當我們要在電腦中使用財付通進行付款的時候，就需要安裝財付通安裝控件才可以，可是有不少win7系統用戶發現在電腦中安裝完成財付通后，使用過程中經常會彈出財付通控件不能正常工作的提示框，關閉之后下次執行還是會彈出，很是煩人，為此這就給大家講解一下win7電腦中使用財付通提示數字證書控件未能正常工作的解決教程。
解決方法1、
1、想要解決這個問題，首先要在我們的殺毒軟件或安全軟件中設置一下。這里我使用的是360，打開360，找到上面的“優化加速”選項。（其他軟件也是這個道理）
2、在“應用軟件服務”這一項中找到“騰訊財付通的服務”這一項，注意這一項要的設置是啟用的，否則就會一直彈出上面的對話框。
解決方法2:
1、除了上面的方法外，我們還可以用管理員身份運行我們的電腦；
2、在左邊找到“服務和應用程序”“服務”里面找到“Tenpay Certificate Service”這項；
3、然后右擊選擇開啟就可以了。
上述便是win7電腦中使用財付通提示數字證書控件未能正常工作的詳細解決方法，大家可以參考上面的方法來解決吧。
《金卡生活》雜志
中國銀聯 主管主辦
理論研究 實務探討
長按二維碼關注我們
原創 / 朱浩然 楊陽 尹亞偉
作者供職于中國銀聯電子支付研究院、電子商務與電子支付國家工程實驗室
編者按
在不借助傳統安全控件的基礎上，尋找確保用戶賬戶資金安全的替代方案。為此提出了基于可信執行環境方案以及多因素身份認證方案，從根本上避免了惡意軟件對用戶鍵盤輸入的盜取給賬戶安全帶來的隱患。
一般而言，安全控件是指為了提升支付用戶賬戶安全，防止賬戶密碼等敏感信息被木馬或病毒等惡意軟件盜取的客戶端程序。安全控件一般體積較小，功能單一，由瀏覽器下載安裝并加載，從而提供服務。
安全控件的由來。在線上支付發展的初期，由于缺乏完整的信用體系做基礎，線上支付業務的完成一般而言是模仿現金交易的行為。根據相關的法律法規規定，支付密碼是銀行卡支付的主要依據，通過支付賬號和支付密碼就可以進行支付指令的確認。
在這種情況下，在線支付網站上線之后，發生了很多用戶密碼被盜，從而導致賬戶資金損失的情況。很多木馬病毒程序可以在感染了用戶的電腦之后，盜取用戶的支付賬號和支付密碼，從而模仿用戶完成支付動作，盜取用戶資金。
在此基礎上，在線支付網站的安全開發者提出了使用安全控件保護用戶賬號密碼的方案。也就是當用戶在瀏覽器里進行支付動作的時，使用自定制的密碼輸入控件替換掉瀏覽器提供的標準密碼輸入控件，從而避免木馬病毒對用戶賬號密碼的盜取，保護用戶資金安全。
從此之后，隨著支付網站業務和技術的發展，有個別的廠商對于安全控件進行了更新和升級，在保護用戶密碼不被竊取的基礎上增加了更多的功能，如密碼加密、環境運行檢測、收集信息等。
安全控件的功能。通過對業界安全控件的研究和分析，安全控件的主要功能有：
一是防止木馬通過監控鍵盤記錄獲取支付敏感信息。安全控件的主要功能就是避免木馬病毒程序在感染了用戶的電腦之后，通過對窗口句柄的掃描，對瀏覽器密碼輸入框的特殊窗口屬性進行獲取，盜取用戶的支付賬號和支付密碼。
二是對支付敏感信息的明文進行加密。安全控件還可以實現對客戶端用戶密碼的加密保護，保證用戶的敏感信息輸入不會在客戶端被惡意程序獲取。
三是結合業務提供其他安全功能。現在的安全控件在提供鍵盤輸入保護、密碼加密等功能之外，還提供了一些和業務相結合的功能，如客戶端信息的收集，用戶行為的分析等。
