月度归档:2020年04月

聊聊身份认证

## 概念

身份认证,简单说就是证明你是 “你”,“本质是一个概率问题”,目的是 “确保操作(交易)是客户真实意愿的体现”。

## 分类

身份认证通常有三类要素:一是所知(Something only the user knows),比如密码、安全保护问题等;二是所有(Something only the user has),比如验证码、U 盾等;三是所是(Something only the user is),比如指纹、人脸、虹膜、掌纹、静脉等生理特征和键盘按键行为、鼠标移动轨迹、笔迹、指压、声纹等行为特征。

每类要素都有不足,所是采集、认证技术要求较高;所有容易丢失、被钓鱼;所知容易忘记、被破解。其中所是安全性最高,所知和所有要看具体情况,前段登录 Google 收到提醒:“我们不再支持通过安全问题访问帐号,建议您添加辅助电话号码或辅助邮箱地址,以便确保您的帐号安全无虞”,说明 Google 认为验证码比安全问题更安全,或许因为前者动态后者静态。

## 具体方式

1、密码

混合密码,开始于 PC 时代,最好是 8 位以上字母数字混合,百度、支付宝都是这么要求的,按其中最简单的组合来看,猜对概率是 1/(52×10^7)。

数字密码,银行卡密码多是 6 位数字,猜对概率是 1/1000000。2013 年 8 月上线的微信支付也使用 6 位数字作为支付密码。2014 年 1 月支付宝 8.0 版为从线上走向线下将支付密码由 PC 时代的长密码改为 6 位数字短密码。2015 年 9 月苹果发布 iOS 9,也将解锁密码由 4 位升级为 6 位。

手势密码,因为安卓手机而普及,后来金融类应用大都上线了手势密码辅助登录。手势密码一般要求至少连接 4 个不同的点(3024 种可能),同时连续输错 5 次即需要重置,猜对概率是 5/3024。2013 年支付宝出现过一个飞行模式下可重置手势密码的漏洞,侧面说明测试的重要性。

2、验证码

邮箱验证码,4-6 位字母或数字,PC 时代使用更多。短信验证码,4-6 位数字,移动时代逐渐流行,现在部分应用甚至已经主推短信验证码登录,都无需设置密码。是否采用该方案要看业务类型、产品的整体风控能力和赔付方案,如果能应对,就可以 “把简单留给用户,复杂留给自己”。

动态口令,6 位数字,有硬件设备如网易将军令、中银 e 令等,也有软件如 Google Authenticator、百度帐号管家、QQ 安全中心等。

3、业务数据

个性化且有趣,比如微信的联系人、支付宝的好友 + 淘宝收货地址 & 购买商品、京东的收货人姓名 + 地址等。至于猜对概率,以 2017 年支付宝熟人可改登录密码漏洞为例,正常情况下是 1/81,熟人情况下更高。由于有些人的好友未必有 9 个且未必是真实头像,方案的普遍性和验证效率也有欠缺。

4、指纹

2013 年 9 月苹果发布 iPhone 5s,支持 Touch ID,同时宣称其误识率是 1/50000,再后来,华为、小米等厂商也上线了指纹功能。

5、人脸

2015 年 11 月支付宝 9.3 版上线刷脸登录,2017 年 9 月苹果发布 iPhone X,支持 Face ID,同时宣称其误识率是 1/1000000,再后来,华为、小米等厂商也上线了人脸功能。商用方面,支付宝蜻蜓、微信青蛙、银联商务蓝鲸等刷脸支付产品已进入线下(如味多美),暂未尝试,不过体验过火车站(如北京西站)的刷脸过站,识别速度和准确率还不错。

6、智能判断

比如支付宝风控系统对用户的行为特征包括设备、时间、位置、操作、消费习惯等进行建模,概率上判断是否是你。由于特征采集非用户侧发起,更多地用于风险判断,不直接用作身份认证。

## 产品设计

身份认证的方式在不断演变,不变的是根据不同操作风险程度采取不同认证方式的处理思路:低风险单因素认证,中风险双因素认证(2FA,比如 GoogleApple 的两步验证登录,一步密码,一步验证码),高风险多因素认证(MFA),需要注意的是流程中不要出现死循环。对于风险的判断,早期是人工,现在是风控系统智能判断,风险低认证就简单点,当然前提是合规且不影响用户的安全感。

