关键。

综上所述,手机支付客户端作为运营商和以银联为首的金融体系共同关注的焦点,关系到移动支付竞争格局的走向和成败。运营商或银联谁先提出具备良好用户体验的文件证书私钥保护方案,并依据数字证书能力为手机支付客户端提供安全保障措施的一方必定会赢得先机,拔得移动支付的头筹。虽然,移动支付不能毕其功于一役,但手机支付客户端事关各方博弈和角力的先机以及移动支付未来的格局,其结果值得拭目以待。

1、下载unrevoked3,3.21成功,115网盘下载的3.11失败
2、下载android USb driver
3、desire以usb调试模式接入电脑
4、执行unrevoked,按照提示等待,操作,成功
5、下载adb toolsroot explore

6、我使用root explore删除/system/app/maps.apk
7、 在pc使用adb时,需在superuser permession运行后menu键选中notification,adb shell su后desire提示需要root权限,允许后方能获取root权限,也可以用adb删除、卸载maps(我是后续才发现该问题,未用该方式)
8、叫兽的4.5.0版本安装提示不成功,下载burt 4.4版本
9、安装成功,进入地图后menu菜单选择更多,选择burt mod,force enable buzz后,图层中选择动态更新。

10、ok