網上銀行的安全認證問題研究

摘要：網上銀行指銀行通過信息網絡提供的各種金融服務。銀行對網銀安全性管理要求很高，通過持續技術升級，為用戶提供多重安全保障。目前國內網上銀行的安全認證方式呈現多樣化發展， 從最初依賴簡單帳號密碼，發展新增了數字證書、 動態密碼、 一次性密碼等新的認證方式， 單一的認證已不能滿足用戶需求，網銀認證正朝著多重認證的方向發展。

關鍵詞：網上銀行；安全認證；身份識別

一、 引言

目前國內網上銀行的安全認證方式呈現多樣化發展，從之前更多依賴簡單的帳號密碼，逐漸新增了數字證書、動態密碼、一次性密碼等新的認證方式。2008年至今各大銀行在安全認證方面不斷加大力度，工行推出了手機短信認證服務、浦發推出了“移動數字證書+動態密碼”認證新方式等?？梢园l現，單一的認證已不能滿足用戶的需求，網銀認證正朝著多重認證的方向發展。

二、 網絡銀行安全系統概述

1. 網絡節點安全。網絡銀行的節點安全的內容包括：計算機網絡設備安全、計算機網絡系統安全、數據庫安全等，主要靠防火墻實現。

（1）防火墻：防火墻是在連接Internet和Intranet保證安全最為有效的方法，防火墻能夠有效地監視網絡的通信信息，并記憶通信狀態，從而做出允許/拒絕等正確的判斷。通過靈活有效運用這些功能，制定正確的安全策略，將能提供一個安全高效的Intranet系統。

（2）防火墻安全策略:基于防火墻的安全策略建立了全方位的防御體系來保護機構的信息資源，安全策略應包括：規定的網絡訪問、服務訪問、本地和遠地的用戶認證、撥入和撥出、磁盤和數據加密、病毒防護措施，以及管理制度等。所有可能受到網絡攻擊的地方都必須以同樣安全級別加以保護。

（3）安全操作系統：防火墻是基于操作系統的。如果信息通過操作系統后門繞過防火墻進入內部網，則防火墻失效。所以，要保證防火墻發揮作用，必須保證操作系統的安全。只有在安全操作系統的基礎上，才能充分發揮防火墻的功能。在條件許可的情況下，應考慮將防火墻單獨安裝在硬件設備上。

2. 商務安全。

（1）通信和鏈路安全。電子商務系統的數據通信主要存在于：①客戶瀏覽器端與電子商務WEB服務器端的通訊；②電子商務WEB服務器與電子商務數據庫服務器的通訊；③銀行內部網與業務網之間的數據通訊。

此外，在客戶端瀏覽器和電子商務WEB服務器之間采用SSL協議建立安全鏈接，所傳遞的重要信息都是經過加密的，這在一定程度上保證了數據在傳輸過程中的安全。

（2）應用程序的安全。即使正確地配置了訪問控制規則，要滿足計算機系統的安全性也是不充分的，因為編程錯誤也可能引致攻擊。

（3）用戶的認證管理。

①身份認證：電子商務企業用戶身份認證可以通過服務器CA證書與IC卡相結合實現的。CA證書用來認證服務器的身份，IC卡用來認證企業用戶的身份。個人用戶由于沒有提供交易功能，所以只采用ID號和密碼口令的身份確認機制。

②CA證書：要在網上確認交易各方的身份以及保證交易的不可否認性，需要一份數字證書進行驗證，這份數字證書就是CA證書，它由認證授權中心（CA中心）發行。CA中心一般是社會公認的可靠組織，它對個人、組織進行審核后，為其發放數字證書，證書分為服務器證書和個人證書。建立SSL安全鏈接不需要一定有個人證書，實際上不驗證客戶的個人證書情況是很多的。驗證個人證書是為了驗證來訪者的合法身份。而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務器證書（下載可以在訪問之前或訪問時進行）。

