【简 介】
与其他新生事物一样，网上银行在其发展道路上也不是一帆风顺的，也就是说各家商业银行的网上银行都出现过不同程度的案件。这些案件按其性质，归纳起来有IT技术问题、银行管理问题以及网银客户的安全意识薄弱和操作不当等引起黑客的攻击，造成欺诈案件的发生等问题。那么，对网上银行目前出现的这些安全问题，将如何防范呢？防范网上银行支付安全应有两大保障：一是法律保障；二是技术安全保障。
|
|
|
|
|
与其他新生事物一样，网上银行在其发展道路上也不是一帆风顺的，也就是说各家商业银行的网上银行都出现过不同程度的案件。这些案件按其性质，归纳起来有IT技术问题、银行管理问题以及网银客户的安全意识薄弱和操作不当等引起黑客的攻击，造成欺诈案件的发生等问题。那么，对网上银行目前出现的这些安全问题，将如何防范呢？防范网上银行支付安全应有两大保障：一是法律保障；二是技术安全保障。
目前，我国的法律包括了国家有关主管部门对网上银行、网上电子支付所做的法律与规范。已颁布的《中国电子签名法》于2005年4月1日开始执行，它确定电子签名与手工签名和印章具有同等法律效力；人民银行发布的“电子支付指引（一）”指明，在网上银行的支付中不使用数字证书的客户每次一笔交易只限1000元；而银监会发布的“网上银行管理办法”规定了开通网上银行必须经过有效的评估和银监会的批准；此外，“证书认证管理规范”（CSP）规定了认证机构CA与其证书用户之间的责任和义务，是法律的补充、是CA管理运行的规范。但是，在数字化经济大发展、网上在线支付已成为电子商务发展瓶颈的今天，上述这些法律法规还远远不能满足客观的需求。如电子交易法的制定、会计法的修改、票据法的修改以及合同法的修改等等。
在技术保障方面，网络层安全防范具体措施规定了在网银的网络组成中，应在有关网段设置异构的多道防火墙，以防止外部的黑客攻击。不同的防火墙，具有不同安全阻断、过滤非授权攻击的防范机制，黑客即使攻破第一道防火墙，不一定能攻破第二道，不同的防火墙要合理地开放不同的接口，能有效地防止黑客程序的攻击；在设置安全路由器，以过滤辅助防火墙防止外部黑客程序的攻击；设置入侵检测装置IDS。IDS可以自动扫描系统的漏洞，扫描来自网络外部的攻击，并能自动杀毒或阻断某些攻击，它还可以对于某些黑客攻击程序提出报警，用户可以及时断开系统或启动杀毒程序；设置防黑客软件系统。现在，防止黑客攻击网站的程序已有很多，需要选择功能较强的产品，安置于网站服务器。它在一定程度上阻止了某些黑客程序的攻击和侵入。在网络层实施安全机制是网上银行安全防范的重点之一。
在网上银行的开办初期面向普通大众方便上网之时，这种简单的登录方式是一种较好的方式。但是，黑客们很快就摸清了银行的这种简单认证机制，黑客的“假冒通知”、“网上钓鱼”、“木马程序”、“快乐的耳朵”等等，其目标只有一个，即在网上窃取用户的口令，而且制造起来极为方便。为此，《金融时报》在2005年4月发表了题为《网上银行应取蒂大众版》、国家信息安全测评认证杂志2005年5月号发表了《加强网上银行的安全防范》——《向“大众版”说不》的文章。其目的就是要提醒银行和客户，不要再推出和使用不安全的“大众版”和“普通版”。
