基于網上銀行支付數據信息安全的思考

摘 要：在銀行支付業務辦理中，網上支付數據信息安全風險已經不容忽視。基于這種認識，本文在分析網上銀行支付數據信息面臨的安全風險的基礎上，從數據信息認證管理、數據加密保護和后臺安全技術運用三個方面提出了抵御風險的對策，從而為關注這一話題的人們提供參考。

關鍵詞：網上銀行；支付數據信息；信息認證；數據加密

引言

伴隨著“互聯網+”時代的到來，銀行每天都要開展大量的網上支付業務。而在復雜的網絡環境下，銀行卡的網上支付需要經歷支付業務端、支付客戶端和用戶等多個環節，面臨著較大的安全風險，將給銀行業務的開展帶來不利影響。因此，還應加強對網上銀行支付數據信息安全風險的分析，并尋求對策加強支付數據信息的安全管理，從而為推動銀行支付業務的開展提供保障。

一、網上銀行支付數據信息面臨的安全風險

（一）支付數據信息認證風險

在銀行支付業務中，利用網上銀行進行電子支付，需要在交易過程中完成雙方身份驗證。但是就目前來看，不法分子可以采用多種手段進行交易一方身份的冒用，然后通過實施網上交易獲得另一方的銀行卡信息、動態口令和個人身份信息等數據信息，從而達到竊取他人財產的目標。例如，“釣魚”網站就會利用高科技手段進行虛假網站或網頁的制作，并進行虛假商品信息傳播。在用戶無法識別的情況下，登錄網站提供的支付界面，并進行個人賬號和密碼輸入，將出現個人信息泄露的情況。在掌握用戶個人信息之后，不法分子冒充銀行向用戶發送鏈接，用戶則會提供網上銀行動態口令，最終遭受財產損失。此外，一些不法分子甚至可以在用戶進行網上支付時冒充銀行進行余額不足鏈接的發送，用戶一旦點開就會出現資金被不法分子劃走的情況。現階段，不法分子經常冒充商戶進行網頁鏈接的發送，一些送紅包、購物券的非法網頁也會主動從用戶電腦桌面彈出，從而導致用戶上當受騙。而面臨各種各樣的網絡欺詐手段，無法實現身份的有效識別，最終將導致網上銀行支付數據面臨較大安全風險。

（二）支付數據信息傳輸風險

在復雜的網絡環境中，網上銀行支付數據信息的傳輸也面臨著較大的安全風險。在網上銀行支付的過程中，用戶需利用客戶端設備進行賬號、密碼等信息的輸入。而在用戶鍵盤錄入操作環節，利用鍵盤記憶程序進行客戶端消息、鍵盤和日志等信息訪問，不法分子則能進行網上支付數據信息的竊取。采用木馬程序、病毒，黑客也能對用戶使用的客戶端進行攻擊，通過監視網上支付過程進行用戶支付數據信息的竊取，然后將信息發送給程序制定的地址，以達到篡改訂單信息和轉移資金的目標。而在實際生活中，由于客戶的安全意識較弱，很容易導致客戶端感染各種病毒和木馬程序。比如在公共場所中進行免費WiFi的連接，如果不法分子進行開放式WiFi的攻擊，就可以對用戶手機中綁定的支付密碼、姓名等信息進行盜取，并在用戶網上支付時進行資金盜刷。而用戶在非正規平臺進行APP、軟件的下載，也可能接入不法分子提供虛假接入點，最終導致支付信息被解密軟件破解。此外，一些用戶為獲得街邊的小禮品，也可以掃描植入病毒的二維碼，造成客戶端被病毒入侵，繼而導致客戶的網上支付密碼被竊取甚至篡改。

（三）支付數據信息存儲風險

對于銀行來講，盡管銀行已經建立了較為完善的數據信息管理系統，但是依然需要面臨支付數據信息存儲風險。因為在網上交易的過程中，銀行的數據信息系統可能遭受黑客或網絡病毒的攻擊，最終造成支付數據信息泄露。就目前來看，銀行在用戶支付信息數據管理方面，將采用數字證書完成用戶支付信息核對，以實現網絡交易。而在數字證書存儲方面，銀行主要采用公鑰技術進行個人證書認證，并利用專用usbkey進行證書存儲，以用于進行用戶電子簽名、身份信息等數據信息的識別。在銀行支付數據信息存儲平臺遭受黑客攻擊時，黑客通過證書認證進行密碼信息隱藏，導致后臺不得不通過運算處理進行用戶數字簽名的獲取，甚至進行用戶密碼的重置，就可以出現用戶支付信息遭到泄漏的問題。

