标记化(Tokenization)算不上一个新鲜词汇，2010年VISA、PCI相继发布账户数据标记化的最佳实践指南，由于其封闭性在业界的应用可以说“不愠不火”，但随着创新支付的快速发展，标记化再次成为业界焦点，EMVCo于2014年3月发布了支付标记(Payment Tokenization)框架，旨在通过制定全球通用的标准推动支付标记的应用和推广。本文将从支付标记所解决的问题、基础框架以及应用场景入手，通过对相关内容的浅析与读者分享。

　　一、概述

　　兼顾安全可信和用户便利是支付行业独有的特点，在创新的同时不能舍弃安全。“Tokenization”能得到快速的发展和应用，正是因为它在解决敏感信息保护问题的同时，对用户完全透明的操作让用户更加容易接受和使用。为避免混淆，结合规范的实际应用和工作机制，将“Tokenization”定义为标记化。采用传统的加密形式来实现数据保护有两个潜在弱点：加密结果的可逆性和密钥管理的复杂性。与加密方案有所不同，标记化是用数据替代的形式实现敏感信息的保护，不仅攻击者不能通过可逆的方法来获取原始数据，而且替代值的格式和结构可以同原有的数据完全一样，以减少对业务和应用产生影响。

　　二、现有加密方式的潜在弱点

　　确保一笔交易的合法性需要完成三个层次的认证步骤，一是持卡人的认证(确保为持卡人本人)，二是卡片认证(防止伪卡)，三是交易的合法凭证(防止交易抵赖)。但不论何种类型的交易，以卡号为基础的支付体系，卡号的传递和存储仍然给交易欺诈提供了生存的空间：

　　(一) 面对面有卡交易

　　由于磁条卡易被复制、无法认证的特点，诸如交易欺诈、卡片侧录等风险事件严重影响了银行卡的正常使用。EMV标准通过制定芯片卡和终端的全球通用安全框架实现了卡片和终端的动态认证，确保了受理环节的安全;但在认证之后，后续的交易环节仍未对账户敏感信息做到有效保护，比如：

　　· 授权中，请求数据由终端送至收单机构或发卡行的环节

　　· 授权后，授权数据被送回收单机构或商户系统环节

　　(二) 线上无卡交易

　　以互联网生态为基础的创新支付为用户带来了快捷和便利，但大部分创新支付基本是通过卡号和对应的敏感信息(有效期、CV2)来完成交易认证，其风险主要表现在：

　　· 如何确保用户连接到合法的商户

　　· 如何验证合法授权的用户

　　· 如何通过安全的通道将卡片数据送至商户

　　· 如何确保数据在网络设备之间的安全传输

　　· 如何确保合法交易的不可抵赖性

　　(三) 交易数据留存

　　商户或收单机构为了满足营销、数据分析等增值服务的需要，往往在交易授权完成之后，会将交易数据，甚至是部分敏感数据进行存储。权威机构的统计数据显示，92%的数据泄露是由于应用层和系统层的漏洞导致，因此这些关键环节的保护同样需要关注。

　　三、支付标记化技术的发展和应用

　　如何解决上述问题，在消除敏感数据，实现交易认证的同时，尽可能的确保与现有的支付体系兼容是标记化方案设计的出发点和核心思路。标记化的发展主要分为两个阶段：

　　第一个阶段是VISA和PCI提出的非支付标记(替代PAN的一组数值，可采用加密技术)，如FirstData和Cybersource为商户提供的标记化收单解决方案;但由于该方案面向某一封闭环境，在通用性和互操作性上的欠缺限制了该方案的推广。

　　第二个阶段是EMV提出的支付标记;该方案最大的特点是用Token参与整个授权交易流程，并尽可能确保通用性，从而解决了以卡号为认证基础的风险问题。

　　(一) EMV标记化框架简析

　　EMV标记化框架定义了系统架构(如下图所示)

　　该框架描述了现有支付产业中主要角色及关系，并新增了标记请求方(TR)与标记服务提供方(TSP)两个角色，共同为持卡人和商户提供标记服务。

　　(二) EMV标记化方案的特点

　　与PCI非支付标记方案有所不同，EMV标记化框架不仅防范了敏感信息的泄露，而且在确保交易风险控制的同时尽可能的与现有的支付流程进行融合。具体表现在以下两个方面：

　　风险控制方面：引入域控概念，标记的生成过程不再是简单的卡号替代，而是在替代过程中同步绑定了一组含有控制信息的参数，并且附带的交易控制信息可以确保标记在指定(申请)的域或渠道中被合法的使用。交易融合方面：基于ISO8583(现有银联转接系统报文使用的应用协议)与EMV芯片卡标准，扩展了报文域的用途，尽量使得数据元素最大程度复用现有报文域，仅在含义和取值上发生变化另外，标记的申请和分发面向一个合法注册的实体(标记请求方)，该实体需要在一个由EMV的认证和授权的可信第三方(标记服务提供方)进行管理，由标记请求方提供卡号替换、交易控制等相关服务。