合规层面,人行在 2015 年 12 月发布的《非银行支付机构网络支付业务管理办法》(中国人民银行公告〔2015〕第 43 号)提到:“支付机构可以组合选用下列三类要素,对客户使用支付账户余额付款的交易进行验证:(一)仅客户本人知悉的要素,如静态密码等;(二)仅客户本人持有并特有的,不可复制或者不可重复利用的要素,如经过安全认证的数字证书、电子签名,以及通过安全渠道生成和传输的一次性密码等;(三)客户本人生理特征要素,如指纹等。”

安全感层面,之前讲过产品设计是安全性和便捷性的平衡,但严格说是安全感和便捷感的平衡,因为用户接受了才算。比如曾经修改支付宝登录密码,点击后相关选项后直接就让我设置新密码(可能是考虑用户在常用设备上操作),当时就慌了,因为流程太简单,担心别人也可以这么轻易地改掉我的密码,后来支付宝增加了页面加载提示 “正在检测安全…”,感觉就好多了。

产品设计为业务发展服务,2015 年支付宝 9.0 版从移动钱包转型为社交生活平台,为提高应用打开速度取消手势密码,结果被网友群槽,支付宝于是改为提供不启用、启动支付宝时启用、财富和我的页面启用三个选项供用户选择。不知道后续整体数据如何,但我自己经此过后没再用过手势密码。

支付宝一直是我的主力支付工具,使用频率高于京东支付、微信支付等,个人非常喜欢支付宝曾经的一句口号:“因为信任,所以简单”,当然我们也知道有句俄罗斯谚语:“Trust but Verify”。

## 扩展阅读

1、问答:如何看待支付宝可能出现的登录漏洞通过短信验证码验证身份是否安全解锁手势密码的正确姿势为什么银行业务不能完全取消柜台
2、文章:身份验证和识别 (ID&V) 的内涵和外延支付安全感的设计思考

从跨行转账看国内支付系统

## 案例

关于跨行转账业务,先看一条历史新闻:“央行日前发布了 2014 年支付清算系统运行维护安排的通知,明确 2014 年春节期间安排支付清算系统停运 1 次。停运期间,小额支付、网上跨行汇款等业务将受到影响。央行通知指出,1 月 30 日 16:00 至 2 月 2 日 18:30,暂停运行小额支付系统、网上支付跨行清算系统和全国支票影像交换系统;1 月 30 日 20:00 至 2 月 2 日 20:00 暂停运行电子商业汇票系统。根据央行的公告,只要是涉及到跨行的业务,括网银跨行汇款、手机银行跨行汇款等,可能都要受到影响。特别是跨行转账,市民最好不要使用网银。

暂停期间可用转账渠道:ATM,ATM 渠道属于银联系统,不受影响。如果 A、B、C 三家银行均开通该服务,持卡人使用 A 银行发行的银联卡,可在 B 银行的 ATM 机上,向 A、B、C 银行的银联卡转账,资金可实时到账,转账限额为每日 5 万元,转出卡须为银联借记卡;支付宝,由于支付宝的系统和业务绝大部分采取和银行直连的形式进行,因此央行系统维护不会影响其基本业务。通过支付宝依然可以直接向工、农、中、建、招等十几家全国性银行的银行卡转账。”

## 支付系统

想了解我国的支付系统,最权威的方式是到中国人民银行官网下载一份支付体系运行总体情况文件,具体文件中都有提到,正是这些系统在背后支撑着我们日常生活中的各种支付活动。

1、大额实时支付系统(HVPS)
主要面向银行,银联和网联作为特许参与者接入。

上线时间:“2002 年 10 月 8 日投产试运行,2005 年 6 月 24 日推广至全国。”
工作时间:受理业务时间为 T-1 日 20:30-T 日 17:15(T 为法定工作日,指非节假日的周一至周五),金额无限制,实时到账,如在工作时间外,下一工作日到账;清算窗口时间为 T 日 17:15-17:30,期间资金不足的系统参与者可以筹措资金完成未完成的业务。
转账要求:需要提供联行号(即选收款方开户银行网点),按笔计费,单笔 5 元(针对系统参与者,非最终的用户如你我,下同)。

2、小额批量支付系统(BEPS)
主要面向银行,银联和网联作为特许参与者接入。

上线时间:“2005 年 11 月 28 日投产试运行,2006 年 6 月 26 日推广至全国。”
工作时间:7*24 小时,单笔上限 100 万,小额支付系统收到支付业务信息批量包后实时轧差,“银行收到已轧差的贷记支付业务信息时应当贷记确定收款人账户”,资金定时清算。对于用户,接近实时到账,因为现在银行组包、入账速度都很快。
转账要求:需要提供联行号,按批次计费,平摊下来单笔低于 0.5 元。

