网银安全.doc

前言：本文是对于一般性质的网上银行系统安全性的技术分析文章，对于目前中国国内具体银行的安全性不具有评测功能，也不对任何第三方评测数据负责。以下是正文。网络银行是一个比较新的概念，中国的网络银行大多是对现有银行专用网的延伸和对银行传统业务方式的补充，银行增加一些软、硬件设备，使得用户可以通过家用电脑连接银行系统，进行各种普通的银行业务，以弥补传统银行业务中营业网点少和营业时间短的不足。中国的网上银行起步比较早的是深圳招商银行，他们开发过第一个面向最终用户的网银系统。招行的网络银行有大众版和专业版之分。随着网络的大规模普及，中国各个银行也都逐步开启自己的网银系统，有些银行的系统仅局限在账户信息查询方面，有些则包含转账付款等功能，还有的已经涉及贷款、投资等方面的内容。随着网银的普及，网银的安全性成为整个系统中最为至关重要的部分了。今年以来，大量的关于网上银行发生骗盗的报道不断见诸报端。不法分子通过窃取用户的卡号和密码，大量盗窃资金和冒用消费，因此虽然网银对于银行和用户都有不少好处，但是发生这些情况使得银行在推广网银面临非常巨大的风险，提高网银的安全性也是刻不容缓。根据一般的报道分析，不法分子窃取用户信息主要通过木马程序来进行，比如，黑客首先在用户电脑系统注入木马程序后，驻留在中招电脑系统里的监控系统就可以截取、监控系统及用户上网时打开的网银密码窗口。也就是说当用户在网银程序里输入卡号或密码时计算机就会自动将相关信息的编码发送给黑客，他们再据此进行反读取以破译，钱便被黑走了。目前的网银系统的主要问题是，用户安全性过于依赖用户本身的素质，对于安全观念较差的用户，其密码很容易被盗取，因此这种“信任用户”的安全模式设计是很不合理的。用户的电脑可能安装木马程序，用户的一举一动都可能被监听和窃取，安全的网银系统应该设计成为这样的：假设网银的管理员是黑客，并在最终用户电脑安装木马并且可以监听用户的一切键盘鼠标操作，网银的管理员还可以进行系统管理和操作，但是网银的管理员依旧无法通过网银系统来窃取最终用户的资金。如果能做到这一点，那么这个网银系统就算是比较安全了。明天，我将继续介绍，这样的网银系统安全性是如何实现，从那些方面可以保证系统的安全性，以及这样的系统存在什么样的漏洞。摘要网上银行为金融企业的发展带来商机并为众多用户带来了方便,但同时网上银行网站本身的安全性问题、交易信息在商家与银行之间传递的安全性问题、交易信息在消费者与银行之间传递的安全性问题已成为网上银行业务面临的主要安全问题,分析这些安全问题产生的根源,并提出一些防范对策,显得尤为必要。 关键词网上银行 网络支付 安全性问题 随着电子商务技术的发展,网上银行的使用也越来越广泛,但是网上银行还存在很大的安全问题,必须引起广大网民群众的重视。 一、我国网上银行存在的安全性问题 1.网上银行网站存在的安全性问题 在网络银行中,企图非法窃取密码的作案者如果采用可以改变登录ID的方法,即便登录失败,网站也不会将密码视为无效。除了用软件窃取密码这样的隐忧以外,“冒充站点”也是网上银行使用中一个非常重要的安全隐患。客户在不了解情况时就会向虚假站点发送ID和密码。客户发送完毕后,如果显示出一个“服务马上就要停止”的画面,或者把客户访问重新引导到正规站点上,客户当时是很难察觉的。这样一来,就存在有人进行非法资金转移的可能性。 2.交易信息在商家与银行之间传递的安全性问题 因为互联网的虚拟性,交易双方无法确保对方身份的真实性,尤其在当事人仅仅通过互联网交流时,在这种情况下,要建立交易双方的信用机制和安全感是非常困难的。资金在网上划拨,安全性是最大问题,发展网上银行业务,大量经济信息在网上传递。而在以网上支付为核心的网上银行,电子商务最核心的部分包括CA认证在内的电子支付流程。就是说国内目前的网上银行还不能算真正的网上银行,只有真正建立起国家金融权威认证中心(CA)系统,才能为网上支付提供法律保障。 3.交易信息在消费者与银行之间传递的安全性问题 目前,我国银行卡持有人安全意识普遍较弱,不注意密码保密,或将密码设为生日等易被猜测的数字。一旦卡号和密码被他人窃取或猜出,用户账号就可能在网上被盗用,例如进行购物消费等,从而造成损失,而银行技术手段对此却无能为力。因此一些银行规定:客户必须持合法证件到银行柜台签约才能使用“网上银行”进行转账支付,以此保障客户的资金安全。另一种情况是,客户在公用的计算机上使用网上银行,可能会使数字证书等机密资料落入他人之手,从而直接使网上身份识别系统被攻破,网上账户被盗用。