　　(三) EMV支付标记生态链简析

　　如前文所述，EMV标记化框架中新引入了两个角色(标记服务提供方和标记请求方)，担任两个角色的实体可能是传统支付流程中的某一实体，也可能是一个新引入的实体。其中，标记服务提供(TSP)是该标记化框架的核心角色，它提供了标记的申请、生成、管理、去标记化等功能，包括标记请求方(TR)的注册和管理职责。根据不同的业务场景、受理渠道以及标记的应用域，TSP会制定与之配套个性化参数和控制措施，最终达到标记交易控制和风险识别。而TR则作为标记请求的实体向TSP申请标记，并同步管理需要应用标记的实体，如商户、持卡人等。下图概括性的展现了标记化的申请和处理流程

　　表1 支付标记生态系统中TR与TSP职责

　　1. 支付数据标记化的过程采用集中处理的方式(TSP为核心)，支付流程中的各参与方在标记生成和提取时，参与较少工作，在一定程度上控制了风险。

　　2. TSP处于标记化流程的核心位置，是唯一同各相关方均有接口的实体。因此TSP可以独立制定标记的控制策略和业务流程及规则。

　　3. 标记库主要用于标记的生成、管理和去标记化。因此，标记库需要管理有关标记的大量信息(域控信息和参数)，其安全性也至关重要。

　　4. EMVCo负责TSP的注册、授权和管理，并要求任何标记化系统按照要求的框架实现互操作性，比如各实体间的接口通用性、标记全球通用性等。

　　5. 可以将标记化方案视为一个支付数据的授权控制系统，标记作为经过TSP认证、签名并赋予有效期的支付凭证进行支付应用。

　　(四) 支付标记技术路线简析

　　1、业务流程层面

　　为了满足支付标记交易与现有卡号支付交易的通用性和互操作性，标记化框架是在现有支付报文和规范(授权、清算、差错处理)的基础上进行了扩展，仅增加了新的要素和报文域来实现标记交易流程中的控制。总而言之，EMV框架要求在提供标记化服务时，应满足以下两点：

　　● 如果需要对业务流程和实现机制上有小范围的扩展，那么需要对已有系统具备向后兼容的特点

　　● 用于标记管理的数据要素要同现有的报文域进行匹配

　　2、技术实现层面

　　按照标记化框架的描述，标记只能发布给一个合法注册的TR，在标记产生时会被分配一个用于进行风险控制和有效性验证的“担保级别”(TokenAssurance Level)。该担保级别则是根据标记发布后存储的位置(SE、远端服务器或者APP等)、应用的域(支付的渠道、场景等)等条件由TSP和TR最终协商而定。一旦标记的担保级别被确定，则需要通过一组识别和认证方法(ID&V)来执行持卡人或账户的验证，根据规范，不同的担保级别对应不同的ID&V方法，从而完成了对TR在标记请求时所提供信息的风险评估。至于ID&V具体如何执行，执行哪些步骤则由TSP自行定义。根据ID&V执行的结果，TSP会要求发卡行对持卡人进行授权操作。而以上这些信息在标记产生后，连同绑定关系一起被存储在一个安全的标记库中进行管理，当标记的支付应用中，实现标记域的控制和相关信息的验证，最终达到标记的在特定渠道的特定应用。

　　四、支付标记化技术的推广思路

　　基于Token的支付框架为无卡支付、移动创新支付提出了一个新的思路：在不影响正常业务处理的前提下，消除了商户，甚至是收单机构系统中的敏感数据，并实现了交易场景的验证。虽然EMV标记化框架为建设一个开放、平台化的支付标记系统提供了依据，但由于框架本身仅提供了技术思路和相关接口，仍有进一步细化和研究的地方：

　　● Token的担保级别在标记化应用中具有重要的作用，但目前由于规范还没有明确担保级别的相关细节和具体应用，且Token担保级别(00-99)的划分还存在很多模糊的地方。

　　● 新引入新的角色(TSP、TR)，必然会对现有的商业模式和风险责任的分担机制产生影响，但具体的划分机制还需要进一步研究。

　　● 有关Token请求、生成和管理时用到的协议仍需进一步研究。

　　过长的产业链条、复杂的支付流程，以及关系到资金账户的安全，确定了支付行业必须在便利和安全之间寻求平衡。支付标记框架为支付敏感信息提供了一个端到端的安全解决方案，为创新支付提供了新的思路和应用，虽然框架本身仍存在有待细化的内容，但其轮廓已逐步清晰，并开始在支付产业崭露头角。