| |
與其他新生事物一樣，網(wǎng)上銀行在其發(fā)展道路上也不是一帆風(fēng)順的，也就是說各家商業(yè)銀行的網(wǎng)上銀行都出現(xiàn)過不同程度的案件。這些案件按其性質(zhì)，歸納起來有IT技術(shù)問題、銀行管理問題以及網(wǎng)銀客戶的安全意識薄弱和操作不當(dāng)?shù)纫鸷诳偷墓�，造成欺詐案件的發(fā)生等問題。那么，對網(wǎng)上銀行目前出現(xiàn)的這些安全問題，將如何防范呢？防范網(wǎng)上銀行支付安全應(yīng)有兩大保障：一是法律保障；二是技術(shù)安全保障。
目前，我國的法律包括了國家有關(guān)主管部門對網(wǎng)上銀行、網(wǎng)上電子支付所做的法律與規(guī)范。已頒布的《中國電子簽名法》于2005年4月1日開始執(zhí)行，它確定電子簽名與手工簽名和印章具有同等法律效力；人民銀行發(fā)布的“電子支付指引（一）”指明，在網(wǎng)上銀行的支付中不使用數(shù)字證書的客戶每次一筆交易只限1000元；而銀監(jiān)會發(fā)布的“網(wǎng)上銀行管理辦法”規(guī)定了開通網(wǎng)上銀行必須經(jīng)過有效的評估和銀監(jiān)會的批準(zhǔn)；此外，“證書認證管理規(guī)范”（CSP）規(guī)定了認證機構(gòu)CA與其證書用戶之間的責(zé)任和義務(wù)，是法律的補充、是CA管理運行的規(guī)范。但是，在數(shù)字化經(jīng)濟大發(fā)展、網(wǎng)上在線支付已成為電子商務(wù)發(fā)展瓶頸的今天，上述這些法律法規(guī)還遠遠不能滿足客觀的需求。如電子交易法的制定、會計法的修改、票據(jù)法的修改以及合同法的修改等等。
在技術(shù)保障方面，網(wǎng)絡(luò)層安全防范具體措施規(guī)定了在網(wǎng)銀的網(wǎng)絡(luò)組成中，應(yīng)在有關(guān)網(wǎng)段設(shè)置異構(gòu)的多道防火墻，以防止外部的黑客攻擊。不同的防火墻，具有不同安全阻斷、過濾非授權(quán)攻擊的防范機制，黑客即使攻破第一道防火墻，不一定能攻破第二道，不同的防火墻要合理地開放不同的接口，能有效地防止黑客程序的攻擊；在設(shè)置安全路由器，以過濾輔助防火墻防止外部黑客程序的攻擊；設(shè)置入侵檢測裝置IDS。IDS可以自動掃描系統(tǒng)的漏洞，掃描來自網(wǎng)絡(luò)外部的攻擊，并能自動殺毒或阻斷某些攻擊，它還可以對于某些黑客攻擊程序提出報警，用戶可以及時斷開系統(tǒng)或啟動殺毒程序；設(shè)置防黑客軟件系統(tǒng)�，F(xiàn)在，防止黑客攻擊網(wǎng)站的程序已有很多，需要選擇功能較強的產(chǎn)品，安置于網(wǎng)站服務(wù)器。它在一定程度上阻止了某些黑客程序的攻擊和侵入。在網(wǎng)絡(luò)層實施安全機制是網(wǎng)上銀行安全防范的重點之一。
在網(wǎng)上銀行的開辦初期面向普通大眾方便上網(wǎng)之時，這種簡單的登錄方式是一種較好的方式。但是，黑客們很快就摸清了銀行的這種簡單認證機制，黑客的“假冒通知”、“網(wǎng)上釣魚”、“木馬程序”、“快樂的耳朵”等等，其目標(biāo)只有一個，即在網(wǎng)上竊取用戶的口令，而且制造起來極為方便。為此，《金融時報》在2005年4月發(fā)表了題為《網(wǎng)上銀行應(yīng)取蒂大眾版》、國家信息安全測評認證雜志2005年5月號發(fā)表了《加強網(wǎng)上銀行的安全防范》——《向“大眾版”說不》的文章。其目的就是要提醒銀行和客戶，不要再推出和使用不安全的“大眾版”和“普通版”。
基于安全考慮，多家銀行都采取了動態(tài)口令，以保證網(wǎng)上銀行的交易安全。動態(tài)口令與傳統(tǒng)的靜態(tài)口令相比具有以下優(yōu)勢：一是動態(tài)性。用戶的動態(tài)口令隨設(shè)定的時間或事件等變量自動變化，無須人工干預(yù)，某一時刻產(chǎn)生的動態(tài)口令不能在其他時刻使用。二是一次性。任一時刻產(chǎn)生的動態(tài)口令在其失效前只能被用戶使用一次，否則，系統(tǒng)將視其為非法行為而報警。三是隨機性。動態(tài)口令是隨機生成、無規(guī)律的。即使本次口令被竊聽成功，也難以由此猜出下次的口令。四是多重安全性。用戶的動態(tài)口令令牌產(chǎn)生的動態(tài)口令與用戶名、靜態(tài)口令等多因素結(jié)合實現(xiàn)多重認證。即使電子令牌丟失，用戶仍可在應(yīng)急狀態(tài)下利用用戶名和靜態(tài)口令進行用戶身份認證。而其他非法持有者，單靠令牌無法實現(xiàn)登錄及認證。五是通用性。用戶操作的客戶端無需增加任何軟件，只需在提示輸入動態(tài)口令時鍵入當(dāng)時令牌上顯示的口令。在認證服務(wù)器端，采用PPP、RADIUS等標(biāo)準(zhǔn)協(xié)議實現(xiàn)被訪問對象與認證服務(wù)器之間信息交換，可方便地在網(wǎng)絡(luò)環(huán)境下實現(xiàn)身份認證。六是可管理性。（刮刮卡除外）統(tǒng)一的身份認證方式和動態(tài)口令生成方式，能大大減小在分發(fā)密碼、支持服務(wù)、密碼丟失、密碼更改及身份管理等各個方面的開銷和成本�；谝陨响o態(tài)密碼的缺陷和動態(tài)口令的優(yōu)勢，銀行在重要的網(wǎng)上銀行系統(tǒng)的“大眾版”應(yīng)取消靜態(tài)口令。
USBKey近幾年有很大的進步和發(fā)展，有人稱USBKey是對PKI的有力發(fā)展，它已基本做到了“傻瓜型”。如果想成為某商業(yè)銀行的客戶，只要登錄銀行網(wǎng)站，就會自動地將數(shù)字證書下載到客戶的USBKey中。當(dāng)客戶進行網(wǎng)上銀行時，只要將其插入USB口，輸入PIN碼，通過操作證書后進行網(wǎng)上認證和簽名。其優(yōu)點在于：一是安全可靠。證書和私鑰不可被拷貝，加密簽名在Key中進行，不暴露在內(nèi)存中，黑客無法竊取客戶私鑰。二是簽名。《電子簽名法》規(guī)定，特別是對那些B2B大型企業(yè)的大額交易，必須使用USBKey證書的介質(zhì)，以確保網(wǎng)上交易的安全。三是USBKey的價格與Token令牌相比稍貴，但壽命周期長，物理電氣性能穩(wěn)定。四是可實現(xiàn)交易的數(shù)字簽名，具抵否認性和數(shù)據(jù)保密。雖然數(shù)字證書是網(wǎng)上身份的證明，但并不能作為“文件證書”存放在PC機的硬盤中，由此避免被黑客用木馬程序竊取，即用即插，用完收存。 |
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
