安全支付

（2006-08-03）

有这么一个脑筋急转弯题：什么东西每个月都要来一次？答案是：公用事业费帐单。

支付这个帐单实在是一件麻烦事，以前我都是到银行去交的，后来附近的银行都开始不收或变相不收（改用自动交费机）了。以前我还用过招行的网上银行支付过电话费的，不过后来不知道什么时候就没有这个功能了。幸好后来在附近一个小区找到一个社区收费点，可以代收公用事业费。

其实上海有一个公用事业费的支付网站：962233.com。常在公用事业费帐单上看到这个网站，前两个月去试了一下，除了需要注册什么的一堆麻烦事以外，最关键的是它的支付过程全是在它的网站上进行！！也就是说：

你要在它的网站上输入你的银行卡号和密码，然后由它向银行收钱。

对于电子商务来说，这是一件极其危险的事情！！！

正常的电子商务支付接口应该是这样：

你在一个电子商务网站完成一次交易时，网站产生一个订单，然后把订单相关信息通过银行网关提交给相应银行的网站，然后页面就转向这个银行的网站，由银行产生一个支付页面，用户在这个银行的网站上输入卡号密码完成支付。订单逻辑与支付逻辑是分开的，并且是分别在电子商务网站和银行网站进行，支付的安全性由银行网站保证。这才是安全的支付方式。

这两种支付方式的区别如下：

不安全的支付： 用户输入卡号密码 => 商业网站 => 银行
安全的支付：商业网站产生订单 => 银行 => 产生支付页面 => 用户在银行的支付页面上输入卡号密码 => 完成支付

可以很明显地看出，不安全的支付情况下，商业网站可以得到用户的卡号和密码；而安全的支付则只有银行会知道——它本来就知道。当然用安全的支付方式，用户必须多出一步操作，在确认订单后还要到银行网站上进行一次支付操作。而用不安全的方式则可以一步完成。

这里的危险性在两个方面：第一、一般商业网站的安全性并不高，有些甚至没有使用https，更不要说足够安全的电子证书了，这样在网上传输的这些信息就可能被黑客截取，但网上银行都是有提供足够的安全机制的（当这个962233还好是用https的）；第二、谁也不能保证这些商业网站是不是私下里记录了用户的卡号和密码，就算这些网站保证不用于其它用途，但没人能保证这些网站的每个工作人员都是可以放心的。

从现在上海几乎所有的公用事业费都可以在这个网站支付这一点来看，这个网站肯定是有政府背景的，从它网站上的介绍大概可以确定这种猜测。

应该说这个网站还是比较专业的，联合了包括各大银行和各公用事业单位搞了这么一项便民工程，我相信他们在安全性问题方面也是能够达到银行级的。否则各大银行不会开放这么一个不安全的支付接口给他们。可以相信在这个网站上的支付过程应该是安全的──我估计至少要按这样的结构：

首先银行的这个专用接口肯定是非公开的，而是通过VPN之类的安全连接方式与该网站直接连接通讯。用户在该网站输入的卡号密码会通过这个安全通道直接送到银行。并且用户在该网站输入密码也是通过如银行网站一样的安全控件──已经确定这个是有的，只可惜也是ActiveX。

但是我仍然反对这种做法。

因为这种支付方式一旦被对技术并不了解的用户所习惯的话，难说不会有人恶意用这种方式进行诈骗。其实这个付费网站本来就是一种付费卡业务，完全可以用正常的电子商务流程通过网上银行购买付费卡存在该网站帐上，然后通过付费卡付费──这种操作方式实际上更方便，因为可以将付费卡与用户帐号绑定。

我不知道是他们没有想到这样的方式，还是某些弱智领导提出这种变态要求──以我的经验看，后者的可能性更大。