傳統安全控件模式
傳統的安全控件是以瀏覽器插件的形式提供服務的，根據瀏覽器內核的不同，一般分為兩種，分別是以IE瀏覽器為代表的Trident內核瀏覽器的ActiveX插件和以Chrome為代表的其他內核瀏覽器NPAPI插件。
ActiveX插件。根據微軟權威的軟件開發指南MSDN（Microsoft Developer Network）的定義，ActiveX插件以前也叫做OLE控件或OCX控件，它是一些軟件組件或對象，可以將其插入到WEB網頁或其它應用程序中。
ActiveX插件技術是國際上通用的基于Windows平臺的軟件技術，它可以以瀏覽器插件的形式調用操作系統的本地API，從而完成普通Web應用程序沒有權限使用的功能。例如，普通的Web應用程序無法調用操作系統鍵盤Hook，而通過用戶安裝的ActiveX，應用程序便擁有了調用Windows API的權限。所以在Microsoft旗下的IE瀏覽器中，一般的安全控件是通過ActiveX的形式來提供鍵盤保護功能。
然而，ActiveX插件在給Web應用程序帶來方便的同時，也有著諸多缺點：首先，ActiveX可以訪問大量操作系統底層API，給用戶系統的安全性帶來巨大隱患；其次，有些ActiveX在工作過程中會耗費大量的系統資源，造成瀏覽器甚至是系統的崩潰。
NPAPI插件。NPAPI即網景插件應用程序編程接口，它是Netscape Navigator、Mozilla Suite、Mozilla Sea Monkey和Mozilla Firefox等Gecko引擎瀏覽器與Apple Safari和Google Chrome等WebKit引擎瀏覽器所使用的類似ActiveX的插件接口。NPAPI插件架構有40多個API，與ActiveX類似，開發者可以通過NPAPI架構的API與用戶操作系統進行交互。所以在除IE以外的主流瀏覽器中，支付網站的安全控件都是以NPAPI插件的形式來提供保護用戶支付賬號、密碼安全功能的。
而NPAPI對操作系統而言并不只是個插件，如圖1所示，事實上它是運行在操作系統之上，與瀏覽器平級運行的程序。它可以甚至可以進行一些超過瀏覽器權限之外的動作。NPAPI的存在給操作系統帶來了很大的安全隱患。與此同時，除了不安全因素以外，NPAPI的插件質量也參差不齊，一旦有插件崩潰則同時導致瀏覽器的崩潰，對系統資源的浪費也很巨大。因此，新版的Chrome瀏覽器已經放棄對NPAPI控件的支持，而其他各大瀏覽器也先后宣布了放棄NPAPI的計劃。
圖1 NPAPI工作原理
安全控件使用現狀
通過對PayPal的實際使用和研究分析，發現PayPal在用戶從登陸到進行支付的完整過程中并沒有提供安全控件來提供服務。同時，以花旗銀行和美國銀行為例進行了研究，同PayPal一樣，都沒有提示和要求用戶進行任何安全控件的安裝，也沒有在瀏覽器端對用戶的信息進行加密。此外，國外主要的支付相關網站都沒有使用任何模式的安全控件。
相反，國內安全控件卻得到很好的應用和發展。
一是銀聯在線支付。
安全控件插件版。目前，在支持ActiveX插件的IE瀏覽器上，銀聯在線仍然使用的是ActiveX插件的安全控件。當用戶使用安全銀聯在線支付功能的時候，會被要求下載安裝“UPEditorCtrl Class”的ActiveX插件。在其他瀏覽器上，銀聯在線支付使用的是NPAPI插件模式的安全控件。
