淺析網(wǎng)上銀行的安全與防范

董 潔

（赤峰學(xué)院 計(jì)算機(jī)科學(xué)與技術(shù)系，內(nèi)蒙古 赤峰 024000）

淺析網(wǎng)上銀行的安全與防范

董 潔

（赤峰學(xué)院 計(jì)算機(jī)科學(xué)與技術(shù)系，內(nèi)蒙古 赤峰 024000）

網(wǎng)上銀行的出現(xiàn)，使得客戶能方便地利用個(gè)人計(jì)算機(jī)通過(guò)互聯(lián)網(wǎng)獲得銀行的各項(xiàng)服務(wù).對(duì)于銀行來(lái)講，網(wǎng)上銀行這種全天候的服務(wù)能夠吸引更多的客戶，減少傳統(tǒng)分支機(jī)構(gòu)的工作人員，提高工作效率.網(wǎng)上銀行業(yè)務(wù)給人們生活帶來(lái)方便、快捷的同時(shí)，也有一些不足之處，就當(dāng)前網(wǎng)上銀行的發(fā)展與現(xiàn)狀而言，存在著諸多安全隱患等問(wèn)題，如何恰當(dāng)處理好網(wǎng)上銀行的安全，將會(huì)對(duì)網(wǎng)上銀行的發(fā)展起到重要作用.

網(wǎng)上銀行；安全；防范

1 網(wǎng)上銀行的概念

網(wǎng)上銀行又稱(chēng)網(wǎng)絡(luò)銀行、在線銀行，是指銀行利用Internet技術(shù)，通過(guò)Internet向客戶提供理財(cái)開(kāi)戶、銷(xiāo)戶、查詢(xún)、對(duì)帳、行內(nèi)轉(zhuǎn)帳、跨行轉(zhuǎn)帳、信貸、網(wǎng)上證券、投資理財(cái)?shù)葌鹘y(tǒng)服務(wù)項(xiàng)目，使客戶可以足不出戶就能夠安全便捷地管理活期和定期存款、支票、信用卡及個(gè)人投資等.可以說(shuō)，網(wǎng)上銀行是在Internet上的虛擬銀行柜臺(tái).

網(wǎng)上銀行又被稱(chēng)為“3A銀行”，因?yàn)樗皇軙r(shí)間、空間限制，能夠在任何時(shí)間(Anytime)、任何地點(diǎn)(Anywhere)、以任何方式(Anyhow)為客戶提供金融服務(wù).

2 網(wǎng)上銀行的安全性分析

隨著計(jì)算機(jī)的普及以及互聯(lián)網(wǎng)應(yīng)用越來(lái)越廣泛，各種各樣跟網(wǎng)絡(luò)有關(guān)的服務(wù)已走進(jìn)了我們的日常生活，尤其是電子商務(wù)更是深入普通大眾，給人們的日常生活帶來(lái)了前所未有的方便.網(wǎng)上銀行就是隨之而興起的一門(mén)服務(wù)，由于其與生俱來(lái)的“3A”性能，故而，深受大家的親睞，但是，隨著網(wǎng)上銀行服務(wù)面的不斷擴(kuò)大，其安全問(wèn)題也日益突出，網(wǎng)上銀行賬戶被盜時(shí)有發(fā)生，于是網(wǎng)上銀行的安全問(wèn)題成為銀行與客戶共同關(guān)注的熱門(mén)話題.

一般來(lái)說(shuō)，人們擔(dān)心的網(wǎng)上銀行安全問(wèn)題主要是：

1.銀行交易系統(tǒng)被非法入侵.

2.信息通過(guò)網(wǎng)絡(luò)傳輸時(shí)被竊取或篡改.

3.交易雙方的身份識(shí)別，賬戶被他人盜用.