二、加強網上銀行支付數據信息安全的對策

（一）加強銀行支付數據信息認證管理

為解決銀行支付數據信息安全問題，還要加強數據信息認證管理。具體來講，就是銀行在支付業務辦理方面，還應引入PKI/CA（公開密鑰基礎設施/認證中心）加強用戶身份，并實現支付信息數據安全處理。采用該體系，可以采用PKI的公鑰基礎結構，同時利用數字證書和公鑰技術完成用戶身份認證。在網上交易的過程中，利用數字證書頒發機構提供的證書，并采用公鑰加密技術，則能使雙方身份的合法性得到準確驗證。由于采用該技術利用的密鑰體系為公開密碼的密鑰體系，可對數字證書擁有者的身份和資源訪問權限進行確認，因此能夠為網絡支付信息管理提供安全保證。對于商戶、銀行和個人用戶來講，CA為具有較強權威性的第三方機構，在網上交易中只要獲得擁有CA認證的數字證書，就可以確認對方的真實身份，然后選擇是否進行支付操作。就目前來看，黑客和病毒尚且無法進行證書的偽造，所以網上交易雙方只要擁有數字證書并采用數字簽名技術，就可以確保證書內容不被篡改，從而證實對方的信息。對于銀行來講，采用該技術進行支付業務辦理，也可以避免用戶進行行為抵賴，因此能夠為網上銀行支付數據信息使用提供安全保障。而采取數據證書也難以確保用戶客戶端不被植入病毒或木馬程序，因此銀行還要采用人臉識別、虹膜識別的支付介質進行用戶身份交叉驗證，從而進一步保證網上支付數據信息安全。

（二）通過數據加密確保信息安全傳輸

在網上銀行支付數據信息管理方面，想要使數據信息得到安全傳輸，還應加強對數據加密技術的使用。在網上銀行客戶端采用該技術，可以利用密碼算法和密鑰完成明文信息處理。在數據傳輸的過程中，想要獲得信息，還要利用與算法匹配的解密密鑰進行明文翻譯。就目前來看，可以采用的密碼體制包含公開密鑰加密和私密密鑰加密兩種，采用前一種體制可以使密鑰管理得到簡化，在網上支付中應用可以確保支付數據信息的安全性和完整性。但是采用該體制需要完成數學分解，所以將導致加密速度遭到降低。采用私密密鑰加密體制，盡管能夠快速完成網上支付數據信息的加密處理，卻無法完成交易雙方身份的有效鑒別，因此容易導致數據信息出現安全交換問題和缺失問題。針對這一情況，銀行在支付業務方面可以采用公鑰結合私鑰的數據加密技術，利用私鑰體制完成支付數據信息加密，然后使用公鑰體制完成密鑰分發和身份鑒別。此外，在客戶端數據輸入方面，可以利用“派遣函數”進行鍵盤錄入風險抵抗，以便在源頭上確保網上支付數據信息傳輸安全。

（三）強化后臺數據管理安全技術運用

對于銀行來講，為避免后臺存儲的網上銀行支付數據信息遭到竊取，還要加強后臺數據管理安全技術的運用。考慮到銀行網上交易服務器大多具有公開性，還要采用放置防火墻技術將銀行內部局域網與互聯網隔離開來。利用該技術，可以利用軟硬件設備進行網上支付信息傳輸的雙向加密處理，發揮阻隔和屏蔽不良信息傳輸的作用。想要通過系統防火墻，則要完成身份驗證，因此能夠避免數據信息資源遭到篡改或竊取。此外，還應加強防入侵檢測技術的應用，即在用戶登錄銀行網上交易服務器，采用該技術完成用戶信息檢測，對用戶主機安全日志等數據信息進行調取，并通過軟硬件組合控制確認系統是否存在違反網絡安全的行為。因此采用該技術，能夠及早發現系統是否存在遭受黑客攻擊的跡象，從而為銀行網上支付數據信息存儲提供安全保障。

三、結論

通過分析可以發現，在銀行發展支付產業的過程中，將不可避免的遭遇支付數據信息安全問題。正視網上銀行支付面臨的數據信息安全風險，并采用數據信息認證管理、數據加密保護和后臺安全技術等多種措施進行風險抵御，則能使銀行支付業務開展得到更多的安全保障。因此，還要加強對網上銀行支付數據信息安全問題的思考，以便更好的推動銀行業的發展。

參考文獻：

[1]倪學超.信息安全中的數據加密算法研究[J].電腦編程技巧與維護，2015，（14）：125-126.

[2]陳忠菊.試論提升電子支付的安全性探索[J].科技創新導報，2015，12（06）：224.

作者簡介：

許陽（1978-），男，漢族，籍貫：河北，畢業于中央黨校研究生院經濟管理專業，研究生學歷，現任遼寧省盤錦市盤錦銀行于樓支行副行長。