網(wǎng)上銀行的安全性分析
網(wǎng)絡(luò)信息技術(shù)的發(fā)展和電子商務(wù)的普及，對(duì)企業(yè)傳統(tǒng)的經(jīng)營(yíng)思想和經(jīng)營(yíng)方式產(chǎn)生了強(qiáng)烈的沖擊。以互聯(lián)網(wǎng)技術(shù)為核心的網(wǎng)上銀行使銀行業(yè)務(wù)也發(fā)生了巨大變化。“網(wǎng)上銀行”在為金融企業(yè)的發(fā)展帶來(lái)前所未有的商機(jī)的同時(shí)，也為眾多用戶帶來(lái)實(shí)實(shí)在在的方便。作為一種全新的銀行客戶服務(wù)提交渠道，客戶可以不必親身去銀行辦理業(yè)務(wù)，只要能夠上網(wǎng)，無(wú)論在家里、辦公室，還是在旅途中，都能夠每天24小時(shí)安全便捷地管理自己的資產(chǎn)，或者辦理查詢、轉(zhuǎn)賬、繳費(fèi)等銀行業(yè)務(wù)?！熬W(wǎng)上銀行”的優(yōu)越性的確很明顯。但是面對(duì)這一新興的事物，人們卻有一個(gè)最大的疑惑：“網(wǎng)上銀行”安全嗎?
人們有這種顧慮不無(wú)道理。銀行業(yè)務(wù)網(wǎng)絡(luò)與互聯(lián)網(wǎng)的連接，使得網(wǎng)上銀行容易成為非法入侵和惡意攻擊的對(duì)象，加上目前網(wǎng)絡(luò)秩序較混亂，黑客攻擊事件層出不窮，也給人們的心理造成了一定影響。
一般來(lái)說，人們擔(dān)心的網(wǎng)上銀行安全問題主要是：
1. 銀行交易系統(tǒng)被非法入侵。
2. 信息通過網(wǎng)絡(luò)傳輸時(shí)被竊取或篡改。
3. 交易雙方的身份識(shí)別;賬戶被他人盜用。
從銀行的角度來(lái)看，開展網(wǎng)上銀行業(yè)務(wù)將承擔(dān)比客戶更多的風(fēng)險(xiǎn)。因此，我國(guó)已開通“網(wǎng)上銀行”業(yè)務(wù)的招商銀行、建設(shè)銀行、中國(guó)銀行等，都建立了一套嚴(yán)密的安全體系，包括安全策略、安全管理制度和流程、安全技術(shù)措施、業(yè)務(wù)安全措施、內(nèi)部安全監(jiān)控和安全審計(jì)等，以保證“網(wǎng)上銀行”的安全運(yùn)行。
銀行交易系統(tǒng)的安全性
“網(wǎng)上銀行”系統(tǒng)是銀行業(yè)務(wù)服務(wù)的延伸，客戶可以通過互聯(lián)網(wǎng)方便地使用商業(yè)銀行核心業(yè)務(wù)服務(wù)，完成各種非現(xiàn)金交易。但另一方面，互聯(lián)網(wǎng)是一個(gè)開放的網(wǎng)絡(luò)，銀行交易服務(wù)器是網(wǎng)上的公開站點(diǎn)，網(wǎng)上銀行系統(tǒng)也使銀行內(nèi)部網(wǎng)向互聯(lián)網(wǎng)敞開了大門。因此，如何保證網(wǎng)上銀行交易系統(tǒng)的安全，關(guān)系到銀行內(nèi)部整個(gè)金融網(wǎng)的安全，這是網(wǎng)上銀行建設(shè)中最至關(guān)重要的問題，也是銀行保證客戶資金安全的最根本的考慮。
為防止交易服務(wù)器受到攻擊，銀行主要采取以下三方面的技術(shù)措施：
1. 設(shè)立防火墻，隔離相關(guān)網(wǎng)絡(luò)。
一般采用多重防火墻方案。其作用為：
(1) 分隔互聯(lián)網(wǎng)與交易服務(wù)器，防止互聯(lián)網(wǎng)用戶的非法入侵。