安全控件非插件版。在不支持ActiveX、NPAPI插件的瀏覽器中，銀聯在線支付使用了系統服務程序的插件模式。在用戶第一次登陸銀聯在線支付網站的時候，會要求用戶下載并安裝安全控件（見圖2）。安裝過之后，我們可以在操作系統的后臺進程中發現一個名為“UPSecurityInput.exe”的進程。
圖2 銀聯安全控件非插件版
該進程的工作原理概括如下：該控件運行在操作系統后臺，頁面會由Javascript腳本會以Ajax請求與該后臺服務進行通信認證，激活該服務的保護功能，該服務將會在后臺實行鍵盤記錄保護和密碼加密等功能。
二是工商銀行和招商銀行。
工商銀行和招商銀行網銀仍使用傳統模式的安全控件。在IE瀏覽器上，工商銀行網銀需要用戶安裝名為“AxSubmitControl Class”的安全控件，招商銀行要求用戶安裝名為“China Merchants Bank Co. Ltd”的ActiveX控件。在Chrome（45版本以前），工商銀行網銀和招商銀行網銀都是使用的是傳統的NPAPI插件來提供安全控件功能。
未解決新版瀏覽器不支持的問題。同工商銀行相似，在Chrome瀏覽器（45及以后版本）登錄招行網銀的時，按要求安裝控件仍無法完成正常業務。可見招商銀行截至目前也未解決新版瀏覽器無法支持傳統控件的問題。
三是建設銀行。
登錄過程。建行提供了名為“中國建設銀行密碼輸入器”的軟鍵盤的密碼輸入方式，此類方法可以避免鍵盤記錄器等木馬程序對于賬號密碼的盜取。如圖3所示：
圖3 建行軟鍵盤安全控件
每次輸入時喚出的軟鍵盤上的鍵位排列情況都是隨機不同的，從此避免了根據鍵位的固定而對于鼠標移動來進行輸入分析的攻擊。
支付過程。無論在什么瀏覽器上，登錄建設銀行網銀都是不需要安裝控件的，但是在進行轉賬確認等支付操作的時候，無論在IE瀏覽器還是在Chrome瀏覽器中，建設銀行都會要求下載安裝“網銀盾驅動”。
四是支付寶。
現狀。在支付寶的網站頁面上，我們完成了從登陸到轉賬付款的全部動作，但是在整個流程中并沒有任何關于安全控件的提示，也沒有下載安裝任何軟件，就完成了交易的操作（見圖4）。
圖4 支付寶無安全控件要求
歷史版本。最新版本的支付寶網站已經不需要用戶進行安全控件的安裝了。不過，在之前版本的支付寶是要求用戶下載并安裝安全控件的。系統中的“aliwssv.exe”就是舊版本的支付寶要求安裝的安全控件進程。該進程除提供基礎安全控件功能外，還會收集本機信息，定期向后臺發送數據。
五是財付通。
在財付通的登錄界面，我們同樣沒有發現任何安全控件安裝的要求和提示。財付通提供以QQ號為基礎的三種登錄方式，分別是：關聯登錄、掃碼登錄和賬號密碼登錄。
經過對國內主要支付相關網站的研究，得出主要結論：
一是在支付、轉賬等資金相關動作上，國內金融網站都需要安全控件的支持。國內金融網站采取的主要策略是使用傳統控件的模式。而目前銀聯的“非插件版”安全控件解決了傳統模式不被支持的問題。
二是主要第三方支付網站不需要安全控件的支持。新版的支付寶、財付通等主要第三方支付網站對安全控件不做任何強制要求。
三是不同網站提供個性化的安全方案。如銀聯采用非插件版解決新瀏覽器的支持問題；支付寶在用戶在電腦上的第一次登陸時要求通過手機客戶端掃碼進行認證；財付通除了提供常規登錄方式以外，還提供QQ客戶端關聯登錄和掃碼登錄的方式。
安全控件新模式研究和分析
