网上银行的安全认证问题研究

1、 现代管理科学 2012年第 4期银行 安全设置工商银行 U 盾 、 电子银行口令卡 、 预留信息验证 、 余额变动提醒 、 小 e 安全检测 、 手机短信认证建设银行 网银盾 、 动态口令卡 、 短信服务 、 登录密码和交易密码两种控制 、 交易限额控制 、 客 户端密码安全检测农业银行 浏览器证书 、 K 宝证书 、 动态口令卡 、 电子支付卡消费限额中国银行 多重安全机制 登录 :用户名 +密码 +图形验证码 +加动态口令 +手机短信 ; 交易 :限额控制等招商银行 多种证书 、 免驱动的移动数字证书 、 数字证书 +取款密码 、 每日交易限额交通银行 用户名 +用户密码 (无需卡号密码

2、 、 登录留言 、 电子证书 、 手机 短信密码 、 每日交易限额表 1国内大型银行网上银行安全措施一 、 引言目前国内网上银行的安全认证方式呈现多样化发展 , 从之前更多依赖简单的帐号密码 , 逐渐新增了数字证书 、 动态密码 、 一次性密码等新的认证方式 。 2008年至今各大 银行在安全认证方面不断加大力度 , 工行推出了手机短信 认证服务 、 浦发推出了 “ 移动数字证书 +动态密码 ” 认证新 方式等 。 可以发现 , 单一的认证已不能满足用户的需求 , 网 银认证正朝着多重认证的方向发展 。二 、 网络银行安全系统概述1. 网络节点安全 。 网络银行的节点安全的内容包括 :计算机网

3、络设备安全 、 计算机网络系统安全 、 数据库安全 等 , 主要靠防火墙实现 。(1 防火墙 :防火 墙 是 在连接 Internet 和 Intranet 保证 安全最为有效的方法 , 防火墙能够有效地监视网络的通信 信息 , 并记忆通信状态 , 从而做出允许 /拒绝等正确的判 断 。 通过灵活有效运用这些功能 , 制定正确的安全策略 , 将 能提供一个安全高效的 Intranet 系统 。(2 防火墙安全策略 :基于防火墙的安全策略建立了全 方位的防御体系来保护机构的信息资源 , 安全策略应包 括 :规定的网络访问 、 服务访问 、 本地和远地的用户认证 、 拨入和拨出 、 磁盘和数据加密

4、 、 病毒防护措施 , 以及管理制 度等 。 所有可能受到网络攻击的地方都必须以同样安全级 别加以保护 。(3 安全操作系统 :防火墙是基于操作系统的 。 如果信 息通过操作系统后门绕过防火墙进入内部网 , 则防火墙失效 。 所以 , 要保证防火墙发挥作用 , 必须保证操作系统的安全 。 只有在安全操作系统的基础上 , 才能充分发挥防火墙的功能 。 在条件许可的情况下 , 应考虑将防火墙单独安装在硬件设备上 。2. 商务安全 。(1 通信和链路安全 。 电子商务 系 统 的 数 据 通 信 主 要 存 在 于 : 客户浏览器端与电子商务 WEB 服务器端的通讯 ; 电 子商务 WEB 服务器与

5、电子商务数据库服务器的通讯 ; 银行内部网与业务网之间的数据通讯 。此外 , 在客户端浏览器和电子商务 WEB 服务器之间采 用 SSL 协议建立安全链接 , 所传递的重要信息都是经过加 密的 , 这在一定程度上保证了数据在传输过程中的安全 。 (2 应用程序的安全 。 即使正确地配置了访问控制规 则 , 要满足计算机系统的安全性也是不充分的 , 因为编程 错误也可能引致攻击 。(3 用户的认证管理 。 身份认证 :电子商务企业用户身份认证可以通过服 务器 CA 证书与 IC 卡相结合实现的 。 CA 证书用来认证服 务器的身份 , IC 卡用来认证企业用户的身份 。 个人用户由 于没有提供交

6、易功能 , 所以只采用 ID 号和密码口令的身 份确认机制 。 CA 证书 :要在网上确认交易各方的身份以及保证 交易的不可否认性 , 需要一份数字证书进行验证 , 这份数 字证书就是 CA 证书 , 它由认证授权中心 (CA 中心 发行 。 CA 中心一般是社会公认的可靠组织 , 它对个人 、 组织进行 审核后 , 为其发放数字证书 , 证书分为服务器证书和个人 证书 。 建立 SSL 安全链接不需要一定有个人证书 , 实际上 不验证客户的个人证书情况是很多的 。 验证个人证书是为 了验证来访者的合法身份 。 而单纯的想建立 SSL 链接时客 户只需用户下载该站点的服务器证书 (下载可以在访

