浅析网上银行的安全与防范

2010-08-15董洁

赤峰学院学报·自然科学版 2010年2期

关键词：数字证书网上银行密码

董洁

（赤峰学院计算机科学与技术系，内蒙古赤峰 024000）

浅析网上银行的安全与防范

董洁

（赤峰学院计算机科学与技术系，内蒙古赤峰 024000）

网上银行的出现，使得客户能方便地利用个人计算机通过互联网获得银行的各项服务.对于银行来讲，网上银行这种全天候的服务能够吸引更多的客户，减少传统分支机构的工作人员，提高工作效率.网上银行业务给人们生活带来方便、快捷的同时，也有一些不足之处，就当前网上银行的发展与现状而言，存在着诸多安全隐患等问题，如何恰当处理好网上银行的安全，将会对网上银行的发展起到重要作用.

网上银行；安全；防范

1 网上银行的概念

网上银行又称网络银行、在线银行，是指银行利用Internet技术，通过Internet向客户提供理财开户、销户、查询、对帐、行内转帐、跨行转帐、信贷、网上证券、投资理财等传统服务项目，使客户可以足不出户就能够安全便捷地管理活期和定期存款、支票、信用卡及个人投资等.可以说，网上银行是在Internet上的虚拟银行柜台.

网上银行又被称为“3A银行”，因为它不受时间、空间限制，能够在任何时间(Anytime)、任何地点(Anywhere)、以任何方式(Anyhow)为客户提供金融服务.

2 网上银行的安全性分析

随着计算机的普及以及互联网应用越来越广泛，各种各样跟网络有关的服务已走进了我们的日常生活，尤其是电子商务更是深入普通大众，给人们的日常生活带来了前所未有的方便.网上银行就是随之而兴起的一门服务，由于其与生俱来的“3A”性能，故而，深受大家的亲睐，但是，随着网上银行服务面的不断扩大，其安全问题也日益突出，网上银行账户被盗时有发生，于是网上银行的安全问题成为银行与客户共同关注的热门话题.

一般来说，人们担心的网上银行安全问题主要是：

1.银行交易系统被非法入侵.

2.信息通过网络传输时被窃取或篡改.

3.交易双方的身份识别，账户被他人盗用.

3 网上银行的安全防范

3.1 增强银行交易系统的安全性

“网上银行”系统是银行业务服务的延伸，客户可以通过互联网方便地使用商业银行核心业务服务，完成各种非现金交易.但另一方面，互联网是一个开放的网络，银行交易服务器是网上的公开站点，网上银行系统也使银行内部网向互联网敞开了大门.因此，如何保证网上银行交易系统的安全，关系到银行内部整个金融网的安全，这是网上银行建设中最至关重要的问题，也是银行保证客户资金安全的最根本的考虑.

为防止交易服务器受到攻击，银行主要采取以下三方面的技术措施：

3.1.1 设立防火墙，隔离相关网络.

一般采用多重防火墙方案.其作用为：

（1）分隔互联网与交易服务器，防止互联网用户的非法入侵.

（2）用于交易服务器与银行内部网的分隔，有效保护银行内部网，同时防止内部网对交易服务器的入侵.

3.1.2 高安全级的Web应用服务器

服务器使用可信的专用操作系统，凭借其独特的体系结构和安全检查，保证只有合法用户的交易请求能通过特定的代理程序送至应用服务器进行后续处理.

3.1.3 24小时实时安全监控

例如采用ISS网络动态监控产品，进行系统漏洞扫描和实时入侵检测.

3.1.4 身份识别和CA认证

网上交易不是面对面的，客户可以在任何时间、任何地点发出请求，传统的身份识别方法通常是靠用户名和登录密码对用户的身份进行认证.但是，用户的密码在登录时以明文的方式在网络上传输，很容易被攻击者截获，进而可以假冒用户的身份，身份认证机制就会被攻破.

在网上银行系统中，用户的身份认证依靠基于“RSA公钥密码体制”的加密机制、数字签名机制和用户登录密码的多重保证.银行对用户的数字签名和登录密码进行检验，全部通过后才能确认该用户的身份.用户的惟一身份标识就是银行签发的“数字证书”.用户的登录密码以密文的方式进行传输，确保了身份认证的安全可靠性.数字证书的引入，同时实现了用户对银行交易网站的身份认证，以保证访问的是真实的银行网站，另外还确保了客户提交的交易指令的不可否认性.由于数字证书的惟一性和重要性，各家银行为开展网上业务都成立了CA认证机构，专门负责签发和管理数字证书，并进行网上身份审核.2000年6月，由中国人民银行牵头，12家商业银行联合共建的中国金融认证中心(CF-CA)正式挂牌运营.这标志着中国电子商务进入了银行安全支付的新阶段.中国金融认证中心作为一个权威的、可信赖的、公正的第三方信任机构，为今后实现跨行交易提供了身份认证基础.