用户和银行之间通过互联网传递的信息是实现交易的基础条件,如何确保不被第三方知道,是网上业务安全进行的一个重要前提。 综上所述,其根本原因都是由于登录密码或支付密码泄露造成的。密码管理问题。网络病毒、木马问题。钓鱼平台。另外还有网上支付的信用问题、网上支付的法律问题和网上安全认证机构(CA)建设混乱等问题。 二、网上银行安全性问题解决的对策 1.做好自身电脑的日常安全维护 一是经常给电脑系统升级。二是安装杀毒软件、防火墙,经常升级和杀毒。三在平时上网是尽量不上一些小型网站,选大型网站,知名度比较高的网站,避免网站挂有病毒、木马造成中毒。四尽量不要在公共电脑上使用自己的有关资金的账户和密码。五有条件的情况下,在初装系统后确认电脑安全的后,给自己的电脑做上备份,在使用资金账户前做一次系统恢复。 2.设立防火墙,隔离相关网络 所谓防火墙指的是位与不同网络安全域之间的软件和硬件设备的一系列部件的组合,作为不同网络安全域之间通信流的唯一通道,并根据用户的有关策略控制进出不同网络安全域的访问。现实生活中一般采用多重防火墙方案,分隔互联网与交易服务器,防止互联网用户的非法入侵;还用于交易服务器与银行内部网的分隔,有效保护银行内部网,同时防止内部网对交易服务器的入侵。3.设置高安全级的web应用服务器 高安全级的web服务器使用可信的专用操作系统,凭借其独特的体系结构和安全检查,保证只有合法用户的交易请求能通过特定的代理程序送至应用服务器进行后续处理。 4.建立完善的身份认证和CA认证系统 在网上银行系统中,用户的身份认证依靠基于“RSA公钥密码体制”的加密机制、数字签名机制和用户登录密码的多重保证。银行对用户的数字签名和登录密码进行检验,全部通过后才能确认该用户的身份。用户的惟一身份标识就是银行签发的“数字证书”。用户的登录密码以密文的方式进行传输,确保了身份认证的安全可靠性。数字证书的引入,同时实现了用户对银行交易网站的身份认证,以保证访问的是真实的银行网站,另外还确保了客户提交的交易指令的不可否认性。由于数字证书的惟一性和重要性,各家银行为开展网上业务都成立了CA认证机构,专门负责签发和管理数字证书,并进行网上身份审核。2000年6月,由中国人民银行牵头,12家商业银行联合共建的中国金融认证中心(CFCA)正式挂牌运营。这标志着中国电子商务进入了银行安全支付的新阶段。中国金融认证中心作为一个权威的、可信赖的、公正的第三方信任机构,为今后实现跨行交易提供了身份认证基础。 5.加强客户的安全意识和网络通讯的安全性 银行卡持有人的安全意识是影响网上银行安全性的不可忽视的重要因素。一些银行规定:客户必须持合法证件到银行柜台签约才能使用“网上银行”进行转账支付,以此保障客户的资金安全。另一种情况是,客户在公用的计算机上使用网上银行,可能会使数字证书等机密资料落入他人之手,从而直接使网上身份识别系统被攻破,网上账户被盗用。 安全性作为网络银行赖以生存和得以发展的核心及基础,从一开始就受到各家银行的极大重视,都采取了有效的技术和业务手段来确保网上银行安全。但安全性和方便性又是互相矛盾的,越安全就意味着申请手续越烦琐,使用操作越复杂,影响了方便性,使客户使用起来感到困难。因此,必须在安全性和方便性上进行权衡。 互联网是一个开放的网络,客户在网上传输的敏感信息在通讯过程中存在被截获、被破译、被篡改的可能。为了防止此种情况发生,网上银行系统一般都采用加密传输交易信息的措施,使用最广泛的是SSL数据加密协议。 参考文献: 1孙强.互联网商务应用M.北京:对外经济贸易大学出版社,2000. 2关翔.中国电子商务与实践M.北京:清华大学出版社,2000. 3吴百福.国际贸易结算实务M.北京:中国对外经济贸易出版社,1997. 4周平.网上银行M.北京:中国财经出版社.2006.网上银行安全问题分析 2.1安全问题是用户最关心的问题 调查显示,现有个人用户选择网银的因素2007年与2006年最大的变化是:“网银的安全性能”超过了“选择网银主要根据原来的开户行而定”上升到了第一位。与2006年对比,2007年企业选择网上银行的因素中,公司因原有银行帐户的原因仍然排名第一,其比例仍然在50%以上,2007年排名第二、第三和第四名的分别为网银的安全性能、银行的知名度和网银的服务水平及态度。而无论个人和企业,非现有用户选择网银时看重的因素没有显著变化,最重视的依然是网银的安全性能。这也是阻碍他们实际使用网银的最大因素。 2.2安全问题成为障碍的原因分析 随着网上银行的迅速发展,网上银行、电子商务中的各类安全事件、纠纷不断增加。安全,已经成为网上银行各方面最为关注的问题,是制约网上银行进一步发展的瓶颈。