7、问之网上银行的安全认证问题研究 王 勉摘要 :网上银行指银行通过信息网络提供的各种金融服务 。 银行对网银安全性管理要求很高, 通过持续技术升级, 为 用户提供多重安全保障 。 目前国内网上银行的安全认证方式呈现多样化发展,从最初依赖简单帐号密码, 发展新增了数 字证书 、 动态密码 、 一次性密码等新的认证方式,单一的认证已不能满足用户需求,网银认证正朝着多重认证的方向 发展 。关键词:网上银行; 安全认证; 身份识别 发展战略 89 - 现代管理科学 2012年第 4期 安全认证技术 安全性 危险性动态令牌 动态性随机性一次性不可复制性抗穷举攻击性抗偷看窃听性危险及时发现丢失性 :动 态

8、口 令 卡 是 可 能丢 失 的 , 和 不 可 失 的 静 态口 令 因素结合 , 可以 避 免口 令 卡 丢 失 的 危 险 性 , 而 且因 为 口 令 卡 和经常使用的钱包 、 钥匙等放一起 , 可以很快得知并挂失 。USB -Key随身性 :USB 卡是随身之物 , 和 钥 匙 放 在 一 起 , 这 样可 以 保 证 认 证 信 息 由 用 户唯一使用 。随 机 性 :没 有 特 征 , 无 法进行字典分析 。静态性 :认证信息是静态的 , 可以在传输中被截取和重用 。 丢失性 :USB 卡是可能丢失的 。可穷举攻击 :因为 USB 卡的认证信息一直不变 , 所以在 任 意长的时间

9、内进行穷举攻击 。泄密性 :可以使用 USB 窃听木马程序截取分析 USB 读写过 程 , 从而获得 USB 中的数据 。智能 IC 卡 (带 CPU 随身性 :IC 卡是随身之物 , 和钱包 放 在 一 起 , 这样 可 以 保 证 认 证 信 息 由用户唯一使用 。随机性 :没 有 特 征 , 无法进行字典分析 。静态性 :认证信息是静态的 , 可以在传输中被截取 和重 用 。丢失性 :IC 卡是可能丢失的 。可穷举攻击 :因为 IC 卡的认证信息一直不变 , 所以在任意 长的时间内进行穷举攻击 。泄密性 :可以使用木马钩子程序截取分析电脑与读卡器的 读写过程 , 从而分析获得 IC 卡中

10、的数据 。指纹 、 虹膜每 个 人 的 生 物 特 征 很少重复 , 不可更改 。静态性 :用户的生物特征是不可更改的静态认证信息 , 如 果一旦泄密就可以被非法使用 。复制性 :在目前的技术现状下 , 还是有一定的可复制性 。 泄密性 :用户的指纹会在很多地方留下 , 很容易被窃取 。 误认率 、 误拒率不能都很低 。CA 认证公钥私 钥机 制 :由 第三 方 CA 认 证 中 心 保 证公钥的正确性 。随机性 、 不可 逆 :没 有特 征 , 无 法 进 行 字 典 分析 , 采用不可逆算法 , 无法从公钥逆推私钥 。静态性 :用 户 的 数 字 证 书 是静 态 认 证 信 息 , 如

11、果 一 旦泄 密 就可以被非法使用 。泄密性 :用户使用数字证书必须先导入在电脑上 , 如果是 在公用电脑使用后忘了删除导入的数字证书 , 那么非法用户 就有机会窃取 ; 黑客木马程序也能记录用户的数字证书导入 口令 , 然后窃取用户的数字证书 ; CA 认证中心一般在其服务 协议中声明 了 对因 为 用 户 端 的 数 字 证 书 泄密 引 起 的 损 失 概 不负责 。复制性 :数字证书一般是保存在软盘 、 硬盘或 IC 卡中 , 这些 介质是可以被复制和阅读的 。非随身性 :因 为 数 字 证 书 并非 随 身 之 物 , 当 数 字 证 书泄 密 后用户并不一定能及时知道 。与 INT

