“網(wǎng)銀”安全大揭底

2011年年末，一場(chǎng)“泄密門”致使一批著名電子商務(wù)網(wǎng)站至今難以洗清“不安全”的罪名。然而，更讓人不安的是部分銀行的網(wǎng)上銀行業(yè)務(wù)也受到了“牽連”。盡管消息中所涉及到的銀行隨后均發(fā)布澄清公告，并異口同聲地表示，經(jīng)核查，網(wǎng)站上貼出來的用戶信息均屬偽造，但是，一次小小的風(fēng)險(xiǎn)事件足以挑戰(zhàn)公眾的信任。網(wǎng)銀，到底是否安全？

為了給公眾一個(gè)真相，本期《新安全》邀請(qǐng)中國金融認(rèn)證中心技術(shù)支持部總經(jīng)理馬春旺和中國金融認(rèn)證中心市場(chǎng)部總經(jīng)理郭宏杰為您解讀“網(wǎng)銀”安全。

網(wǎng)銀便捷更環(huán)保

記者：網(wǎng)上銀行作為金融電子商務(wù)的一種模式，如今已經(jīng)滲透到人們生活的方方面面。但也有一些人并不太了解。請(qǐng)您介紹一下網(wǎng)上銀行的基本情況。

郭宏杰：2011年，個(gè)人網(wǎng)銀活動(dòng)用戶經(jīng)常使用的網(wǎng)銀功能主要是網(wǎng)上支付、賬戶查詢和轉(zhuǎn)賬匯款。與2010年相比，活動(dòng)用戶使用網(wǎng)上支付的比例明顯增長(zhǎng)，隨著網(wǎng)絡(luò)購物的日益普及，直接通過網(wǎng)上銀行進(jìn)行支付的比例也越來越高。

從社會(huì)角度講，網(wǎng)上銀行符合低碳、環(huán)保的生活理念。據(jù)統(tǒng)計(jì)，每位網(wǎng)銀客戶每月可節(jié)省1公斤紙，全年可節(jié)省12公斤紙。按每位客戶每周往返銀行一次、平均每次10公里路程計(jì)算，如果使用網(wǎng)銀，一個(gè)客戶全年可減少0.12噸碳排放量。

正是因?yàn)榫W(wǎng)銀具有方便、快捷、低碳、環(huán)保的特性，我國網(wǎng)銀用戶逐年上升。據(jù)統(tǒng)計(jì)，2011年地級(jí)及以上城市個(gè)人網(wǎng)銀用戶比例為27.6%，同比增長(zhǎng)了0.7個(gè)百分點(diǎn)。2011年，平均每個(gè)網(wǎng)銀用戶擁有1.68個(gè)網(wǎng)銀賬戶，較2010年（1.6個(gè)）略有增長(zhǎng)。38%的個(gè)人網(wǎng)銀用戶擁有多家銀行的網(wǎng)銀賬戶。

國內(nèi)網(wǎng)銀總體安全

記者：最近一些電子商務(wù)網(wǎng)站的用戶資料泄露事件，使一些用戶對(duì)網(wǎng)銀的安全性產(chǎn)生了焦慮。那么，網(wǎng)上銀行究竟是否安全？銀行系統(tǒng)究竟靠哪些措施支撐網(wǎng)銀的安全呢？

馬春旺：目前，國內(nèi)網(wǎng)上銀行總體來說是安全的。這一點(diǎn)，可以從網(wǎng)上銀行的服務(wù)器、互聯(lián)網(wǎng)和客戶端三個(gè)區(qū)域說明。

首先，網(wǎng)上銀行的服務(wù)器部分通過防火墻、防病毒系統(tǒng)、EV證書等進(jìn)行保護(hù)。部分銀行通過部署交易監(jiān)控及反欺詐系統(tǒng)，能夠區(qū)分甚至攔截欺詐交易行為。如某人短時(shí)間內(nèi)多次在不同地區(qū)轉(zhuǎn)賬，這時(shí)銀行監(jiān)控系統(tǒng)就會(huì)進(jìn)行攔截。另外，銀行內(nèi)部系統(tǒng)的管理規(guī)范，避免了內(nèi)部作案的可能，也減少了不法分子入侵的渠道。當(dāng)然，銀行也會(huì)定期對(duì)信息系統(tǒng)進(jìn)行安全評(píng)估，及時(shí)加固脆弱環(huán)節(jié)。中國金融認(rèn)證中心（CFCA）以及其他第三方安全認(rèn)證機(jī)構(gòu)，也會(huì)為銀行提供安全服務(wù)。

