四家海外银行的安全网银之道

霍 娜

圈里有这样一则真实的故事:某银行软件开发中心的一位工程师费劲心血开发出一套网银安全认证程序。之后,他恰好调到网络银行业务部门,于是他决定体验一下用自己开发产品的感觉。结果,耗费了一天的时间,他都没能安装利索自己开发的软件。

这则故事告诉我们:一方面,软件开发者和应用者的思维逻辑和关注重点是不一样的;另一方面,易用性其实是目前网银安全技术产品的应用瓶颈。而后者正是“2009中国国际电子银行发展论坛”上,与会者讨论的焦点话题。

其实,从数字证书到USBkey再到动态口令卡,业界对网银安全工具的技术问题的争议已经很少了,大家更关注的网银安全工具的易用性和厂商的行业经验。目前,国内市场应用的主流是USBkey,而国外银行大多是应用动态口令卡,采用双因子认证(一是认证网银用户的用户名和密码,二是通过动态口令卡等身份认证方式来认证用户信息)。论坛上,来自英国渣打银行、瑞士邮政银行、美国花旗银行、意大利BNL银行的四位网银专家分别从各自所在银行的应用实践角度出发,分享了其网上银行应用安全保障的经验。

渣打银行

安全投递口令卡

英国渣打银行安全及风险控制总监David Leach在论坛上陈述,根据APACS(英国银行卡组织)的调查,25%的英国人泄露了自己的PIN(密码)给其他人,使自己承受巨大的网络欺诈风险;27%的英国人在所有的网上都使用同样的PIN,这在人均拥有四张卡的英国,对网络欺诈者来说是件好事;44%的英国人仍将他们的卡随便处理,比如遗失在饭店或者酒吧,这增加了其遭遇网络欺诈的风险;51%的网上商店在下单前从来不会检查网址是否是http或者https,这意味着这些商店的安全意识也比较低。

为应对这些情况,渣打银行的网银安全实施双因子认证,他们认为解决方案必须迎合监管方面的具体变化。David Leach讲述了他们在实施双因子认证的过程中所遇到的问题。首先就是认证工具之一的动态口令卡的投递。渣打银行的用户数量非常庞大,区域分布非常广泛,用户的邮寄地址、联系电话等很可能已经发生了大量的变更,而渣打银行存档的用户信息并没有更新,这些都增加了口令卡投递的难度。David Leach介绍,对于会产生大额交易的用户的口令卡,他们采用的是特殊的投递方式,而不是一般的通过邮局平信投递,比如选择专门的第三方邮递企业实现准确可靠的投递;而对于更多普通用户,口令卡的投递是在与用户沟通核实用户最新信息之后,依赖邮政服务商和电信运营商实现可靠的投递和确认。David Leach表示,双因子是一个解决方案,但并不能指望它解决所有问题,欺诈者也在努力寻找阻力最小的道路,其实灵活性是解决方案的一个最大的挑战。随着商业模式的转变,如何保证网银安全变得越来越困难,尤其是在线的威胁正在迅猛增长的情况下。David Leach说:“我们接下来要做的就是整合安全技术,规避风险,重新审视保护用户安全过程中我们的角色。”

瑞士邮政银行

涵盖四种语言的用户手册

瑞士邮政是集物流、邮政、公众客运和金融服务为一体的大型集团,瑞士邮政银行是瑞士邮政的子品牌,拥有380多万用户,有100多万网银用户。由于网络攻击持续增长,用户存在多账号的情况,瑞士邮政银行面临更多、更高的网络安全需求。瑞士邮政银行得出了自己的业务需求:符合国际标准,简单易用,具备出色的灵活性,高性价比,支持多种业务渠道,更高安全级别,低维护成本,支持大规模部署的解决方案。

“我们选择了由读卡器、智能卡和用户信息组成的EMV CAP解决方案,它基于EMV(基于IC卡的金融支付标准),符合国际标准,支持OTP(一次性密码)和C/R(挑战/应答)登录认证,把交易签名作为附加的安全手段。”电子银行部高级经理Thomas Dinkel在论坛上介绍说,“EMV CAP能够支持多种业务渠道,比如电子银行、电话订货、电子商务等。”

他们选择借记卡、信用卡作为智能卡。这样做的好处是用户通常会随身携带,卡丢失时用户能立刻察觉,无需额外的卡和PIN,可避免用户的额外支付。为了增加产品的易用性,Thomas Dinkel介绍,由于瑞士邮政银行用户的国际性,他们的用户手册支持四种语言,并且是四种语言同页对比印刷。虽然这样乍看起来不如分别印制四种语言的手册省事、节省成本,但Thomas Dinkel介绍说这种做法在后来他们投递用户手册的过程中省了很大的事,因为他们不必再区分用户是说什么语言再对应投递,而是就全部投递这种集四种语言于一体的用户手册,用户拿到后自取所需就是了。除了四种语言的用户手册,为方便用户,瑞士邮政银行还将卡和用户手册打包一起投递,让用户只需接收一次即可。

另外,为成功推出智能卡和读卡器,瑞士邮政银行为用户提供电子教学服务,培训其学习使用智能卡和读卡器,并对所有分支机构、呼叫中心和员工进行教育培训,采用媒体手段进行宣传,呼叫中心提供7×24小时的服务,随时随地为用户提供支持。