3.2 增强网络通讯的安全性

由于互联网是一个开放的网络，客户在网上传输的敏感信息(如密码、交易指令等)在通讯过程中存在被截获、被破译、被篡改的可能.为了防止此种情况发生，网上银行系统一般都采用加密传输交易信息的措施，使用最广泛的是SSL数据加密协议.

SSL协议是由Netscape首先研制开发出来的，其首要目的是在两个通信间提供秘密而可靠的连接，目前大部分Web服务器和浏览器都支持此协议.用户登录并通过身份认证之后，用户和服务方之间在网络上传输的所有数据全部用会话密钥加密，直到用户退出系统为止.而且每次会话所使用的加密密钥都是随机产生的.这样，攻击者就不可能从网络上的数据流中得到任何有用的信息.同时，引入了数字证书对传输数据进行签名，一旦数据被篡改，则必然与数字签名不符.SSL协议的加密密钥长度与其加密强度有直接关系，一般是40～128位，可在IE浏览器的“帮助”“关于”中查到.目前，建设银行等已经采用有效密钥长度128位的高强度加密.

3.3 保证个人使用的计算机安全

个人计算机及软件有可能受到病毒及电脑黑客的威胁，必须注意以下几点：

（1）设置由数字、字母（大、小写）构成的不易被破译的开机密码.

（2）定期下载安装最新的操作系统和浏览器安全程序或补丁.

（3）建议将您计算机中的hosts文件修改为只读.

（4）安装个人防火墙.可以防止黑客入侵您的计算机.（5）安装并及时更新杀毒软件.养成定期更新杀毒软件的习惯，防止新型病毒入侵.

（6）使用网上银行的电脑不作为资料、文件共享等类型的服务器.

（7）不要开启不明来历的电子邮件.

3.4 增强客户的安全意识

银行卡持有人的安全意识是影响网上银行安全性的不可忽视的重要因素.下面给出几点正确使用网上银行的几点建议：

（1）核对网址.客户开通网上银行要事先与银行签订协议.在登录网上银行时，须核对登录的网址与协议书中的网址是否相符；登录网上银行网站时，尽量不要使用任何不可靠的链接方式，不要通过搜索引擎找到的网址或其他不明网站的链接途径进入，防止犯罪嫌疑人模仿银行网站盗取账户信息.

（2）管好密码.要避免设置与个人资料相关的简单密码，不要选用诸如身份证号码、出生日期、电话号码等作为支付密码；建议采用无规律的数字组合，提高支付密码被破解的难度；在不同的电子渠道上尽量使用不同密码；对不同的银行卡账户尽量设置不同的支付密码.

（3）做好记录.在进行网上银行交易时，要对录入信息（本人账号、金额等要素）进行仔细核对，做到“一慢、二看、三仔细、四清楚”.即“录入信息时要慢”、“按键时要准确查看”、“对录入的信息核对要仔细”、“对反馈回来的信息要记录清楚”.转账交易完成后不论系统提示成功与否，都要查询转出账户余额和明细.要定期查看历史交易明细并定期打印网上银行业务对账单，如发现异常交易或账务差错，应立即与银行联系，避免损失.

（4）管好证书.网上银行用户应避免在公共场合（如网吧、机场）和公用计算机上使用网上银行，防止数字证书等机密资料落入他人手中.最好不要安装QQ聊天程序、网络游戏等，尽量专机专用.

（5）对异常动态提高警惕

网上银行在系统运行稳定的情况下不会出现“系统维护”的提示.若遇重大事件, 系统必须暂停服务, 银行会提前公告客户.客户如不当心在陌生的“银行网址”上输入了银行卡号和密码, 并遇到类似“系统维护”之类的提示, 应立即拨打该银行客服热线进行确认.万一发现资料被盗,应立即修改相关交易密码或及时进行银行卡挂失.

（6）每次使用网上银行后，及时退出.

（7）如果个人资料有任何更改（例如，联系方式、地址等有变动），请及时通过银行系统修改相关资料.