银联技术部谈EMVCo移动支付标准的前世今生

　　EMVCo成立于1999年，最初有Europay，Mastercard和Visa三家成员，后来Europay又被Mastercard收购，于是三家股东变成两家。但随后，随着JCB、American Express、中国银联和Discover的依次加入，截止2013年6月，全球的六大卡组织已被EMVCo悉数收入囊中，于是它在“江湖”地位也越来越不可小觑了。众所周知，EMVCo起家的时候是为了统一接触式IC卡在全球的标准，所以在从1999年到2007年近10年的时间里面，EMVCo所发布的主要技术标准、白皮书、最佳实践、用户案例等等都是围绕接触式IC卡而展开的，并未“染指”其他内容。

　　全球移动支付市场的兴起 EMVCo小荷初露

　　然而，当时间进入2007年，移动通讯技术、智能手机平台的发展初露端倪，在手机上搭载移动支付应用逐渐成为支付产业发展过程中势不可挡的潮流，在这个潮流中，“如何把手机变成卡”这个话题直接被推到了风口浪尖，成为移动支付的核心话题。从EMVCo所专注的技术层面讲，这个核心话题其实包括三方面内容：一是NFC近场支付;二是远程支付;三是支付安全。

　　随着这一核心话题的提出以及全球移动支付市场的兴起(也许叫“混战”可能更合适)，做为全球银行卡领域首屈一指的标准组织，EMVCo感觉到市场和技术的发展在召唤一个统一的标准，来结束当时“百花齐放，百家争鸣”的技术模式给市场带来的困扰。

　　于是，2006年EMVCo成立了移动支付工作组(MPWG - Mobile Payment Working Group)，希望它可以带领这个万马奔腾的市场朝着一个明确的方向前进。在随后的2007年-2012年间，MPWG陆续发布了一系列围绕“手机现场非接支付”的技术文档。

　　首当其冲的是EMVCo White Paper onContactless Mobile Payment(EMVCo非接移动支付白皮书)和Contactless Mobile PaymentArchitecture Overview(非接移动支付架构)，这两个文档概括描述了当时非接移动支付的主流技术模式，指出非接移动支付主要的技术基础是NFC(近场通讯)和SE(Secure Element安全单元)，这个技术基础的表达传递出两个信号：一是手机非接支付要继承卡片非接支付的频率，以确保与全球存量非接终端的兼容性;二是透露出卡组织在移动支付方面对安全的诉求，他们的信心是以硬件为基础的，这一点也与国内监管机构的想法不谋而合。

　　除通过上述文档来阐述EMVCo对于非接移动支付技术架构的基本想法以外，MPWG还发布了ApplicationActivation User Interface – Overview, Usage Guidelines, andPPSE Requirements(应用激活用户界面-概述、使用指南和PPSE需求)去解决在手机上如何配置和管理SE上的多个应用，来体现客户对于默认卡片和卡片优先顺序的选择，同时规定了如何在SE上实现PPSE(Proximity Payment System Environment近场支付系统环境)，来确保手机与那些符合EMVCo Level2标准终端之间的兼容性。这个文档可以说起到了确实的作用，在诸多手机支付产品中都付诸了实现。

　　2010年，各卡组织还说服EMVCo发布了Handset Requirements forContactless Mobile Payment(非接移动支付对手机的需求)来对手机提出要求，目的是希望借助EMVCo这个全球性的标准组织去影响和推动手机厂商实现对NFC和SE的支持，因为这是卡组织推动移动支付最大的痛点，是他们最鞭长莫及的地方。然而2014年至今的市场发展情况看，手机厂商似乎并不买EMVCo这个“大牌儿”的账，基于SE的手机支付除了Applepay算是有点出息外，其他的风头都被HCE这个“伪娘”抢了去。这一点让EMVCo也有点儿始料未及，以致于现在也开始调转船头去支持HCE的发展。就像MPWG在2016年最新的一份AAUI草稿中所说的那样“As can be seen from theoriginal AAUI document, the mobile device and mobile payment landscape haschanged considerably and some of the ideas, concepts and predictions in theoriginal document have not materialized or have followed a different path. Anobvious example is software based payment – using Host Card Emulation (HCE) -which was not considered as a viable solution when preparing the originaldocument.”，这段话大概的意思就是：从最初制定AAUI到现在，移动支付并没有像我们预期的那样发展，最明显的例子就是HCE，我们开始写AAUI那会儿它还嗷嗷待哺呢。