3 網(wǎng)上銀行的安全防范

3.1 增強(qiáng)銀行交易系統(tǒng)的安全性

“網(wǎng)上銀行”系統(tǒng)是銀行業(yè)務(wù)服務(wù)的延伸，客戶可以通過(guò)互聯(lián)網(wǎng)方便地使用商業(yè)銀行核心業(yè)務(wù)服務(wù)，完成各種非現(xiàn)金交易.但另一方面，互聯(lián)網(wǎng)是一個(gè)開(kāi)放的網(wǎng)絡(luò)，銀行交易服務(wù)器是網(wǎng)上的公開(kāi)站點(diǎn)，網(wǎng)上銀行系統(tǒng)也使銀行內(nèi)部網(wǎng)向互聯(lián)網(wǎng)敞開(kāi)了大門(mén).因此，如何保證網(wǎng)上銀行交易系統(tǒng)的安全，關(guān)系到銀行內(nèi)部整個(gè)金融網(wǎng)的安全，這是網(wǎng)上銀行建設(shè)中最至關(guān)重要的問(wèn)題，也是銀行保證客戶資金安全的最根本的考慮.

為防止交易服務(wù)器受到攻擊，銀行主要采取以下三方面的技術(shù)措施：

3.1.1 設(shè)立防火墻，隔離相關(guān)網(wǎng)絡(luò).

一般采用多重防火墻方案.其作用為：

（1）分隔互聯(lián)網(wǎng)與交易服務(wù)器，防止互聯(lián)網(wǎng)用戶的非法入侵.

（2）用于交易服務(wù)器與銀行內(nèi)部網(wǎng)的分隔，有效保護(hù)銀行內(nèi)部網(wǎng)，同時(shí)防止內(nèi)部網(wǎng)對(duì)交易服務(wù)器的入侵.

3.1.2 高安全級(jí)的Web應(yīng)用服務(wù)器

服務(wù)器使用可信的專(zhuān)用操作系統(tǒng)，憑借其獨(dú)特的體系結(jié)構(gòu)和安全檢查，保證只有合法用戶的交易請(qǐng)求能通過(guò)特定的代理程序送至應(yīng)用服務(wù)器進(jìn)行后續(xù)處理.

3.1.3 24小時(shí)實(shí)時(shí)安全監(jiān)控

例如采用ISS網(wǎng)絡(luò)動(dòng)態(tài)監(jiān)控產(chǎn)品，進(jìn)行系統(tǒng)漏洞掃描和實(shí)時(shí)入侵檢測(cè).

3.1.4 身份識(shí)別和CA認(rèn)證

網(wǎng)上交易不是面對(duì)面的，客戶可以在任何時(shí)間、任何地點(diǎn)發(fā)出請(qǐng)求，傳統(tǒng)的身份識(shí)別方法通常是靠用戶名和登錄密碼對(duì)用戶的身份進(jìn)行認(rèn)證.但是，用戶的密碼在登錄時(shí)以明文的方式在網(wǎng)絡(luò)上傳輸，很容易被攻擊者截獲，進(jìn)而可以假冒用戶的身份，身份認(rèn)證機(jī)制就會(huì)被攻破.

在網(wǎng)上銀行系統(tǒng)中，用戶的身份認(rèn)證依靠基于“RSA公鑰密碼體制”的加密機(jī)制、數(shù)字簽名機(jī)制和用戶登錄密碼的多重保證.銀行對(duì)用戶的數(shù)字簽名和登錄密碼進(jìn)行檢驗(yàn)，全部通過(guò)后才能確認(rèn)該用戶的身份.用戶的惟一身份標(biāo)識(shí)就是銀行簽發(fā)的“數(shù)字證書(shū)”.用戶的登錄密碼以密文的方式進(jìn)行傳輸，確保了身份認(rèn)證的安全可靠性.數(shù)字證書(shū)的引入，同時(shí)實(shí)現(xiàn)了用戶對(duì)銀行交易網(wǎng)站的身份認(rèn)證，以保證訪問(wèn)的是真實(shí)的銀行網(wǎng)站，另外還確保了客戶提交的交易指令的不可否認(rèn)性.由于數(shù)字證書(shū)的惟一性和重要性，各家銀行為開(kāi)展網(wǎng)上業(yè)務(wù)都成立了CA認(rèn)證機(jī)構(gòu)，專(zhuān)門(mén)負(fù)責(zé)簽發(fā)和管理數(shù)字證書(shū)，并進(jìn)行網(wǎng)上身份審核.2000年6月，由中國(guó)人民銀行牽頭，12家商業(yè)銀行聯(lián)合共建的中國(guó)金融認(rèn)證中心(CF-CA)正式掛牌運(yùn)營(yíng).這標(biāo)志著中國(guó)電子商務(wù)進(jìn)入了銀行安全支付的新階段.中國(guó)金融認(rèn)證中心作為一個(gè)權(quán)威的、可信賴(lài)的、公正的第三方信任機(jī)構(gòu)，為今后實(shí)現(xiàn)跨行交易提供了身份認(rèn)證基礎(chǔ).

