網上銀行系統的安全性研究

劉亞軍

山東省農村信用社信息科技部 山東 266520

0 引言

國際互聯網(Internet)在世界范圍的飛速發展對社會各方面產生了巨大而深遠的影響，并正在從根本上改變著人類的生活方式，應運而生的網上銀行，充分利用了信息產業日新月異的科技成果，給銀行業注入了新的活力，代表著未來銀行的發展方向。

網上銀行與傳統銀行不同就在于其是開放性的支付系統，而開放性的支付系統在為銀行帶來方便和快捷的同時，也帶來了新的安全問題。巴塞爾委員會電子銀行小組的調查表明，安全風險是網上銀行中最受關注的風險。如何保證系統的安全性，成為網上銀行系統建設的重要內容。

1 網上銀行系統安全現狀

據中國互聯網信息中心(CNNIC)近日發布的數據顯示，截至2012年6月底，國內網上銀行用戶規模為1.91億，增速達到 14.8%。互聯網的高速發展不僅給包括銀行在內的金融企業帶來巨大機遇，同時也讓傳統銀行面臨挑戰，因為銀行正越來越“虛擬”。目前網上銀行安全事故頻繁發生，對網上銀行安全性的擔憂一直是廣大網民不敢或不愿嘗試使用網上銀行的最主要原因。據 CNNIC相關調查報告顯示，不愿選擇網上銀行的客戶中有 76%是出于安全考慮。目前雖然采用了一定的安全措施，但仍存在一些安全隱患。據OWASP(Open Web Application Security Project，發布網絡攻擊組織)調查，應用系統遭受攻擊主要源自以下幾個方面：應用軟件、操作系統、硬件設備等，具體如表1所示。

表1 應用系統攻擊占比

黑客通常利用注入用戶電腦中的木馬程序獲取網上銀行用戶的賬號和密碼，“釣魚網站”也是網上銀行一個非常大的安全隱患。目前我國“假銀行”欺詐短信的單月用戶舉報量已超過6千條，其中35%的短信中內嵌釣魚網站鏈接, 據中國互聯網信息舉報中心監測數據顯示，假冒中國銀行網站的釣魚網站數量已多達近70個，欺騙性極強，而且均為在境外網站注冊的免費域名，國內目前無法對此實施有效管理。除此之外，對網銀系統威脅較大的手段還有：服務器攻擊、鍵盤記錄、嵌入瀏覽器惡意代碼、屏幕錄像、竊取數字證書文件、偽裝窗口等。

網上銀行安全隱患還表現在系統架構設計不合理、操作系統存在漏洞、安全設備不完善等方面。雖然這是些小概率事件，但是一次這樣的風險事件就足以挑戰公眾的信任。所以，隨著網上銀行的普及，網上銀行的安全性成為整個系統中最為至關重要的部分了。

2 網上銀行系統安全措施

網上銀行系統的安全性極為重要，如何確保其安全關系到系統的建設成敗。網上銀行系統安全手段是全方位、多層次的，可從系統層、應用層和管理層三個方面來提高系統安全性，如圖1所示。

圖1 網上銀行系統安全層次

2.1 系統層安全

2.1.1 系統架構安全

根據不同的安全級別，應對網上銀行系統架構劃分安全區域，如圖 2所示，將系統劃分為互聯網(INTERNET)區、停火(DMZ)區、應用(APP)區和辦公(OFFICE)區。并在各安全區域之間部署異構防火墻，在各安全區域內部部署安全防護設備，如安全網關、漏洞掃描、抗DDoS攻擊設備、入侵檢測設備IDS、入侵防御設備IPS等，從而有效控制非法用戶入侵、防范惡意攻擊，對應用系統進行全面安全防護。

圖2 網上銀行系統安全架構

2.1.2 數據安全

(1) 數據傳輸安全：數據傳輸時，可利用SSL協議，通過安全網關設備(部署在DMZ區)在服務器端與客戶端建立安全通道，以保證數據在公網傳輸的機密性；同時在系統內部可通過加密機對待傳輸數據加密保證數據在內網傳輸的安全。

(2) 數據存儲安全：制訂并嚴格執行科學合理的數據備份機制、數據訪問機制和災難恢復計劃，以保證業務連續性。

2.2 應用層安全

(1) 安全輸入控件：在使用電腦鍵盤輸入時能有效防范鍵盤竊聽敏感信息，在使用軟鍵盤輸入時能對整體鍵盤布局進行隨機干擾并有效防范屏幕錄像，有效保護客戶交易密碼的安全。

(2) 圖形認證碼：能有效避免對網上銀行客戶的惡意重復攻擊。

(3) 數字證書：對客戶提交的交易信息進行數字簽名，從而確保交易信息的不可否認性和完整性。

(4) 服務器站點證書：幫助用戶更直觀的判斷網站的真實性，有效避免假冒網站和釣魚網站給客戶帶來的風險，同時還可保證信息傳輸的機密性。

(5) 安全控制機制：不同的控制機制如權限控制、限額控制、復核機制、授權機制、防重發機制可確保系統使用安全。

2.3 管理層安全

(1) 加強內部管理，切實做好系統運行監測、維護和入侵檢測，及時發現和處理潛在風險，避免系統中斷運行；做好備份和災難恢復，建設異地備份數據處理中心，確保核心數據安全。

(2) 定期進行安全評估，根據《電子銀行安全評估指引》等相關規定(至少每兩年對電子銀行進行一次全面的安全評估)，定期組織網上銀行系統的安全測試、滲透性測試和外部安全評估工作。

(3) 強化宣傳教育，提高網上支付客戶自身安全意識及安全水平，增強操作安全性。

3 結論

本文通過對網上銀行系統安全性的分析，給出多種安全措施。綜合使用各種安全技術，可有效確保網上銀行系統的安全，從而為客戶提供安全、快捷的銀行服務。

[1]中國互聯網信息中心(CNNIC)第三十次中國互聯網絡發展狀況統計報告.2010.

[2]陳艷.網上銀行的安全運行問題及其對策[J].經濟與社會發展.2010.

[3]龍冬陽.網絡安全技術及應用[M].華南理工大學出版社.2006.