　　与此同时，为推动卡片非接及手机非接支付的快速发展，EMVCo还在Level2工作组内，将各卡组织的不同的非接内核统统纳入EMV标准体系中，形成了EMV ContactlessSpecifications for Payment Systems. Book C. Kernel 1 -5Specification(EMV支付系统非接标准 C卷内核1-5)。您也许会问，4家卡组织怎么有5个内核呢?好吧，让我告诉你，Visa自己有2个。2013年随着中国银联和发现卡加入EMVCo，两大支付组织的非接内核标准也正式纳入EMV标准，成为上述系列标准的第6和7部分，这也是中国银联加入EMVCo之后可圈可点的功劳一件!

　　EMVCo：从技术框架建设到用户体验探究

　　如果说之前的七年，MPWG是在构建移动支付的基础技术框架，确定基本路线，那么2014年开始就是根据市场发展、技术发展情况修正框架和路线，同时在各种周边技术的带动下融入了更多客户体验和安全等方面的考虑。这些考虑进一步丰富和完善了EMVCo对移动支付的理解，也表达出在新的市场竞争形势下，在确保安全底线的前提下，支付组织把更多的目光转向了客户体验的提升上，因为他们已经深刻的意识到：移动支付的市场就是一个“你死我活”的竞技场，得“民心”者得天下，否则牌子再大也没用。

　　第一，提升外在体验，增强产品竞争力。

　　最近，如果你总是在关注移动支付方面的朋友圈，有没有觉得CDCVM这个词儿特眼熟?没错，就是Consumer Device Cardholder Verification Method，基于设备的持卡人认证方法。简言之：就是在用户自己的设备上完成用户身份的认证，最常见的认证方式就是指纹识别。在以往的支付过程中，持卡人的身份认证通常是由发卡行根据持卡人输入的密码、动态验证码、有效期等信息来完成的。

　　现在有了CD CVM以后，就可以由用户设备来代替发卡行行使持卡人身份认证的职能，当然最后交易能否获得授权还要看发卡行点不点头，设备只是把自身认证的结果传递给发卡行。就像你可以帮领导提供决策依据，但是你不能替领导做决策一样。这一功能的实现通常是基于指纹、声纹等生物信息的，无需用户再额外输入密码、有效期等其他信息，可广泛应用于线上、线下等小额支付领域，可以说是改善用户体验的必备利器!这样一个“杀手锏”EMVCo怎么会错过?!

　　不仅这样，考虑到一台手机上可能同时存在多个钱包的情况，MPWG还提出了shared CD CVM 的技术架构，使得用户设备上提供的CDCVM功能可以被不同的应用所共享。这可是MPWG工作组今年的一件大事儿，不过目前处于刚刚开始的初级阶段，想要干好不容易，还得借助如FIDO(Fast Identity Online)这样的国际组织的力量才能搞定设备厂商，但FIDO是否愿意买EMVCo的帐，这事儿还得看双方磋商的结果，咱们可以静观其变。

　　刚才我们提到，MPWG很遗憾市场的发展没有符合他们的之前预期，之前被认为会夭折的HCE颇有风生水起之势，为此，MPWG马上对其另眼相看，修改各类文档“以正视听”，其中修改最大的是Application Activation User Interface(AAUI用户激活界面)，这份文档将被拆分成requirementsof a PPSE implementation(PPSE实施需求)和Paymentapplication management whitepaper(支付应用管理白皮书(暂定名))，并在白皮书中特别对叠加了HCE以后的手机多应用管理方法进行了阐述，其出发点也聚焦在如何让客户感受最清晰，最方便。不过目前尚在讨论阶段，预计年内可以完成。