其次是客戶端部分。客戶端離不開多重密碼保護(hù)。使用過網(wǎng)銀的人都知道，網(wǎng)銀有登錄密碼、交易密碼、驗(yàn)證碼等。多重密碼保護(hù)本身就提升了網(wǎng)銀的安全性。此外，傳統(tǒng)的用戶名口令、刮刮卡、動(dòng)態(tài)口令、數(shù)字證書、短信確認(rèn)、usbkey等多因素認(rèn)證方式相互結(jié)合，也能提高網(wǎng)上銀行的安全性。

其三，銀行通過非對(duì)稱和對(duì)稱加密相結(jié)合的方式來保護(hù)互聯(lián)網(wǎng)傳輸部分的安全。

記者：看來網(wǎng)銀安全工具的種類有很多，但功能可能不盡相同。請(qǐng)您分別就以上網(wǎng)銀安全工具做一個(gè)詳細(xì)介紹。

馬春旺：好的。首先，驗(yàn)證碼大家都很熟悉，也就是我們常見的圖形驗(yàn)證。一般我們登錄網(wǎng)上系統(tǒng)就會(huì)要求輸入用戶名、口令，然后會(huì)出現(xiàn)一張圖片，這就是驗(yàn)證碼。它可以防止黑客暴力攻擊或破解用戶名和密碼。

動(dòng)態(tài)口令就是傳統(tǒng)用戶名和口令增強(qiáng)的方式。它的最大特點(diǎn)是“動(dòng)態(tài)”，即系統(tǒng)每次輸入的口令是不一樣的。它不像傳統(tǒng)口令必須要求用戶記住。傳統(tǒng)的固定密碼很容易被黑客利用，而動(dòng)態(tài)變化的口令就安全很多。

短信實(shí)際是對(duì)交易的行為進(jìn)行確認(rèn)。比如轉(zhuǎn)賬業(yè)務(wù)，銀行可以通過信息發(fā)到用戶的手機(jī)上。本人看到信息是正確的之后，再輸入交易驗(yàn)證碼。

usbkey數(shù)字證書的實(shí)現(xiàn)功能就比較多了，一是進(jìn)行身份認(rèn)證，即確認(rèn)用戶是否是本人；二是實(shí)現(xiàn)安全傳輸；三是實(shí)現(xiàn)交易的不可篡改或不可替代。比如用戶在登錄時(shí)要插入usbkey，網(wǎng)銀系統(tǒng)就要驗(yàn)證，只能是有這個(gè)key的人才能登錄。同時(shí)，交易時(shí)用戶要對(duì)該交易信息通過數(shù)字證書進(jìn)行簽名，就像蓋章一樣。一旦簽名完成，任何人都不能改。在使用usbkey數(shù)字證書的整個(gè)交易過程中，網(wǎng)銀不會(huì)給黑客留下任何機(jī)會(huì)。

記者：除了技術(shù)方面，銀行還會(huì)采取哪些措施保護(hù)網(wǎng)銀安全？

馬春旺：銀行的電子系統(tǒng)一般都有比較嚴(yán)格的業(yè)務(wù)規(guī)則，有嚴(yán)格的授權(quán)和訪問控制，比如對(duì)于企業(yè)網(wǎng)銀，不同角色的人所授權(quán)的操作行為是有嚴(yán)格控制的。這樣就保證了即使有個(gè)別人員信息被盜，也不會(huì)造成太大的損失。

此外，銀行的電子銀行系統(tǒng)都有交易限額的策略，針對(duì)不同的安全級(jí)別和訪問權(quán)限會(huì)有不同的交易額限制。比如使用傳統(tǒng)的用戶名和口令通常只能做一些查詢的操作。這樣就避免因?yàn)榘踩?jí)別不夠，導(dǎo)致民眾財(cái)產(chǎn)損失。