网上银行面临的安全隐患除了来自数据传输风险、应用系统设计的缺陷和计算机病毒的攻击三个方面外,利用网上银行进行欺诈的行为是当前危害最大、影响最恶劣的一个安全问题。这些欺诈手段包括假冒银行网站、电子邮件欺诈和网上交易陷阱等。从目前看,这类欺诈案件发生的原因可归结为IT技术方面问题、银行管理方面问题以及客户安全意识薄弱,操作不正当等方面。而随着网上银行的发展和普及,针对网上银行的欺诈行为和犯罪事件会越来越多,而犯罪分子利用的技术手段也越来越先进。网上银行欺诈是国际性难题。即使在国外,也没有完全有效的技术手段。这是一个需要各方面共同努力的问题。以下内容转自博客堂 纯技术视点 /moslem/ - 网上银行“安全登录控件”分析 国内的一些银行的网上银行系统为了用户信息的安全，在登录页面上使用了名为“安全登录控件”的东西，取代了传统的 HTML 的输入控件（Input），下面就对用户量较大的招商银行和工商银行的登录界面及“安全登录控件”做一下对比。 1、招商银行 招商银行的网上银行系统做的比较早，用户也很大，深受大部分用户欢迎，其在安全控制手段上也一直比较严格。 在进入正题之前，先来一点题外话：招商银行的有些安全控制办法很值得我们学习，例如专业版证书，据我猜想，可能是在标准的 X.509 证书上又做了一些安全保护，即对标准的证书又进行加密（加密方式不是公开的），这样在计算机中保存/备份的证书是不能通过 Windows 提供的程序去打开的，只有在专业版软件中输入正确的密码后才能导入，这样即遵循了标准，保证了扩展性，又在安全措施上大大加强了。 招商银行的大众版不象专业版那样版本更新很快（可见招商银行的专业版用户量很大，而大众版并不是其发展的重点），大众版自诞生之日起，界面一直比较简单朴素，但基本功能都具备。通过对大众版登录界面的的分析，得到了一下信息： 1) 在登录界面上有数字验证码来防止暴力攻击 2) 安全登录控件中包含两个控件：帐户和密码输入控件 3) 用户输入登录信息后，提交时 Javascript 从安全登录控件中取出的帐户和密码是经过加密的，即在 SSL 加密的基础上，又做了自定义的加密，完全做到了端到端的保密通讯（这一点可以通过 ieHTTPHeaders 查看出来） 4) 在登录 Form 中还有一个 ClienNo 和 SerialNo 等字段，这些值被设置为安全登录控件的 Option，估计是做为加密所用 Key 的一部分 5) 登录 Form 的提交地址是一个 DLL（ISAPI？），Web Server IIS 5.0 (招商银行的主页似乎运用了 Content Management Server ，从其页面源码中可以看出来） 6) 安全登录控件的 CAB 包（CMBEdit.CAB)，大小有 117 KB，包含控件 CMBEdit.DLL ，应该是使用 VC 编写的，版本 1.1，经过 VeriSign 代码签名 7）最关键的是，不管是 MVM 的基于 .NET 的键盘 Hook 程序，还是另外一个基于 VB 的键盘 Hook 程序，都无法捕捉用户在安全登录控件里输入的键值，这也许是最重要的一点 8) 由于在页面中使用 ActiveX ，可能给一些用户带来登录问题（如安全设置不同或安装 XP SP2 都可能阻止 ActiveX 的安装），招商银行的页面上明确给出了解决登录的链接文档。 总之，招商银行的网上银行登录界面在安全上的确做的不错。 2、中国工商银行 工商银行网上银行近两年发展很快，成了其不可或缺的一个重要渠道，且被国外一些媒体评为中国最佳网上银行。 1) 工商银行的个人网上银行系统登录界面中没有使用验证码来防止暴力攻击，这种成本非常低，但安全性回报很高的做法竟然都不用（扣1分） 2) 登录界面中，只有密码域使用了安全控件，难道帐号信息就不重要（扣1分） 3) 在 ieHTTPHeaders 捕捉到的登录 Form 提交的信息中，帐号和密码是未加密的明文，且没有任何其它的信息来防止安全攻击（扣3分） 4) 有意思的是，在登录界面的 HTTP Response 信息中，不但有 IIS 5.0 的信息，还有 WebSphere Application Server 4.0 的信息，看来其 Web Server 是 IIS，而 Application Server 又是 WebSphere ，这一对组合 . 5) 登录安全控件的 CAB 包（AxSafeControls.CAB) 大小约为 174 K，经过 VeriSign 代码签名，里面有三个 DLL ：InputCo