　　EMVCo下面有十几个不同领域的工作组，在提升移动支付客户体验方面，MPWG并“不是一个人在战斗”!由于技术领域的交叉性，其他相关工作组也在辛勤的付出着。这里可圈可点的有两个工作组：3DS2.0工作组(3DSTF-3 Domain Secure2.0 Task Force)和下一代工作组NGTF(Next Generation Task Force)。

　　3DSTF这个工作组的目标是：对VISA在2001年发布的3DS1.0标准进行全面升级，升级后的3DS2.0不仅支持基于浏览器的持卡人身份认证，同时也支持基于手机App的持卡人认证模式，为移动支付的远程交易提供了持卡人身份认证的手段。更重要的是：为提升客户体验，3DS2.0大胆引入了“基于风险评分的持卡人认证模式”，也就是说它可以通过基于对持卡人历史交易行为与支付设备信息等关联数据的分析，最大幅度减少不必要的持卡人身份验证，提升持卡人体验。

　　举个例子

　　一个妈妈习惯在每天临睡前打开手机App给买宝宝用品，她自己一直使用的手机上第5次在同一家网店买尿不湿。这时采用了3DS2.0技术的手机App可以把手机标识码、手机地理位置信息、选购时间、商户名称、物品名称等信息传递给发卡行，发卡行后台根据即可根据此前这位妈妈的消费记录和行为习惯对其身份进行验证，而无需用户再输入额外的信息，我们称之为“平滑模式”。

　　相反，如果当下所发生的消费行为与发卡行的行为记录不匹配的话，根据3DS2.0的机制，发卡行就会要求用户进入“挑战模式”，根据不同的发卡行风险控制策略，用户会被要求输入密码、或卡有效期、或动态验证码或通过人工客服等方式进行验证。当然什么情况下采用“平滑模式”，什么情况下采用“挑战模式”与发卡行的风险控制策略直接相关。如果风险控制的严，如匹配历史行为习惯的要素过多，就意味着持卡人要面对很多“挑战”，反之如果风险控制地过松，就有可能为不法分子提供了可乘之机，所以EMVCo在3DS2.0的技术标准中虽然提供了很多信息传送的可能性，但在具体实施层面还要看发卡行在安全与便捷之间的权衡。

　　另外有关3DS2.0还有一点值得关注：这个标准将于2016年底正式对外发布，且从2016年4月EMVCo新加坡顾问大会的情况来看，美国市场对这个标准还是很期待的，Visa、Mastercard也在不遗余力的进行推动。我们在这里不妨也思考一下，中国市场是否有可能或有动力向3DS2.0的思路上迁移?商户和银行会持怎样的态度呢?

　　EMV下一代工作组NGTF是如何为移动支付做贡献的。可以这样说：出台EMV下一代标准的一个重要的初衷就是通过统一各卡组织各自不同的接触和非接内核来为手机现场支付提供更好的客户体验。圈儿里的人都知道，由于历史的原因，目前的EMV规范里有7个不同的非接内核分别对应不同品牌的卡，给终端厂商开发测试、实施、维护增加了复杂度。而且由于不同的卡组织的内核只能与自己的非接卡进行交互，因此，想要成为一台全功能终端，需加载一个EMV接触式内核和7个非接内核。所以，EMVCo痛定思痛，决心在EMV下一代规范中实现“一个内核统领全球”的目标，全面提升终端对交易的受理能力。也正是因为如此，在实在感受到移动支付对线下受理环境的迫切要求后，欧洲地区非常期待EMV下一代标准，早在2015年，下一代标准还在编写过程中的时候，欧洲监管方就给EMVCo来函，要求6家卡组织给出各自在欧洲地区向EMV下一代标准迁移的时间表，这无疑是给NGTF打了一剂强心针，NGTF也将不负众望的在2016年底前正式发布全套EMV下一代标准并将于次年提供检测认证。据推测，该标准发布前后，各家卡组织都将陆续进入技术准备阶段，但至于现在哪里实施，实施的时间表如何，还要看每个市场的特点以及当地监管机构的要求。

　　第二，保障内在安全，引入新技术不断加固防线。

　　移动支付的安全是重中之重，是移动支付这个话题上亘古不变的主题。在这个主题上MPWG更不是一个人在战斗!