記者：近年來，我國政府對(duì)于網(wǎng)上銀行有哪些監(jiān)管措施呢？

馬春旺：首先，中國人民銀行、銀監(jiān)會(huì)對(duì)銀行的信息系統(tǒng)都有嚴(yán)格的監(jiān)管要求，近年相繼出臺(tái)了《金融信息服務(wù)系統(tǒng)電子認(rèn)證應(yīng)用規(guī)范》、《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》、《網(wǎng)上銀行安全風(fēng)險(xiǎn)管理指引》等規(guī)范。

其次，中國人民銀行和銀監(jiān)會(huì)會(huì)定期對(duì)銀行的信息系統(tǒng)進(jìn)行安全性檢查。

特別要提到的是，《電子簽名法》對(duì)采用數(shù)字證書技術(shù)的系統(tǒng)使用第三方的證書有明確的要求。第三方電子認(rèn)證服務(wù)機(jī)構(gòu)在提供技術(shù)保障的同時(shí)，還有明確的賠償機(jī)制，對(duì)民眾的利益起到了保護(hù)的作用。2011年年底，在中國金融認(rèn)證中心（CFCA）組織的網(wǎng)上銀行聯(lián)合宣傳年的年會(huì)上，公安部的相關(guān)領(lǐng)導(dǎo)也表示公安部將在2012年嚴(yán)厲打擊網(wǎng)絡(luò)犯罪活動(dòng)。

漏洞主要來自客戶端

記者：2010年，曾經(jīng)發(fā)生一名黑客30秒用木馬攻破網(wǎng)銀竊取30萬元的案件。對(duì)于黑客的攻擊，銀行能夠采取絕對(duì)有效的辦法阻止嗎？

馬春旺：我們都知道，信息系統(tǒng)沒有絕對(duì)的安全，因?yàn)樾畔⒓夹g(shù)是不斷高速發(fā)展的。據(jù)我們了解，銀行目前會(huì)定期對(duì)系統(tǒng)進(jìn)行掃描、升級(jí)及安全評(píng)估，并對(duì)發(fā)現(xiàn)的安全脆弱點(diǎn)進(jìn)行加固。同時(shí)，銀行也會(huì)通過一些工具來提高系統(tǒng)的安全系數(shù)。如：提供網(wǎng)銀病毒專殺工具用來防止一些惡意程序的攻擊；后臺(tái)對(duì)欺詐性交易行為進(jìn)行監(jiān)控，報(bào)警、攔截；通過反釣魚系統(tǒng)來發(fā)現(xiàn)和阻止釣魚網(wǎng)站的攻擊；通過交易行為檢測(cè)系統(tǒng)防止一些欺詐性交易的攻擊。如果發(fā)現(xiàn)可能是釣魚網(wǎng)站，系統(tǒng)就會(huì)收集起來進(jìn)行分析，一旦確認(rèn)就會(huì)協(xié)調(diào)相關(guān)主管部門進(jìn)行關(guān)閉。

此外，還有一些銀行會(huì)制作客戶端，跟后臺(tái)反釣魚系統(tǒng)進(jìn)行聯(lián)動(dòng)，后臺(tái)收集到釣魚網(wǎng)站信息之后，客戶端一旦發(fā)現(xiàn)有用戶在訪問該網(wǎng)站，就會(huì)自動(dòng)提醒用戶關(guān)閉。所以，銀行通過反欺詐、反釣魚、病毒專殺工具、系統(tǒng)定期安全評(píng)估、安全升級(jí)等多種方式，能夠保證網(wǎng)銀系統(tǒng)基本安全。

截至目前，在我們發(fā)現(xiàn)的案件中，還未出現(xiàn)是由于銀行系統(tǒng)被黑客攻擊導(dǎo)致的。很多都是客戶端和其他一些環(huán)節(jié)遭受欺詐造成的。