3、银行卡跨行交易清算系统(CUPS)
也称 “银行卡跨行支付系统”,由银联开发,主要面向银行。

上线时间:“2004 年 12 月,银联自主研发的中国第一代银行卡信息交换系统正式投入运行。”
工作时间:7×24 小时,金额无限制,实时到账,资金 T+1 日划拨。
转账要求:收款方需为银联卡,“手续费最低可至 0.2 元 / 笔”。

案例中的解决方案 1 可行是因为 ATM 走的银行卡跨行支付系统,T+1 日银联再通过大额系统划拨资金给银行,在资金真正到达银行前收款方如有取现,银行先行垫付。再个,目前,银联也对外提供贷记产品,银行和第三方支付公司(支付宝等)可接入,对于用户,“7×24 小时,单笔和批量付款的金额上限 1000 万,实时到账”,技术原理可参考《银联 VS 网联 系统差异到底在哪》

4、网上支付跨行清算系统(IBPS)
即超级网银系统,主要面向银行。

上线时间:“作为第二代支付系统的核心业务子系统,已于 2010 年 8 月 30 日先期投产运行,并于 2011 年 1 月 24 日推广至全国。”
工作时间:7*24 小时(偶尔维护),单笔上限 100 万,“实时入账、定时清算”
转账要求:支持银行数 150+(不是所有银行都接入了该系统),一定条件下免费(见 392 号文)。

5、非银行支付机构网络支付清算平台(EPCC)
网联开发,主要面向第三方支付公司。

上线时间:“2017 年 3 月 31 日,平台启动生产环境试运行,完成首笔跨行资金交易验证”
工作时间:7*24 小时,金额无限制,实时到账,资金在大额系统工作日 9:00 和 15:00 给银行清算,在资金真正到达银行前收款方如有取现,银行先行垫付。
转账要求:暂未明确收费规则。

案例中的解决方案 2 可行是因为支付宝等第三方支付公司和银行直连,其中大支付公司对接的银行数量多一些,如果付款和收款所属的两家银行支付宝都有对接,那么它就可以将一笔跨行转账拆分为两笔行内转账,由于银行行内系统 7*24 小时运行(也会维护,时间多在凌晨),因此用户可以转账成功。支付宝在其中几乎没有成本,同时承担了事实上的清算任务。

10 号、45 号、248 号、114 号、238 号文后,2019 年 1 月 14 日第三方支付公司开在银行的备付金账户基本注销,备付金改为存入人行(在人行 ACS 系统开设备付金账户),至此方案 2 成为历史。支付活动还在继续,人行将清算的任务安排给了网联,第三方支付公司和网联对接,网联再和银行对接,由网联完成清算。网联的创建在于完善监管,对用户基本没影响。

## P.s.

以上就是跨行转账业务背后的主要支付系统,当然根据具体银行还会涉及城市商业银行汇票处理系统和支付清算系统、农信银支付清算系统以及同城清算系统如深圳金融结算系统、广东金融结算服务系统等,不展开,同时由于限定为人民币银行结算账户间互转,不涉及全国支票影像交换系统(CIS)、同城票据交换系统(ACH)、境内外币支付系统(DFCPS)和人民币跨境支付系统(CIPS)等。

当前作为用户的我们进行跨行转账操作,要么通过银行(含 ATM)、POS 机,要么通过第三方支付公司。基于业务定位、成本、反洗钱等考虑,每个渠道都会单独做一些限制,以支付宝为例,只支持转账到个人银行账户,“单笔 5 万元、单日 20 万元”,同时实际可支付额度还与付款方式(支付账户余额、余额宝、银行卡等)涉及的规则、实时风控规则等有关。

从政策、系统的演变可以看到国内支付系统越来越成熟,对用户越来越方便,未来还会有新变化,但只会更加方便。对于第三方支付公司,支付能力开始底层化,不再是核心竞争力,对上层业务、对用户(包括 C、B 和 G)需求的理解和把握才是 PK 的重点。最后,感谢 @龚老师 帮忙审核并借用他的一段话作为结束:“近二十年支付行业的发展从落后的基础建设到唾手可得的多元体系,同时伴随着科技水平的不断提升,形成工商、交通、税务、银行账户等全方位的金融体系覆盖的监管网络,如何顺应整体科技发展,做好系统间融合成为支付后时代的发展关键。”

## 政策清单

-《中国人民银行关于加强支付结算管理 防范电信网络新型违法犯罪有关事项的通知》(银发〔2016〕261 号):“増加转账方式,调整转账时间。自 2016 年 12 月 1 日起,银行和支付机构提供转账服务时应当执行下列规定:1. 向存款人提供实时到账、普通到账、次日到账等多种转账方式选择,存款人在选择后才能办理业务。”

