基于拉卡拉的第三方支付调研报告.docVIP

基于拉卡拉的第三方支付 调研报告 Halakala 小组 我们是谁 ? Halakala 周正博 李苏媛 颉恩泽 朴海彤 张金晶 韩雯 拉卡拉是什么 ? 中国最大的线下支付公司 联想控股旗下金融服务企业 中国银联战略合作伙伴 50余 家商业银行的战略合作伙伴 百家知名品牌连锁企业的金融服务战略合作伙伴 在 27 个城市设有分公司 ，便利 支付 点覆盖 256 个城市 框架 我们需要 … 第三方支付 什么是第三方支付 ? 独立于电子商务网站，由第三方投资机构为网上签约商户提供围绕订单和支付等多种增值服务的共享平台 ， 提供支付产品和支付系统解决方案 拉卡拉付款机 拉卡拉的功能 拉卡拉支付流程 拉卡拉支付具体流程 拉卡拉系统分析 客户端： POS 机 服务器端：信息处理中心 银联服务器：资金处理 与传统的基于 B/S 模式的线上第三方支付手段不同，“拉卡拉”采取的是线下的支付 C/S 模式，其中，一个类似于 POS 机的终端机作为“拉卡拉”系统的客户端，“拉卡拉”的服务器端是一个信息处理中心，用来进行终端机发来的信息处理，并连接银联的服务器进行资金的转移，把处理结果发送回终端机。 从图中我们可以发现，“拉卡拉”的业务重点是对于数据的搜集，传输以及整理，而还款的资金流动却没有经过“拉卡拉”，这也是“拉卡拉”不同于支付宝、财付通等传统第三方支付手段的地方。这样， “拉卡拉”的技术核心就与资金的处理分开了，使“拉卡拉”的技术专注于终端机的安全性和数据传输的安全性上，复杂的资金流动操作就交给了银联公共平台 。这种设计，不论对于整个系统的开发上，还是对于系统的维护上，都提供了大大的便利。但是，由于“拉卡拉”是线下支付平台，技术上又不得不涉及到了 POS 机的设计。 拉卡拉系统时序图分析 以信用卡还款为例 拉卡拉系统风险分析 风险 终端机风险 传输过程风险 服务器端风险 终端机风险 “拉卡拉”的终端机很容易被不法分子利用，安装读卡器，仿真卡槽，微型摄像装置等侧录工具，使持卡人卡片上的磁道数据进行交易时被非法窃取和复制，从而克隆卡片。 传输过程风险 “拉卡拉”的终端机向服务器端传输信息的过程中，有可能被人截获信号进行攻击，攻击者可以截获用户的个人银行卡信息或者是伪造信息发送给服务器 为了解决这种问题，“拉卡拉”的终端机在传输之前，在物理安全的设备中，对 Pin 进行加密处理，使得攻击者在有限的时间内，无法对于传输的信息进行解密处理 服务器端风险 “拉卡拉” 服务器起到了消息处理和转发的作用，将从终端机获取的信息经过处理以后转发到银联的公共交易平台中，在整个还款的过程中，“拉卡拉”服务器不接触任何 资金 流通，而是在银联的公共交易平台中进行完成，大大提高了“拉卡拉”的安全性。 7/aB style=color:white;background-color:#8868004.31/a.1 终端机风险 由于“拉卡拉”终端机的特殊性，它不像在线的支付平台那样的在需要的时候才在浏览器中建立，当 session 结束的时候就完全消失在了浏览器中，也不像银行的 ATM 机那样有着摄像头的 24 小时监视，“拉卡拉”的终端机很容易被不法分子利用，安装读卡器，仿真卡槽，微型摄像装置等侧录工具，使持卡人卡片上的磁道数据进行交易时被非法窃取和复制，从而克隆卡片。 B style=color:white;background-color:#8868004.3.2 传输过程风险 “拉卡拉”的终端机向服务器端传输信息的过程中，有可能被人截获信号进行攻击，攻击者可以截获用户的个人银行卡信息或者是伪造信息发送给服务器，这样有可能对用户或银行造成巨大的损失，为了解决这种问题，“拉卡拉”的终端机在传输之前，在物理安全的设备中，对 Pin 进行加密处理，使得攻击者在有限的时间内，无法对于传输的信息进行解密处理。 B style=color:white;background-color:#8868004.3.3 服务器端风险 所有的服务器都存在着被攻击的危险，在“拉卡拉”体系中，服务器起到了消息处理和转发的作用，将从终端机获取的信息经过处理以后转发到银联的公共交易平台中，在整个还款的过程中，“拉卡拉”服务器不接触任何金钱流通，也就是说，与支付宝等第三方交易平台中钱需要在交易平台中经过不同，在“拉卡拉”中进行还款的资金流并不通过“拉卡拉”系统，而是在银联的公共交易平台中进行完成，这就大大提高了“拉卡拉”的安全性，即使服务器受到攻击，也会将损失减小到最低点。 支付宝 国内最大的第三方支付平台 初衷 ： 解决网络购物时买卖双方间的诚信问题 特点： 简单、安全、快速 服务范围 ： 涵盖网络购物、生活缴费、在线订 票、收付款、投资理财等等 用户 ： 具备网上消费习惯