網(wǎng)銀安全案發(fā)率遠(yuǎn)低于國外

記者：有人說，“客戶資料”在銀行內(nèi)部幾乎是透明的。這種說法有根據(jù)嗎？

郭宏杰：銀行對(duì)于數(shù)據(jù)安全的要求非常高，它的數(shù)據(jù)集都是層層保護(hù)的，對(duì)銀行來講是絕對(duì)的核心資產(chǎn)。這些數(shù)據(jù)如果丟失，網(wǎng)銀的核心層都會(huì)被攻破。

從專業(yè)角度分析，用戶信息從銀行流出的可能性非常小。比如有人在某網(wǎng)站購物，有可能不小心錄入其網(wǎng)銀的賬號(hào)密碼，這很難保證其信息不被泄露。所以說，這不是銀行的問題。再舉一例，大家都能看到，現(xiàn)在各個(gè)銀行把自己的網(wǎng)點(diǎn)做得非常好。但是銀行能否把每個(gè)人家里的存折都保存好呢？這難度就很大了。因?yàn)槊總€(gè)客戶端就像每個(gè)獨(dú)立的家庭，其自身行為很難控制。當(dāng)然，即便難度很大，政府、銀行、第三方機(jī)構(gòu)還是做了大量工作。

其實(shí)，我國的網(wǎng)銀系統(tǒng)比國外安全很多。歐美一些國家都不用usbkey，而是用安全級(jí)別較低的手機(jī)短信等方式。這些國家網(wǎng)銀出現(xiàn)安全事故的概率大概是幾萬分之一，其管理機(jī)制同我國不一樣。我國銀行是政府管理，而歐美一些國家允許出現(xiàn)一定數(shù)量的安全案件，出現(xiàn)后銀行會(huì)對(duì)受損用戶進(jìn)行賠付。整個(gè)社會(huì)的監(jiān)管機(jī)制相對(duì)比較完善。與國外相比，我國安全案件發(fā)生率是千萬分之一，因?yàn)槲覈y行用戶的基數(shù)太大，比如中國工商銀行，每天會(huì)有數(shù)百萬元的交易。從這個(gè)基數(shù)看，我國網(wǎng)銀安全事件案發(fā)率還是很低的。絕對(duì)數(shù)字能說明問題，但更能說明問題的是相對(duì)數(shù)字。

記者：網(wǎng)上銀行發(fā)生安全事件后會(huì)對(duì)用戶及銀行業(yè)造成哪些影響呢？

郭宏杰：據(jù)統(tǒng)計(jì)，73%的網(wǎng)銀用戶最近一年收到過陌生人轉(zhuǎn)賬匯款短信，有38.2%的網(wǎng)銀用戶對(duì)最近一年內(nèi)發(fā)生的網(wǎng)銀安全事件表示非常關(guān)注。用戶得知網(wǎng)銀安全事件后的主要反應(yīng)是更換為更安全的安全認(rèn)證手段。

用戶設(shè)置網(wǎng)銀密碼有訣竅

記者：普通用戶的信息安全技術(shù)和知識(shí)十分有限，他們?cè)谌粘Ｉ暇W(wǎng)操作時(shí)該如何保護(hù)自己的信息安全？

郭宏杰：對(duì)安全的認(rèn)知是一個(gè)廣泛的社會(huì)現(xiàn)象。從媒體公布的案件來看，看到很多情況都是出現(xiàn)在客戶端和互聯(lián)網(wǎng)這端。用戶的知識(shí)層面不同，訴求不同，就會(huì)導(dǎo)致每個(gè)用戶在使用網(wǎng)銀的安全意識(shí)水平不同。據(jù)統(tǒng)計(jì)，2011年有40%的網(wǎng)銀安全案件都發(fā)生在客戶端的認(rèn)證手段，如usbkey、動(dòng)態(tài)口令等。此外，還有40%的案件來自于欺詐性釣魚網(wǎng)站、詐騙信息。

我認(rèn)為，要想安全使用網(wǎng)銀，首要任務(wù)是提升安全意識(shí)，同時(shí)，要加大對(duì)釣魚網(wǎng)站和詐騙信息的防范力度。

首先，銀行在任何情況下都不會(huì)向客戶索要銀行卡或存折密碼（明文方式），也不會(huì)以短信、郵件、電話等方式主動(dòng)要求客戶將資金轉(zhuǎn)入某指定賬戶。大家謹(jǐn)防因小利上當(dāng)受騙。只要有人索要賬號(hào)密碼，基本都是騙子。