12、ERNET 相连 :用户的认证在 INTERNET 上通过 CA 认证中心进行 , 易受 INTERNET 上黑客攻击 。表 2安全性比较前或访问时进行 。三 、 各种安全认证的比较目前安全认证技术主要有 :动态口令 、 USB 卡 、 IC 卡 、 磁卡 、 虹膜 、 指纹 、 CA 数字证书 、 掌纹 、 声纹 、 面像等 。 在此 对主要认证技术简单进行应用安全性和实现方便性上的 比较 。1. 安全性比较 ,(如表 2示 。2. 便捷性比较 ,(如表 3示 。在安全认证领域 , 安全性与便捷性成反向关系 , U 盾 的安全等级高于动态令牌 , 但是 U 盾会遇到计算机 、 操作 系统 、

13、 防火墙等软硬件适配性方面的问题 , 也会面临手机 、 iPad 等移动终端没有 USB 接口方面的问题 。 原来认为短 信密码相对安全性比较高 , 但在单独使用过程中 , 会遭遇 无线信号未覆盖 、 短信的时间滞后 , SIM 卡被克隆 , 电信主 机被侵入 , 密码被盗后无法确认是电信责任还是网上银行 的责任等方面的问题 。 因此 , 一般认证体系在相同便捷性情 况下 , 选择安全等级高的认证系统 , 在认证强度不足的情况 下 , 采用双因素的认证 。 另外 , 将认证强度与交易金额上限 相关 , 实现既便捷又相对安全的的认证方式 。四 、 安全认 证 系 统 遭 到攻击的事件理论上 被认

14、 为 需 要 几 百万 年 才 能 被 攻 破 的 系 统 , 存在事后被认为 显而 易 见的 漏洞 。1. 美国网络安全认证巨头 RSA 公司遭 受攻 击 , 4000万个种子文件被盗 。 2011年3月 , RSA 公司透露其受到网络攻击 , 攻击造成 SecurID 的关 键 信 息 丢 失 。 6月 2日 ,RSA 确认了 在 3月 份 的 被盗的 数 据 被 用 来 攻 击 洛 克 希德 马丁公司 和其他 美 国 国防承包商 。 6月 6日 , 该公司在全球范 围 召 回 4000万 只SecurID 。为规避 种子 文 件 库 被 攻破 , 可以采用两次 SecurID 激活方案

15、, 既在出 厂 时激 活 一次 , 在发 放给 用户是 再 设一次 SecurID 。 理论上 , 只有获得两个 SecurID 库 , 并知道两个SecurID 库之间的对应关系才能攻破动态令牌 。2. 第 一 代 U 盾 遭 受 攻击 。 原来被公 认为安 全 等级最 高 的 U 盾 , 也 遭 受 攻 击 。2011年 4月 , 北京一犯罪分 子利用木马突破网银 U 盾 30秒窃 30万 。 犯罪分子通过将 木马程序 , 远程控制用户电脑 , 然后在 U 盾尚未拔掉的情 况下 , 完成转帐 。 随即 , 招商银行等银行宣布 , 下调通过第 三方支付进行的网上交易限额 。 其中 , 招商银

16、行大众版一 卡通客户的网上支付 、 转账上限由原来的 5000元 /日调整 为 500元 /日 ; 而信用卡客户的网上支付单日限额也由原 来的自行设置调整为单笔不超过 500元 。 除招行外 , 其他 商业银行也以支付安全为理由将网银交易上限大幅下调 。 3. 中国银行第一代动态令牌遭受钓鱼网站攻击 。 持有 中行 “ E 令 ”(动态令牌 的用户登录仿冒中国银行主页的 钓鱼网站后 , 即暴露静态密码和动态密码 , 而钓鱼网站利 用动态密码在 60秒钟内有效的特点 , 有程序自动登陆中 国银行主页并转账 。 据业内人士估计 , 此轮中行遭受的损 失上亿元 。 此后 , 中国银行增加短信密码作为

17、第二个认证 因素 。目前 , 生成与账户 、 转账金额相关的挑战 /应答型动态 令牌可以有效化解这方面的风险 。五 、 电子安全认证相关法律法规网络银行和电子商务相关的主要法律法规包括 : 中 发展战略 90- 现代管理科学 2012年第 4期安全认证技术 系统建设和改造的便捷性 便捷性动态令牌只要有数字键盘 , 例 :电脑 、 POS小键盘 、 电话机等 。只 需 要 在 服 务 器 上 安 装 软 件 ,一般不需要在客户端安装软件 。随时随地可以使用 , 可以在家里 、 办公室 、 公众 场合使用 。USB 卡只能在有 USB 的电脑上使用 。必 须 在 使 用 的 客 户 端 电 脑 上