3.2 增強(qiáng)網(wǎng)絡(luò)通訊的安全性

由于互聯(lián)網(wǎng)是一個(gè)開(kāi)放的網(wǎng)絡(luò)，客戶在網(wǎng)上傳輸?shù)拿舾行畔?如密碼、交易指令等)在通訊過(guò)程中存在被截獲、被破譯、被篡改的可能.為了防止此種情況發(fā)生，網(wǎng)上銀行系統(tǒng)一般都采用加密傳輸交易信息的措施，使用最廣泛的是SSL數(shù)據(jù)加密協(xié)議.

SSL協(xié)議是由Netscape首先研制開(kāi)發(fā)出來(lái)的，其首要目的是在兩個(gè)通信間提供秘密而可靠的連接，目前大部分Web服務(wù)器和瀏覽器都支持此協(xié)議.用戶登錄并通過(guò)身份認(rèn)證之后，用戶和服務(wù)方之間在網(wǎng)絡(luò)上傳輸?shù)乃袛?shù)據(jù)全部用會(huì)話密鑰加密，直到用戶退出系統(tǒng)為止.而且每次會(huì)話所使用的加密密鑰都是隨機(jī)產(chǎn)生的.這樣，攻擊者就不可能從網(wǎng)絡(luò)上的數(shù)據(jù)流中得到任何有用的信息.同時(shí)，引入了數(shù)字證書(shū)對(duì)傳輸數(shù)據(jù)進(jìn)行簽名，一旦數(shù)據(jù)被篡改，則必然與數(shù)字簽名不符.SSL協(xié)議的加密密鑰長(zhǎng)度與其加密強(qiáng)度有直接關(guān)系，一般是40～128位，可在IE瀏覽器的“幫助”“關(guān)于”中查到.目前，建設(shè)銀行等已經(jīng)采用有效密鑰長(zhǎng)度128位的高強(qiáng)度加密.

3.3 保證個(gè)人使用的計(jì)算機(jī)安全

個(gè)人計(jì)算機(jī)及軟件有可能受到病毒及電腦黑客的威脅，必須注意以下幾點(diǎn)：

（1）設(shè)置由數(shù)字、字母（大、小寫(xiě)）構(gòu)成的不易被破譯的開(kāi)機(jī)密碼.

（2）定期下載安裝最新的操作系統(tǒng)和瀏覽器安全程序或補(bǔ)丁.

（3）建議將您計(jì)算機(jī)中的hosts文件修改為只讀.

（4）安裝個(gè)人防火墻.可以防止黑客入侵您的計(jì)算機(jī).（5）安裝并及時(shí)更新殺毒軟件.養(yǎng)成定期更新殺毒軟件的習(xí)慣，防止新型病毒入侵.

（6）使用網(wǎng)上銀行的電腦不作為資料、文件共享等類(lèi)型的服務(wù)器.

（7）不要開(kāi)啟不明來(lái)歷的電子郵件.

3.4 增強(qiáng)客戶的安全意識(shí)

銀行卡持有人的安全意識(shí)是影響網(wǎng)上銀行安全性的不可忽視的重要因素.下面給出幾點(diǎn)正確使用網(wǎng)上銀行的幾點(diǎn)建議：

（1）核對(duì)網(wǎng)址.客戶開(kāi)通網(wǎng)上銀行要事先與銀行簽訂協(xié)議.在登錄網(wǎng)上銀行時(shí)，須核對(duì)登錄的網(wǎng)址與協(xié)議書(shū)中的網(wǎng)址是否相符；登錄網(wǎng)上銀行網(wǎng)站時(shí)，盡量不要使用任何不可靠的鏈接方式，不要通過(guò)搜索引擎找到的網(wǎng)址或其他不明網(wǎng)站的鏈接途徑進(jìn)入，防止犯罪嫌疑人模仿銀行網(wǎng)站盜取賬戶信息.

