| |
與其他新生事物一樣，網(wǎng)上銀行在其發(fā)展道路上也不是一帆風(fēng)順的，也就是說(shuō)各家商業(yè)銀行的網(wǎng)上銀行都出現(xiàn)過(guò)不同程度的案件。這些案件按其性質(zhì)，歸納起來(lái)有IT技術(shù)問(wèn)題、銀行管理問(wèn)題以及網(wǎng)銀客戶的安全意識(shí)薄弱和操作不當(dāng)?shù)纫鸷诳偷墓簦斐善墼p案件的發(fā)生等問(wèn)題。那么，對(duì)網(wǎng)上銀行目前出現(xiàn)的這些安全問(wèn)題，將如何防范呢？防范網(wǎng)上銀行支付安全應(yīng)有兩大保障：一是法律保障；二是技術(shù)安全保障。
目前，我國(guó)的法律包括了國(guó)家有關(guān)主管部門(mén)對(duì)網(wǎng)上銀行、網(wǎng)上電子支付所做的法律與規(guī)范。已頒布的《中國(guó)電子簽名法》于2005年4月1日開(kāi)始執(zhí)行，它確定電子簽名與手工簽名和印章具有同等法律效力；人民銀行發(fā)布的“電子支付指引（一）”指明，在網(wǎng)上銀行的支付中不使用數(shù)字證書(shū)的客戶每次一筆交易只限1000元；而銀監(jiān)會(huì)發(fā)布的“網(wǎng)上銀行管理辦法”規(guī)定了開(kāi)通網(wǎng)上銀行必須經(jīng)過(guò)有效的評(píng)估和銀監(jiān)會(huì)的批準(zhǔn)；此外，“證書(shū)認(rèn)證管理規(guī)范”（CSP）規(guī)定了認(rèn)證機(jī)構(gòu)CA與其證書(shū)用戶之間的責(zé)任和義務(wù)，是法律的補(bǔ)充、是CA管理運(yùn)行的規(guī)范。但是，在數(shù)字化經(jīng)濟(jì)大發(fā)展、網(wǎng)上在線支付已成為電子商務(wù)發(fā)展瓶頸的今天，上述這些法律法規(guī)還遠(yuǎn)遠(yuǎn)不能滿足客觀的需求。如電子交易法的制定、會(huì)計(jì)法的修改、票據(jù)法的修改以及合同法的修改等等。
在技術(shù)保障方面，網(wǎng)絡(luò)層安全防范具體措施規(guī)定了在網(wǎng)銀的網(wǎng)絡(luò)組成中，應(yīng)在有關(guān)網(wǎng)段設(shè)置異構(gòu)的多道防火墻，以防止外部的黑客攻擊。不同的防火墻，具有不同安全阻斷、過(guò)濾非授權(quán)攻擊的防范機(jī)制，黑客即使攻破第一道防火墻，不一定能攻破第二道，不同的防火墻要合理地開(kāi)放不同的接口，能有效地防止黑客程序的攻擊；在設(shè)置安全路由器，以過(guò)濾輔助防火墻防止外部黑客程序的攻擊；設(shè)置入侵檢測(cè)裝置IDS。IDS可以自動(dòng)掃描系統(tǒng)的漏洞，掃描來(lái)自網(wǎng)絡(luò)外部的攻擊，并能自動(dòng)殺毒或阻斷某些攻擊，它還可以對(duì)于某些黑客攻擊程序提出報(bào)警，用戶可以及時(shí)斷開(kāi)系統(tǒng)或啟動(dòng)殺毒程序；設(shè)置防黑客軟件系統(tǒng)�，F(xiàn)在，防止黑客攻擊網(wǎng)站的程序已有很多，需要選擇功能較強(qiáng)的產(chǎn)品，安置于網(wǎng)站服務(wù)器。它在一定程度上阻止了某些黑客程序的攻擊和侵入。在網(wǎng)絡(luò)層實(shí)施安全機(jī)制是網(wǎng)上銀行安全防范的重點(diǎn)之一。
在網(wǎng)上銀行的開(kāi)辦初期面向普通大眾方便上網(wǎng)之時(shí)，這種簡(jiǎn)單的登錄方式是一種較好的方式。但是，黑客們很快就摸清了銀行的這種簡(jiǎn)單認(rèn)證機(jī)制，黑客的“假冒通知”、“網(wǎng)上釣魚(yú)”、“木馬程序”、“快樂(lè)的耳朵”等等，其目標(biāo)只有一個(gè)，即在網(wǎng)上竊取用戶的口令，而且制造起來(lái)極為方便。為此，《金融時(shí)報(bào)》在2005年4月發(fā)表了題為《網(wǎng)上銀行應(yīng)取蒂大眾版》、國(guó)家信息安全測(cè)評(píng)認(rèn)證雜志2005年5月號(hào)發(fā)表了《加強(qiáng)網(wǎng)上銀行的安全防范》——《向“大眾版”說(shuō)不》的文章。其目的就是要提醒銀行和客戶，不要再推出和使用不安全的“大眾版”和“普通版”。