在上述調研基礎上，結合業界先進經驗，我們提出如下幾種不同的新模式方案。
可選的系統服務模式。可選的Windows系統服務模式的安全控件的工作原理是，在用戶登錄網站的時候，用戶可以直接進行登錄支付動作，也可以按照提示選擇下載安裝安全控件程序。
若用戶不安裝安全控件程序，則頁面的腳本將對用戶的敏感信息輸入進行非對稱加密，并將加密后的信息發送到后臺服務器進行驗證。
若用戶安裝安全控件程序，則該安全控件會在用戶的操作系統開啟后臺服務，并隨用戶操作系統的啟動而自行啟動。安全控件系統服務對用戶流量進行監控，當用戶登錄支付網站時，對用戶在瀏覽器中輸入的賬號、密碼等敏感信息進行監控和保護，防止木馬或病毒程序對賬戶鍵盤輸入的截取。
可選的系統服務模式在一定程度上提升用戶體驗和支付便捷性，但是當用戶選擇不安裝時，無法提供鍵盤竊聽保護。
流量代理的系統服務模式。目前中國銀聯的安全控件采用了系統服務模式，該模式通過HTTP請求與頁面腳本的工作模式在實際使用中會面臨流量竊聽以及端口占用的問題，為解決上述問題，我們提出一種基于流量代理的系統服務模式。
在該模式下，安全控件系統進程的形式運行在操作系統后臺，該進程對用戶開啟的進程進行輪詢，當發現用戶打開瀏覽器并登錄支付網站時，對用戶流量進行代理；當發現用戶輸入用戶名、卡號、密碼等敏感信息時，對用戶的輸入進行保護和加密，并在用戶提交動作時，將加密后的敏感信息的加載到用戶流量中，從而完成登錄或支付。
具體流程見圖5流量代理系統服務模式工作流程。
圖5 流量代理系統服務模式工作流程
與中國銀聯現行的安全控件相比，基于流量代理的系統服務模式安全控件的優點有：安全性高，解決了流量在本地明文傳輸帶來的安全隱患；可用性高，避免了用戶端口占用或網絡設備對可用性的影響。
軟鍵盤模式。軟鍵盤模式是在不要求用戶安裝任何程序的條件下避免鍵盤記錄器對于賬戶賬號密碼獲取的一種方式。它使用特定的算法加隨機數的組合形式對鍵盤進行重新布局，將用戶的光標移動和點擊輸入轉換為信息的輸入。
軟鍵盤安全控件的優點有：放棄鍵盤輸入，避免記錄類攻擊；不需要用戶專門安裝，易維護。軟鍵盤安全控件的也有如下缺點：鼠標點擊的輸入方式影響用戶輸入體驗；有被錄屏攻擊的風險。
安全支付新模式。提高用戶體驗、增強支付便捷、逐步淘汰傳統安全控件是技術發展趨勢。我們需要在不借助傳統安全控件的基礎上，尋找確保用戶賬戶資金安全的替代方案。
一是基于TEE的敏感信息保護方案。可信執行環境TEE（Trusted Execution Environment）是支付設備主處理器上的一個安全區域，其可以保證加載到該環境內部的代碼和數據的安全性、機密性以及完整性。TEE提供一個隔離的執行環境，提供的安全特征包含：隔離執行、可信應用的完整性、可信數據的機密性、安全存儲等。
因特爾（Intel）發布了Identity Protection Technology with PTD，即帶有受保護交易顯示 (PTD) 的英特爾身份保護技術（見圖6）。該技術可以使用單獨的安全嵌入式處理器向用戶顯示信息并接收來自用戶的輸入。由于用戶的關鍵輸入輸出都是在獨立的安全可信環境中運行，所以該技術有助于減少惡意軟件的攻擊，例如抓屏器、擊鍵記錄器、僵尸程序、中間人攻擊 (MitM) 或瀏覽器中間人攻擊 (MitB)。
圖6 Intel IPT技術