-《中国人民银行办公厅关于调整大额支付系统运行时间有关事项的通知》(银办发〔2017〕238 号):“自 2018 年 1 月 22 日起,大额支付系统实行 5X21 小时运行。开始受理业务的时间由每个法定工作日(T 日)8:30 调整为前一日(T-1 日)23:30,业务截止时间(清算窗口开启时间)由每个法定工作日 17:00 调整为 17:15,清算窗口时间调整为 17:15 至 20:30。”

-《中国人民银行办公厅关于调整大额支付系统和人民币跨境支付系统运行时间有关事项的通知》(银办发〔2018〕83 号):“自 5 月 2 日起,大额支付系统在法定工作日开始受理业务的时间调整为前一自然日 20:30,每日清算窗口时间调整为 17:15 至 17:30。每个法定工作日 8:30 之前,各直接参与者可自愿登录系统办理业务,接收清算行对于每个法定工作日 8:30 之前通过大额支付系统接收的业务,具备入账条件的应及时入账;需要人工干预的,应于当日 12:00 前完成处理。”

-《中国人民银行办公厅关于调高小额支付系统贷记业务金额上限的通知》(银办发〔2010〕52 号):“自 2010 年 5 月 4 日起,小额支付系统普通贷记和定期贷记业务金额上限由 2 万元调整到 5 万元。”

-《中国人民银行办公厅关于调整周末及法定节假日期间小额支付系统普通贷记业务限额的通知》(银办发〔2015〕147 号):“中国人民银行决定自 2015 年 7 月 11 日起,将周末(周六、周日)及法定节假日(以下统称节假日)期间小额支付系统普通贷记业务的限额调整为 50 万元 / 笔。”

-《清算总中心关于优化支付系统部分业务处理渠道的通知》(银清办发〔2019〕115 号):“自 2019 年 11 月 28 日 21:00 起,对于单笔金额 0-100(含)万元的货记业务,可同时通过大额支付系统、小额支付系统、网上支付跨行清算系统处理”。

-《中国人民银行关于改进个人银行账户服务加强账户管理的通知》(银发〔2015〕392 号):“鼓励银行对存款人通过网上银行、手机银行办理的一定金额以下的转账汇款业务免收手续费。实行部分或全部免收费的银行须将具体方案报送人民银行。自 2016 年 4 月 1 日起,对于未报告的银行和未实行免收费的业务,人民银行将不再对其通过网上支付跨行清算系统办理的相应业务免费。”

-《关于非银行支付机构网络支付清算平台渠道接入工作相关事宜的函》(网联函〔2018〕042 号):“商业银行可对网联平台在生产测试环节中转发的交易设置金额上限”。

## 扩展阅读

1、中国现代化支付系统和银联跨行支付系统是不是一回事
2、大额支付系统为何要在 17:00(现在是 17:15)关闭
3、网上支付跨行清算系统与大小额支付系统有什么区别
4、为什么人行系统放假停运,ATM 跨行转账不受影响
5、为什么要有这么多种支付系统
6、如何理解借记和贷记

网易严选有什么值得买?

## 衣
1、家居拖鞋:夏季和冬季款都不错。
2、牛仔裤:弹力十足,舒适度高。
3、保暖内衣:轻盈保暖。

## 食
1、鲜椒酱:提味。
2、懒人抹布:擦锅。
3、洗菜篮:“浸洗&沥水” 二合一。

## 住
1、垃圾桶+抽绳式垃圾袋:开始觉得有点大,现在看还行。
2、泡沫洗手液:香味不错。
3、收纳箱:装衣服。

## 行
1、洗漱包 +旅行收纳包:再也不用因为购物袋而去物美。
2、颈枕:坐汽车火车飞机都需要,貌似仿 MUJI,但价格更美丽。
3、行李箱:20 寸登机方便,纯 PC 铝框手感一般,退了再买的全铝镁。

## P.s.
1、网易严选用户将满 4 年,会员将满 2 年,消费次数在盒马之前仅次于京东,因此还是比较有发言权的,部分内容在《生活管理之衣服鞋包》中提过,本次算是番外篇。
2、对于用户,网易做到了严选,节省很多时间,商品质量也还不错。如果将非标商品按 “品质&价格” 从低到高分为五档,可以简单粗暴地认为拼多多第一档,淘宝第二档,京东第三档,网易严选第四档,线下商店如 MUJI 等第五档。