　　2015年到现在，HCE的兴起迫使MPWG对其加强了研究，继2015年底发布了EMVSoftware Based Mobile Payment Architecture(EMV基于软件的移动支付体系架构)之后，目前正在联合安全评估工作组SEWG(Secure EvaluationWorking Group)和安全工作组SWG(Secure Working Group)启动的“Software Based Payment End to End Security Assessment(基于软件的支付端到端安全评估)”，目标是对HCE整个支付过程的安全性进行评估，看来对这个“伪娘”还是不够放心哈。

　　在考虑将CD CVM引入移动支付进行用户身份验证方面，客户体验固然是重要的一方面，但另一方面，对安全的加固和风险防范也是不容忽视的。即便是在目前——关键技术和架构尚在讨论的初期——MPWG组内也已有初步共识，CD CVM的所涉及的生物信息的存储、运算以及签名等功能必须在TEE(Trusted Execution Environment可信执行环境)或SE(Secure Element安全单元)等安全执行环境中完成。

　　写到这里，如果这篇文章不加点token(标记化)的内容，你肯定会觉得太不带感了，不是吗?做为取代主账号的一种方式，Token，在强调安全的这个时代显得太重要了，移动支付自然也不例外。银联在其基于HCE的云闪付产品中通过TSP(Token Service Provider标记服务提供商)平台向手机HCE卡发放token，用于取代卡号，从而避免HCE这个软件环境带来的卡号泄露的安全隐患。银联云闪付的这一做法也与后来EMVCo发布的EMV Software Based Mobile Payment Architecture(EMV基于软件的移动支付体系架构)完全一致。除此以外，Token还可以与目前市场上因安全问题而饱受诟病但因着超预期的客户体验又蓬勃发展的二维码支付进行结合，来改善其先天不安全的“基因缺陷”。根据与市场的交流与反馈，EMVCo最近也在考虑把二维码和token“撮合”在一起，与token联姻之后，二维码是否能够迎来国际支付市场上的春天呢?我们不妨拭目以待。

　　第三，加强产业合作，借力推动产业发展。

　　众所周知，移动支付的产业链很长，卡片、终端、手机、APP、卡组织、运营商、银行等等，而且随着生物识别等越来越多周边技术向这个产业链的渗透，这个系统中的参与方越来越多，其所涉及的技术标准组织也很多。每个标准组织都有自己专注和擅长的那个领域，所以，在解决移动支付这个复杂的系统问题时，EMVCo借助了他强大的“朋友圈”的力量——不仅仅是标准上的专业性和权威性，更多的是对其所属领域产业参与方的推动力和领导力。

　　在EMVCo的朋友圈里，现在跟MPWG聊的比较热络的主要有GP(Global Platform)、FIDO(Fast IDentity Online)和PCI SSC(Payment Payment CardIndustry Security Standard Council)。目前，与GP的合作点主要在于怎样使得TEE能够为基于SE和HCE的移动支付提供更加安全的运行环境，并且就TEE的认证主体展开讨论;与FIDO的讨论主要集中在如何在FIDO的框架下融入EMVCo对生物识别的需求，比如脱机验证和在安全体系的建设等。至于与PCI SSC的合作，就是对各种技术方案的安全评估，目前的重点在于Shared Consumer Device Cardholder Verification Method Use Cases(共享CDCVM用户案例)和Software-basedMobile Payment Architecture(基于软件的移动支付体系架构)两个方面的安全评估，基于这些评估，EMVCo希望能够PCI SSC能够体会到支付新技术对安全的需求。

　　其实，我们可以强烈的感受到EMVCo在当下这个“怎么强调客户体验都不过分的时代”已经开始有点“着急”了，在技术标准上，对如何提升客户体验上可谓是挖空了心思，然而最终的产品体验、市场反映如何，还是让我们进入“敬请期待”的环节。