Thomas Dinkel在总结瑞士邮政银行的经验时说:“产品要越简单易用越好;要为用户提供‘一揽子的解决方案,最好是渐进地实现集成,比如先实现安全认证登录,再实现交易签名。”Thomas Dinkel强调,物流保障其实是项目成败的关键因素。

花旗银行

对抗钓鱼网站只争朝夕

花旗银行作为全球知名的金融服务提供商,在100多个国家拥有数以千万的用户。在美国,花旗银行有三种网上银行业务渠道:Citibank Online是针对个人用户的,拥有上百万的消费者,对于他们的网银安全花旗银行采用了数字证书、身份认证等不同认证体系;CitiDirect是针对业务规模在5亿美元以上的大型企业用户的;CitiBusiness Online是针对中小型企业的,它基于网页,为业务规模在100万美元到5亿美元之间的中小企业提供全业务功能的网上银行系统。

面对日益激增的钓鱼网站的攻击,花旗银行从2005年秋天开始,筹划用几百万美元来实行防范攻击计划,转换更安全的用户认证。原本计划的进程安排是这样的:2006年1～2月,向用户发表声明或者发送邮件告知用户计划时间和相关信息;2006年3月,完成测试并在内外部试点;2006年4月,完成MIS系统和相关工具的开发;2006年4～10月,转换用户认证,每周转换5%的用户,在这个阶段,每个用户都会收到一个口令卡,花旗银行在线将安全快速指南以及详细文档同用户注册和使用口令卡过程结合,提供7×24小时的客户服务答疑解惑。花旗银行的用户认证也是采用双因子认证。这样做的好处是一方面可以更好地保护用户的资产和信息,避免银行由于欺诈而产生的损失;另一方面,也能响应联邦金融机构检查委员会所颁布的要求美国金融机构必须在2006年年底前必须为其网上金融交易部署双因子认证的规范。

但就在项目进行到4月份的时候,网上居然出现了在线安全口令卡的钓鱼网站,诱骗盗取用户的信息和资产。钓鱼网站出现的速度之快和几近真实的程度让花旗银行电子银行部高级经理Laura Nadelhoffer和整个项目组惊诧不已。为应对这种局面,Laura Nadelhoffer决定提前两周开始项目实施,并通过缩减客户交流和试运行、成立特别小组、加速研发和测试、投入更多资源、口令卡订单加急处理、展开紧急培训、优先同“高危”客户进行交流等方式和途径,将实施时间从6个月缩短至3个月。

总结这场与钓鱼网站争分夺秒的战役,Laura Nadelhoffer说:“不要将你的安全计划‘过度地告知用户,因为过多的信息会告诉欺诈者接下来会发生什么,需要注意任何网站或者市场宣传材料中的信息都会被欺诈者获悉、利用。但还是需要保持内部和外部的沟通,所以需要一个拥有媒体经验的发言人在适当的时候来发布有关程序的信息和新闻公告,一旦发现有可能造成项目实施过程的用户疑点或者关注点,要尽快地发布相关FAQ(常见问题问与答)信息,节省客户服务时间。与用户的沟通需要持续加强,告知而非警告。”

意大利BNL银行

为网银安全系统起个好名字

意大利BNL银行是意大利的第七大银行,拥有16300名员工、703个分支机构。意大利NBL银行电子银行渠道总监Massimo Cicardo在论坛上介绍说,与其他国家相比,意大利的网银使用率比较低,而且也没有像其他国家那样有比较健全的网银监管系统。由于早期使用的数字证书越来越表现出其拙劣的易用性,意大利BNL银行决定选择新的安全系统。

对于意大利BNL银行的关键业务需求,Massimo Cicardo总结为,系统必须要有适用于完成交易的安全保障,必须具备高度的易用性,必须是即插即用的方案,有简化的向导策划,同时还要简化分支机构的PIN和口令卡的集中管理。意大利BNL银行的服务理念是要为客户提供在任何时间、任何地点,为用户一直开启的银行。为此,他们需要一套易于使用的、便携易用的安全解决方案。经过长期观察,意大利BNL银行选择了VASCO GO3口令卡,应用双因子认证,并为其起了一个简洁响亮的名字——THE PASS BNL。

到目前为止,意大利BNL银行已经为50万用户配备了口令卡,95%的新客户非常满意新的安全系统。总结经验,Massimo Cicardo说:“选择一个好的安全设备不仅是一个技术的,更是一个商业的挑战,需要内部和外部用户的大力关心与支持。要保证用户的操作体验非常简单,设备能真正即插即用,在线支持服务要持续引导用户、与之沟通,并要在限制条件下尽可能地减少安全技术和设备的更换率。”

经济全球化趋势下,外资银行要进入中国市场,而中资银行也要进军海外市场,在这种交叉市场渗透中,要保障网银安全,选择适合的产品固然重要,但更重要的是产品的易用性,是对用户服务的周到程度。

如何保障网银安全?目前市场上主要有三大类网银安全工具:文件数字证书、USBkey和银行动态口令卡。数字证书是最常见、基本的安全保障手段,但其易用性较差;USBkey是把数字证书保存其内的U盘,目前国内市场上多数银行用户应用USBkey,但其缺点是较贵,容易丢失;动态口令卡是不断变化的密码,相对价格较低,易于携带,操作简单,国外银行大多应用动态口令卡,采用双因子认证。