該方案在目前的實現也面臨著雙重的問題，一方面，具有IPT with PTD功能的Intel CPU并不能涵蓋絕大多數的PC電腦；另一方面，IPT with PTD技術在金融支付網站上的應用需要接口中間件的支持。所以目前看來，該項技術的實現還需要時間和完善。
二是多因素的可信身份認證方案。主要的第三方支付網站之所以能夠放棄安全控件，主要是因為他們的支付風險控制可以通過其他方式來完成，從而在放棄使用安全控件提升用戶體驗的同時，同樣確保了用戶的資金安全。
在此基礎上，我們提出一種新的結合云端風險一體化的多因素的可信身份認證方案（見圖7）。該方案中，系統需要在用戶登陸支付網站和確認支付時分別對用戶的運行環境風險和支付風險進行判別，并根據風險值確定是否進行多因素的可信身份認證。
圖7 多因素的可信身份認證流程
風險判定主要是指由服務器結合業務流程，對用戶登錄設備、支付賬戶、目標商戶等進行多方面認證。如判斷用戶登錄設備的曾經使用情況、判斷用戶是否在陌生的城市登錄、用戶支付或轉賬的目標賬戶是否存在風險、用戶支付或轉賬的金額是否超出日常金額。
在此，我們歸結幾種利用非鍵盤輸入安全因素完成認證的方案。
一是生物特征識別。生物識別技術是指利用人體的生物學特征進行身份認證的一種技術。具體而言，生物特征識別技術就是通過計算機與光學、聲學、生物傳感器和生物統計學原理等高科技手段密切結合，利用人體固有的生理特性，（如指紋、臉像、虹膜等）和行為特征（如筆跡、聲音、步態等）來進行個人身份的鑒定。
二是設備指紋識別。設備指紋是指通過在服務器在網站或者移動端采集終端用戶環境的非敏感設備特征細信息，通過服務端的設備特征匹配算法而建立一套全球設備標識庫，相當于為每一位互聯網用戶的訪問設備分配了唯一的設備標識。這樣，通過服務器云端的統一風控系統，可以根據該設備指紋識別用戶是否是在安全設備上進行支付動作。
三是用戶行為模式。用戶行為模式是指服務器通過用戶的歷史動作，歸納分析出用戶常見的行為模式，如鍵盤輸入頻率、鼠標移動速度、頁面停留/跳轉時間、訪問流程等，給合法用戶建立行為基線模型。因此，當用戶的賬戶被人盜取使用時，通過該模型可以分析出用戶的真實性。從而降低用戶資金被攻擊者盜取。
四是網絡身份證。網絡身份證(VIEID)，全稱虛擬身份電子標識是互聯網絡信息世界中Virtual 標識用戶身份的工具，是在網絡空間用于唯一標識一個用戶身份的電子信息，用于在網絡中識別各方的身份及表明我們的身份或某種資格。
經過對安全控件的由來、功能、傳統模式的分析，以及對電子支付行業內的使用現狀的調研，結合對安全控件現有模式的研究，報告進行了安全控件新模式的研究及可行性分析。報告提出了可選的系統服務模式、流量代理模式等現有安全控件模式的改進方案，這些方案解決了當前安全控件不被瀏覽器兼容、安全性和可用性的問題，在當前的環境下具有很高的可行性。
此外，經過研究表明提高用戶體驗、增強支付便捷、逐步淘汰傳統安全控件是技術發展趨勢。長遠來看，我們需要在不借助傳統安全控件的基礎上，尋找確保用戶賬戶資金安全的替代方案。為此，報告從長期實現的角度提出了基于可信執行環境方案以及多因素身份認證方案，這些方案借助了最新的因特爾IPT、生物特征識別、設備指紋識別、用戶行為模式分析等技術，從根本上避免了惡意軟件對用戶鍵盤輸入的盜取給賬戶安全帶來的隱患。目前為止，上述技術的發展導致方案的落地需要更多的前后端系統的支持。但是我們相信，在軟硬件技術高速發展的現代，這些方案的實現也指日可待。
實習編輯：張超逸