王昌达，董雪刚，周从华

1.江苏大学计算机科学与通信工程学院，江苏镇江 212013

2.常州江苏大学工程技术研究院，江苏常州 213164

基于UCON的网络银行在线支付及其安全性分析

王昌达1，2，董雪刚1，周从华1，2

1.江苏大学计算机科学与通信工程学院，江苏镇江 212013

2.常州江苏大学工程技术研究院，江苏常州 213164

通过分析现有网络银行在线支付特点及安全保护机制，发现其支付过程仍存在身份冒充、权限泄露和支付不灵活等问题。针对这些问题，提出使用控制模型UCON的网络银行在线支付模型，制定动态的授权规则和灵活的支付策略，并对提出的策略进行详细描述。通过使用模型检测工具NuSMV进行安全性分析，证明该策略符合网络银行访问控制的安全性和方便性需求，且能够弥补现有系统在身份认证机制和支付行为使用控制方面的不足。

网络银行；访问控制；支付安全；使用控制；模型检测

1 引言

网络银行是基于因特网或其他电子通信网络手段提供各种金融服务的银行机构或虚拟网站[1]。网络银行的在线支付功能涉及客户端、服务器端、通信及内部网络等安全问题，关键技术包括加密技术、认证手段及安全应用协议。常用的认证方法包括随机密码、随机密码+ SSL传输、PIN短密码、Grid Card、短信（SMS）接收动态密码、token和公钥基础设施（Public Key Infrastructure，PKI）[2-3]等。目前对于如何保护用户、商家及银行三方利益的业务流程和安全技术、支付体系和支付协议，已有充分的研究和关注[4-7]。这些研究多涉及认证方法或传统访问控制策略，其优点是能够有效保护信息安全性和完整性，授权管理相对灵活，不足之处在于缺乏客户端的使用控制和对支付权限的过程控制。……