基于安全考慮，多家銀行都采取了動(dòng)態(tài)口令，以保證網(wǎng)上銀行的交易安全。動(dòng)態(tài)口令與傳統(tǒng)的靜態(tài)口令相比具有以下優(yōu)勢(shì)：一是動(dòng)態(tài)性。用戶的動(dòng)態(tài)口令隨設(shè)定的時(shí)間或事件等變量自動(dòng)變化，無(wú)須人工干預(yù)，某一時(shí)刻產(chǎn)生的動(dòng)態(tài)口令不能在其他時(shí)刻使用。二是一次性。任一時(shí)刻產(chǎn)生的動(dòng)態(tài)口令在其失效前只能被用戶使用一次，否則，系統(tǒng)將視其為非法行為而報(bào)警。三是隨機(jī)性。動(dòng)態(tài)口令是隨機(jī)生成、無(wú)規(guī)律的。即使本次口令被竊聽(tīng)成功，也難以由此猜出下次的口令。四是多重安全性。用戶的動(dòng)態(tài)口令令牌產(chǎn)生的動(dòng)態(tài)口令與用戶名、靜態(tài)口令等多因素結(jié)合實(shí)現(xiàn)多重認(rèn)證。即使電子令牌丟失，用戶仍可在應(yīng)急狀態(tài)下利用用戶名和靜態(tài)口令進(jìn)行用戶身份認(rèn)證。而其他非法持有者，單靠令牌無(wú)法實(shí)現(xiàn)登錄及認(rèn)證。五是通用性。用戶操作的客戶端無(wú)需增加任何軟件，只需在提示輸入動(dòng)態(tài)口令時(shí)鍵入當(dāng)時(shí)令牌上顯示的口令。在認(rèn)證服務(wù)器端，采用PPP、RADIUS等標(biāo)準(zhǔn)協(xié)議實(shí)現(xiàn)被訪問(wèn)對(duì)象與認(rèn)證服務(wù)器之間信息交換，可方便地在網(wǎng)絡(luò)環(huán)境下實(shí)現(xiàn)身份認(rèn)證。六是可管理性。（刮刮卡除外）統(tǒng)一的身份認(rèn)證方式和動(dòng)態(tài)口令生成方式，能大大減小在分發(fā)密碼、支持服務(wù)、密碼丟失、密碼更改及身份管理等各個(gè)方面的開(kāi)銷和成本。基于以上靜態(tài)密碼的缺陷和動(dòng)態(tài)口令的優(yōu)勢(shì)，銀行在重要的網(wǎng)上銀行系統(tǒng)的“大眾版”應(yīng)取消靜態(tài)口令。
USBKey近幾年有很大的進(jìn)步和發(fā)展，有人稱USBKey是對(duì)PKI的有力發(fā)展，它已基本做到了“傻瓜型”。如果想成為某商業(yè)銀行的客戶，只要登錄銀行網(wǎng)站，就會(huì)自動(dòng)地將數(shù)字證書(shū)下載到客戶的USBKey中。當(dāng)客戶進(jìn)行網(wǎng)上銀行時(shí)，只要將其插入U(xiǎn)SB口，輸入PIN碼，通過(guò)操作證書(shū)后進(jìn)行網(wǎng)上認(rèn)證和簽名。其優(yōu)點(diǎn)在于：一是安全可靠。證書(shū)和私鑰不可被拷貝，加密簽名在Key中進(jìn)行，不暴露在內(nèi)存中，黑客無(wú)法竊取客戶私鑰。二是簽名。《電子簽名法》規(guī)定，特別是對(duì)那些B2B大型企業(yè)的大額交易，必須使用USBKey證書(shū)的介質(zhì)，以確保網(wǎng)上交易的安全。三是USBKey的價(jià)格與Token令牌相比稍貴，但壽命周期長(zhǎng)，物理電氣性能穩(wěn)定。四是可實(shí)現(xiàn)交易的數(shù)字簽名，具抵否認(rèn)性和數(shù)據(jù)保密。雖然數(shù)字證書(shū)是網(wǎng)上身份的證明，但并不能作為“文件證書(shū)”存放在PC機(jī)的硬盤(pán)中，由此避免被黑客用木馬程序竊取，即用即插，用完收存。 本新聞共 2頁(yè),當(dāng)前在第 1頁(yè) 1 2 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