(2) 用于交易服務(wù)器與銀行內(nèi)部網(wǎng)的分隔，有效保護(hù)銀行內(nèi)部網(wǎng)，同時(shí)防止內(nèi)部網(wǎng)對(duì)交易服務(wù)器的入侵。
2. 高安全級(jí)的Web應(yīng)用服務(wù)器
服務(wù)器使用可信的專用操作系統(tǒng)，憑借其獨(dú)特的體系結(jié)構(gòu)和安全檢查，保證只有合法用戶的交易請(qǐng)求能通過特定的代理程序送至應(yīng)用服務(wù)器進(jìn)行后續(xù)處理。
3. 24小時(shí)實(shí)時(shí)安全監(jiān)控
例如采用ISS網(wǎng)絡(luò)動(dòng)態(tài)監(jiān)控產(chǎn)品，進(jìn)行系統(tǒng)漏洞掃描和實(shí)時(shí)入侵檢測(cè)。在2000年2月Yahoo等大網(wǎng)站遭到黑客入侵破壞時(shí)，使用ISS安全產(chǎn)品的網(wǎng)站均幸免于難。
身份識(shí)別和CA認(rèn)證
網(wǎng)上交易不是面對(duì)面的，客戶可以在任何時(shí)間、任何地點(diǎn)發(fā)出請(qǐng)求，傳統(tǒng)的身份識(shí)別方法通常是靠用戶名和登錄密碼對(duì)用戶的身份進(jìn)行認(rèn)證。但是，用戶的密碼在登錄時(shí)以明文的方式在網(wǎng)絡(luò)上傳輸，很容易被攻擊者截獲，進(jìn)而可以假冒用戶的身份，身份認(rèn)證機(jī)制就會(huì)被攻破。
在網(wǎng)上銀行系統(tǒng)中，用戶的身份認(rèn)證依靠基于“RSA公鑰密碼體制”的加密機(jī)制、數(shù)字簽名機(jī)制和用戶登錄密碼的多重保證。銀行對(duì)用戶的數(shù)字簽名和登錄密碼進(jìn)行檢驗(yàn)，全部通過后才能確認(rèn)該用戶的身份。用戶的惟一身份標(biāo)識(shí)就是銀行簽發(fā)的“數(shù)字證書”。用戶的登錄密碼以密文的方式進(jìn)行傳輸，確保了身份認(rèn)證的安全可靠性。數(shù)字證書的引入，同時(shí)實(shí)現(xiàn)了用戶對(duì)銀行交易網(wǎng)站的身份認(rèn)證，以保證訪問的是真實(shí)的銀行網(wǎng)站，另外還確保了客戶提交的交易指令的不可否認(rèn)性。
由于數(shù)字證書的惟一性和重要性，各家銀行為開展網(wǎng)上業(yè)務(wù)都成立了CA認(rèn)證機(jī)構(gòu)，專門負(fù)責(zé)簽發(fā)和管理數(shù)字證書，并進(jìn)行網(wǎng)上身份審核。2000年6月，由中國(guó)人民銀行牽頭，12家商業(yè)銀行聯(lián)合共建的中國(guó)金融認(rèn)證中心(CFCA)正式掛牌運(yùn)營(yíng)。這標(biāo)志著中國(guó)電子商務(wù)進(jìn)入了銀行安全支付的新階段。中國(guó)金融認(rèn)證中心作為一個(gè)權(quán)威的、可信賴的、公正的第三方信任機(jī)構(gòu)，為今后實(shí)現(xiàn)跨行交易提供了身份認(rèn)證基礎(chǔ)。
網(wǎng)絡(luò)通訊的安全性
由于互聯(lián)網(wǎng)是一個(gè)開放的網(wǎng)絡(luò)，客戶在網(wǎng)上傳輸?shù)拿舾行畔?如密碼、交易指令等)在通訊過程中存在被截獲、被破譯、被篡改的可能。為了防止此種情況發(fā)生，網(wǎng)上銀行系統(tǒng)一般都采用加密傳輸交易信息的措施，使用最廣泛的是SSL數(shù)據(jù)加密協(xié)議。