18、 安装 USB 卡读写软件 。不能 在 没 有 安 装 USB 卡 读 写 软 件 的 电 脑 上 使 用 , 例 :公众场合 。不能用于电话委托系统等 。智能 IC 卡 (带 CPU 必须在客户端电脑上安 装读 卡器才能使用 。只能在安装了读卡器的客户端电脑上使用 。 读卡器可动部件较多 , 容易损坏 。不能用于电话委托系统等 。指纹 、 虹膜必须在客户端安装 指 纹 、 虹膜输入设备 。非常便利 。有时候指纹会模糊 , 有些人天生指纹模糊 。 误认率 、 误拒率不能都很低 。不能用于电话委托系统等 。CA 认证必须在使用的客户端电 脑上 导入用户数字证书 , 客户端 电 脑 必须支持 CA

19、 认证 。必 须 和 INTERNET 上 的 CA 认证中心联网 。只能在导入了用户数字证书的电脑上使用 。最好在家里使用 , 如果在公众电脑上使用 , 必须在使用后删除用户数字证书 。最好在保存用户数字证书的电脑上安装防火墙软件 , 以免网络黑客窃取电脑中的用户数字证书 。不能用于电话委托系统等 。表 3便捷性比较 发展战略华人 民 共 和 国 电 子 签 名 法 、 电 子 银 行 业 务 管 理 办 法 、 电 子 认 证 服 务 管 理 办 法 、 电 子 认 证 服 务 密 码 管 理 办 法 、 商 用 密 码 管 理 条 例 、 商 用 密 码 产 品 生 产 管 理 规 定

20、、 商用密码产品销售管理规定 、 商用密码产品使用 管 理 规 定 、 境 外 组 织 和 个 人 在 华 使 用 密 码 产 品 管理 办 法 、 电 子 支 付 指 引 (第 一 号 、 电 子 银 行 安 全 评 估 指 引 、 关于网上交易的指导意见 (暂行 、 信息安全等级 保护管理办法 。2004年 8月 28日 , 十届全国人大常委会第十一次会 议通过了 中华人民共和国电子签名法 是该领域比较基 础性的法律 , 主要规定了四方面的内容 :确立了电子签名 的法律效力 ; 规范了数据电文 ; 设立电子认证服务市场准 入制度 ; 制定了电子签名安全保障制度 。 虽然在 电子签名 法 诞

21、生后 , 完成了对 公司法 、 票据法 、 证券法 、 拍 卖法 的修订工作 , 但仍然存在许多衔接方面的问题 。 合 同法 第 32条规定 :“ 当事人采用合同书形成订立合同的 , 自双方当事人签字或盖章时合同成立 ”。 该合同书很明显 指的是传统的书面合同并不涉及电子合同 。 与电子合同有 关的是 合同法 第 33条 :“ 当事人采用信件 、 数据电文形 式订立合同的 , 可以在合同成立之前要求签订确认书 , 签 订确认书时合同成立 ”。 但在这里 合同法 并没有解决电 子合同的签名问题 , 而是将其抛给了当事方自己处理 。 当 事人既可以要求签订确认书 , 也可以不要求签订确认书 。 事

22、实上 , 由于当事方在现实中客户与银行的财力 、 技术水 平 、 经验等方面并不是一样的 , 客户与银行很难通过协商 达成公平的解决方案 。 电子签名法 倾向但不强制要求采 用第三方认证 。 1999年由中国人民银行牵头组织工商银 行 、 建设银行 、 中国银行 、 农业银行等多家商业银行联合共 建国家金融认证中心 (CFCA 。 事实上 , 中农工建交招等大 型银行依然采用本银 行 内部认证机制 , 未采用 CFCA 认 证 。 另外 , 电子签名法 倾向于电子签名 , 但由于现实情况 、 技术水平决定电子签名效 率比较低 、 依然存在安全漏洞 , 而且与用户习惯不符 , 因此为 其他安全认证方法留下足够的 空间 。 如 “ 第三十四条第三款 :电子签名认证证书 , 是指可证 实电子签名人与电子签名制作 数据有联系的数据电文或者其 他电子记录 ”。 总体看来 , 电子 签名法 的表述上有较大的弹 性 , 实际情况是象征意义大于 操作意义 。银监会公布 电子银行 业 务管理办法 和 电子银行安全 评 估 指 引 , 于 2006年 3月 1日起施行 。 办法 上所指的电 子银行包括网上银行 、 电话银 行 、 手机银行 , 也包括其他利用 电子服务设备和网络 , 由客户通过自助服务方式完成金融 交易的银行业务 , 例如自助银行 、 ATM 机等 。 由于电子银行 的