（2）管好密碼.要避免設(shè)置與個(gè)人資料相關(guān)的簡(jiǎn)單密碼，不要選用諸如身份證號(hào)碼、出生日期、電話號(hào)碼等作為支付密碼；建議采用無(wú)規(guī)律的數(shù)字組合，提高支付密碼被破解的難度；在不同的電子渠道上盡量使用不同密碼；對(duì)不同的銀行卡賬戶盡量設(shè)置不同的支付密碼.

（3）做好記錄.在進(jìn)行網(wǎng)上銀行交易時(shí)，要對(duì)錄入信息（本人賬號(hào)、金額等要素）進(jìn)行仔細(xì)核對(duì)，做到“一慢、二看、三仔細(xì)、四清楚”.即“錄入信息時(shí)要慢”、“按鍵時(shí)要準(zhǔn)確查看”、“對(duì)錄入的信息核對(duì)要仔細(xì)”、“對(duì)反饋回來(lái)的信息要記錄清楚”.轉(zhuǎn)賬交易完成后不論系統(tǒng)提示成功與否，都要查詢(xún)轉(zhuǎn)出賬戶余額和明細(xì).要定期查看歷史交易明細(xì)并定期打印網(wǎng)上銀行業(yè)務(wù)對(duì)賬單，如發(fā)現(xiàn)異常交易或賬務(wù)差錯(cuò)，應(yīng)立即與銀行聯(lián)系，避免損失.

（4）管好證書(shū).網(wǎng)上銀行用戶應(yīng)避免在公共場(chǎng)合（如網(wǎng)吧、機(jī)場(chǎng)）和公用計(jì)算機(jī)上使用網(wǎng)上銀行，防止數(shù)字證書(shū)等機(jī)密資料落入他人手中.最好不要安裝QQ聊天程序、網(wǎng)絡(luò)游戲等，盡量專(zhuān)機(jī)專(zhuān)用.

（5）對(duì)異常動(dòng)態(tài)提高警惕

網(wǎng)上銀行在系統(tǒng)運(yùn)行穩(wěn)定的情況下不會(huì)出現(xiàn)“系統(tǒng)維護(hù)”的提示.若遇重大事件, 系統(tǒng)必須暫停服務(wù), 銀行會(huì)提前公告客戶.客戶如不當(dāng)心在陌生的“銀行網(wǎng)址”上輸入了銀行卡號(hào)和密碼, 并遇到類(lèi)似“系統(tǒng)維護(hù)”之類(lèi)的提示, 應(yīng)立即撥打該銀行客服熱線進(jìn)行確認(rèn).萬(wàn)一發(fā)現(xiàn)資料被盜,應(yīng)立即修改相關(guān)交易密碼或及時(shí)進(jìn)行銀行卡掛失.

（6）每次使用網(wǎng)上銀行后，及時(shí)退出.

（7）如果個(gè)人資料有任何更改（例如，聯(lián)系方式、地址等有變動(dòng)），請(qǐng)及時(shí)通過(guò)銀行系統(tǒng)修改相關(guān)資料.

4 總結(jié)

網(wǎng)上銀行業(yè)務(wù)的發(fā)展前景極為廣闊，隨著國(guó)民金融意識(shí)的增強(qiáng)，國(guó)家規(guī)范網(wǎng)上行為的法律法規(guī)的出臺(tái)，將會(huì)有更好的網(wǎng)上銀行使用環(huán)境，能實(shí)現(xiàn)網(wǎng)上銀行的業(yè)務(wù)安全要求,廣大消費(fèi)者也完全可以放心地享用網(wǎng)絡(luò)銀行給你帶來(lái)的便捷、快速的服務(wù).

TP399；F830.3

A

1673-260X（2010）02-0052-02