SSL協(xié)議是由Netscape首先研制開發(fā)出來(lái)的，其首要目的是在兩個(gè)通信間提供秘密而可靠的連接，目前大部分Web服務(wù)器和瀏覽器都支持此協(xié)議。用戶登錄并通過身份認(rèn)證之后，用戶和服務(wù)方之間在網(wǎng)絡(luò)上傳輸?shù)乃袛?shù)據(jù)全部用會(huì)話密鑰加密，直到用戶退出系統(tǒng)為止。而且每次會(huì)話所使用的加密密鑰都是隨機(jī)產(chǎn)生的。這樣，攻擊者就不可能從網(wǎng)絡(luò)上的數(shù)據(jù)流中得到任何有用的信息。同時(shí)，引入了數(shù)字證書對(duì)傳輸數(shù)據(jù)進(jìn)行簽名，一旦數(shù)據(jù)被篡改，則必然與數(shù)字簽名不符。SSL協(xié)議的加密密鑰長(zhǎng)度與其加密強(qiáng)度有直接關(guān)系，一般是40～128位，可在IE瀏覽器的“幫助”“關(guān)于”中查到。目前，建設(shè)銀行等已經(jīng)采用有效密鑰長(zhǎng)度128位的高強(qiáng)度加密。
客戶的安全意識(shí)
銀行卡持有人的安全意識(shí)是影響網(wǎng)上銀行安全性的不可忽視的重要因素。目前，我國(guó)銀行卡持有人安全意識(shí)普遍較弱：不注意密碼保密，或?qū)⒚艽a設(shè)為生日等易被猜測(cè)的數(shù)字。一旦卡號(hào)和密碼被他人竊取或猜出，用戶賬號(hào)就可能在網(wǎng)上被盜用，例如進(jìn)行購(gòu)物消費(fèi)等，從而造成損失，而銀行技術(shù)手段對(duì)此卻無(wú)能為力。因此一些銀行規(guī)定：客戶必須持合法證件到銀行柜臺(tái)簽約才能使用“網(wǎng)上銀行”進(jìn)行轉(zhuǎn)賬支付，以此保障客戶的資金安全。
另一種情況是，客戶在公用的計(jì)算機(jī)上使用網(wǎng)上銀行，可能會(huì)使數(shù)字證書等機(jī)密資料落入他人之手，從而直接使網(wǎng)上身份識(shí)別系統(tǒng)被攻破，網(wǎng)上賬戶被盜用。
安全性作為網(wǎng)絡(luò)銀行賴以生存和得以發(fā)展的核心及基礎(chǔ)，從一開始就受到各家銀行的極大重視，都采取了有效的技術(shù)和業(yè)務(wù)手段來(lái)確保網(wǎng)上銀行安全。但安全性和方便性又是互相矛盾的，越安全就意味著申請(qǐng)手續(xù)越煩瑣，使用操作越復(fù)雜，影響了方便性，使客戶使用起來(lái)感到困難。因此，必須在安全性和方便性上進(jìn)行權(quán)衡。到目前為止，國(guó)內(nèi)網(wǎng)上銀行交易額已達(dá)數(shù)千億元，銀行方還未出現(xiàn)過安全問題，只有個(gè)別客戶由于保密意識(shí)不強(qiáng)而造成資金損失。
總 結(jié)
據(jù)有關(guān)資料顯示，現(xiàn)在美國(guó)有1500多萬(wàn)戶家庭使用“網(wǎng)上銀行”服務(wù)，“網(wǎng)上銀行”業(yè)務(wù)量占銀行總業(yè)務(wù)量的10%，到2005年，這一比例將接近50%。而我國(guó)網(wǎng)上銀行業(yè)務(wù)量尚不足銀行業(yè)務(wù)總量的1%，就此點(diǎn)講我國(guó)網(wǎng)上銀行業(yè)務(wù)的發(fā)展前景極為廣闊，我們有理由相信，隨著國(guó)民金融意識(shí)的增強(qiáng)，國(guó)家規(guī)范網(wǎng)上行為的法律法規(guī)的出臺(tái)，將會(huì)有更好的網(wǎng)上銀行使用環(huán)境，能為客戶提供“3A服務(wù)”(任何時(shí)間、任何地點(diǎn)、任何方式)的“網(wǎng)上銀行”一定會(huì)贏得用戶的青睞。
【編輯推薦】