其次，登錄網(wǎng)銀要核實(shí)域名（如http://www.****i.com），盡量將常用的網(wǎng)銀地址存放在收藏夾中直接登錄，不要隨意相信來自電子郵件、短信的銀行網(wǎng)站鏈接，養(yǎng)成良好的登錄習(xí)慣。在現(xiàn)實(shí)生活中，仿制一個(gè)銀行難度很高，但是在互聯(lián)網(wǎng)社會(huì)，可能性還是很多的。建議大家把經(jīng)常登錄的銀行網(wǎng)頁收到收藏夾中。方法很簡(jiǎn)單，但起的作用很大。

其三，設(shè)置各類密碼時(shí)，避免使用相同的數(shù)字序列、生日、電話、身份證或賬號(hào)等，一般用途的密碼不要和網(wǎng)上銀行的密碼相同。不要將密碼記錄在紙張上或儲(chǔ)存在電腦中。開車有開車的鑰匙，家門有家門的鑰匙，如果所有鑰匙都是同一把，那就太危險(xiǎn)了。其實(shí)網(wǎng)絡(luò)是一樣的。很多人都覺得只用一個(gè)就行了，其實(shí)一樣危險(xiǎn)。

其四，請(qǐng)選擇較為固定安全的上網(wǎng)地點(diǎn)，避免在網(wǎng)吧等公用電腦上使用網(wǎng)上銀行。因?yàn)槟切┑胤降碾娔X你不熟悉，不知道那里是否安裝了監(jiān)控程序。

其五，經(jīng)常升級(jí)殺毒軟件，為電腦安裝防火墻程序，定期查殺病毒、木馬，做好個(gè)人電腦的安全工作。互聯(lián)網(wǎng)開放性太高了，如果不裝防護(hù)程序，和家里不裝防盜門是一個(gè)道理。

其六，usbkey數(shù)字證書用完要及時(shí)拔掉。

另外，用戶要定期查看網(wǎng)上銀行辦理的各項(xiàng)業(yè)務(wù)交易明細(xì)。如發(fā)生異常交易或賬務(wù)差錯(cuò)，請(qǐng)及時(shí)與銀行聯(lián)系。

記者：人們?cè)诰W(wǎng)上購物時(shí)經(jīng)常會(huì)用到“支付寶”“快捷支付”等第三方支付平臺(tái)。那么，第三方支付平臺(tái)和網(wǎng)銀又是怎樣的關(guān)系？

馬春旺：支付寶其實(shí)是依賴于網(wǎng)銀的。網(wǎng)上銀行和第三方支付平臺(tái)都能實(shí)現(xiàn)支付的功能。但是網(wǎng)上銀行屬于金融機(jī)構(gòu)，監(jiān)管非常嚴(yán)格。而第三方支付平臺(tái)屬于非金融機(jī)構(gòu)。

比如消費(fèi)者在某網(wǎng)站購物，以支付寶為例。系統(tǒng)會(huì)將用戶的訂單傳給支付平臺(tái)，支付平臺(tái)再把訂單轉(zhuǎn)到網(wǎng)銀上去。網(wǎng)銀然后會(huì)要求用戶輸入賬號(hào)等信息。當(dāng)系統(tǒng)認(rèn)可個(gè)人信息后，網(wǎng)銀再把錢款轉(zhuǎn)到支付寶賬戶中去。支付寶賬戶是第三方托管賬戶，一旦賣家開始發(fā)貨，確認(rèn)支付，支付寶再把錢轉(zhuǎn)到商家賬戶。特別需要說明的是，用戶把錢轉(zhuǎn)到支付寶賬戶這一步，是需要得到本人確認(rèn)的，而且是在網(wǎng)銀上來操作。因此，第三方支付平臺(tái)和銀行實(shí)際是依托關(guān)系。

第三方支付平臺(tái)的支付形式有很多種，快捷支付、醫(yī)保支付、銀聯(lián)等，與之相比，采用網(wǎng)銀進(jìn)行支付還是很安全的。