基于安全考虑，多家银行都采取了动态口令，以保证网上银行的交易安全。动态口令与传统的静态口令相比具有以下优势：一是动态性。用户的动态口令随设定的时间或事件等变量自动变化，无须人工干预，某一时刻产生的动态口令不能在其他时刻使用。二是一次性。任一时刻产生的动态口令在其失效前只能被用户使用一次，否则，系统将视其为非法行为而报警。三是随机性。动态口令是随机生成、无规律的。即使本次口令被窃听成功，也难以由此猜出下次的口令。四是多重安全性。用户的动态口令令牌产生的动态口令与用户名、静态口令等多因素结合实现多重认证。即使电子令牌丢失，用户仍可在应急状态下利用用户名和静态口令进行用户身份认证。而其他非法持有者，单靠令牌无法实现登录及认证。五是通用性。用户操作的客户端无需增加任何软件，只需在提示输入动态口令时键入当时令牌上显示的口令。在认证服务器端，采用PPP、RADIUS等标准协议实现被访问对象与认证服务器之间信息交换，可方便地在网络环境下实现身份认证。六是可管理性。（刮刮卡除外）统一的身份认证方式和动态口令生成方式，能大大减小在分发密码、支持服务、密码丢失、密码更改及身份管理等各个方面的开销和成本。基于以上静态密码的缺陷和动态口令的优势，银行在重要的网上银行系统的“大众版”应取消静态口令。
USBKey近几年有很大的进步和发展，有人称USBKey是对PKI的有力发展，它已基本做到了“傻瓜型”。如果想成为某商业银行的客户，只要登录银行网站，就会自动地将数字证书下载到客户的USBKey中。当客户进行网上银行时，只要将其插入USB口，输入PIN码，通过操作证书后进行网上认证和签名。其优点在于：一是安全可靠。证书和私钥不可被拷贝，加密签名在Key中进行，不暴露在内存中，黑客无法窃取客户私钥。二是签名。《电子签名法》规定，特别是对那些B2B大型企业的大额交易，必须使用USBKey证书的介质，以确保网上交易的安全。三是USBKey的价格与Token令牌相比稍贵，但寿命周期长，物理电气性能稳定。四是可实现交易的数字签名，具抵否认性和数据保密。虽然数字证书是网上身份的证明，但并不能作为“文件证书”存放在PC机的硬盘中，由此避免被黑客用木马程序窃取，即用即插，用完收存。
PKI是在网上银行系统的应用层进行的安全防范，是目前网上银行交易安全防范最有力的措施保证。PKI的核心执行机构是认证中心CA，核心元素是数字证书。它由第三方CA所签发，其作用是实现网络中数据加密的传输，负责交易数据的数字签名以及网上身份的证明，是虚拟世界的身份证。
证书的存放介质在国家GB/T《信息安全技术公钥基础设施 签名生成应用程序的安全要求》中明确规定：证书只能存放在USB Key、IC卡以及PCMCIA令牌中，否则以文件证书形式存放是不安全的，更不能存放在硬、软盘中。这种证书的存放方式，已引起多起交易安全的欺诈事件。银行在推荐证书介质时，特别是对那些企业大客户和VIP客户，一定要推荐USBKEY 或IC卡，只有这样才能确保证书使用安全，才能符合《电子签名法》规定。那些交易量小的、按银监会和人民银行规定的小额（每次不超过1000元）的用户，可以考虑使用或不使用文件证书，也可以使用如OTP令牌等一次性口令。
正确使用数字签名，确实能保障网上银行交易双方的安全，特别是对客户方的安全有较高的保证。数字签名的作用主要是提供在网络上传输、处理、交易实体的身份，保障数据的完整性、保密性和不可抵赖性。如果接收方数字签名验证成功，就符合国家《电子签名法》中第十三条可靠电子签名的条件。规定中要求，制作电子签名时，签名私钥必须由电子签名人自己控制，不能被他人窃取并利用；签署后对电子签名的任何改动能够被发现。也就是说，原文一旦做了签名，是不能做任何改动的。在网上银行的交易中，接收方一旦对交易数据和信息进行了签名，如果改动是会被发现的。特别是针对B2B或VIP客户的大额交易，必须采用数字证书，以确保交易安全可靠性。当然，此时的证书介质一定要安装在USBKEY中。即插即用，以防“伪造”和“劫持”签名。在网上银行的认证和交易中只要做到可靠的数字签名，才能使电子签名具有与手写签名或者盖章同等的效力。
【责任编辑 王凡】
|
|
|
 焦点文章
| | |
|
|
相关文章
|