三、 各種安全認證的比較

目前安全認證技術主要有：動態口令、USB卡、IC卡、磁卡、虹膜、指紋、CA數字證書、掌紋、聲紋、面像等。在此對主要認證技術簡單進行應用安全性和實現方便性上的比較。

1. 安全性比較，（如表2示）。

2. 便捷性比較，（如表3示）。

在安全認證領域，安全性與便捷性成反向關系，U盾的安全等級高于動態令牌，但是U盾會遇到計算機、操作系統、防火墻等軟硬件適配性方面的問題，也會面臨手機、iPad等移動終端沒有USB接口方面的問題。原來認為短信密碼相對安全性比較高，但在單獨使用過程中，會遭遇無線信號未覆蓋、短信的時間滯后，SIM卡被克隆，電信主機被侵入，密碼被盜后無法確認是電信責任還是網上銀行的責任等方面的問題。因此，一般認證體系在相同便捷性情況下，選擇安全等級高的認證系統，在認證強度不足的情況下，采用雙因素的認證。另外，將認證強度與交易金額上限相關，實現既便捷又相對安全的的認證方式。

四、 安全認證系統遭到攻擊的事件

理論上被認為需要幾百萬年才能被攻破的系統，存在事后被認為顯而易見的漏洞。

1. 美國網絡安全認證巨頭RSA公司遭受攻擊，4 000萬個種子文件被盜。2011年3月，RSA公司透露其受到網絡攻擊，攻擊造成SecurID的關鍵信息丟失。6月2日，RSA確認了在3月份的被盜的數據被用來攻擊洛克希德—馬丁公司和其他美國國防承包商。6月6日，該公司在全球范圍召回4 000萬只SecurID。

為規避種子文件庫被攻破，可以采用兩次SecurID激活方案，既在出廠時激活一次，在發放給用戶是再設一次SecurID。理論上，只有獲得兩個SecurID庫，并知道兩個SecurID庫之間的對應關系才能攻破動態令牌。

2. 第一代U盾遭受攻擊。原來被公認為安全等級最高的U盾，也遭受攻擊。2011年4月，北京一犯罪分子利用木馬突破網銀U盾30秒竊30萬。犯罪分子通過將木馬程序，遠程控制用戶電腦，然后在U盾尚未拔掉的情況下，完成轉帳。隨即，招商銀行等銀行宣布，下調通過第三方支付進行的網上交易限額。其中，招商銀行大眾版一卡通客戶的網上支付、轉賬上限由原來的5 000元/日調整為500 元/日；而信用卡客戶的網上支付單日限額也由原來的自行設置調整為單筆不超過500元。除招行外，其他商業銀行也以支付安全為理由將網銀交易上限大幅下調。

3. 中國銀行第一代動態令牌遭受釣魚網站攻擊。持有中行“E令”（動態令牌）的用戶登錄仿冒中國銀行主頁的釣魚網站后，即暴露靜態密碼和動態密碼，而釣魚網站利用動態密碼在60秒鐘內有效的特點，有程序自動登陸中國銀行主頁并轉賬。據業內人士估計，此輪中行遭受的損失上億元。此后，中國銀行增加短信密碼作為第二個認證因素。

目前，生成與賬戶、轉賬金額相關的挑戰／應答型動態令牌可以有效化解這方面的風險。

五、 電子安全認證相關法律法規

網絡銀行和電子商務相關的主要法律法規包括：《中華人民共和國電子簽名法》、《電子銀行業務管理辦法》、《電子認證服務管理辦法》、《電子認證服務密碼管理辦法》、《商用密碼管理條例》、《商用密碼產品生產管理規定》、《商用密碼產品銷售管理規定》、《商用密碼產品使用管理規定》、《境外組織和個人在華使用密碼產品管理辦法》、《電子支付指引（第一號）》、《電子銀行安全評估指引》、《關于網上交易的指導意見（暫行）》、《信息安全等級保護管理辦法》。

2004年8月28日，十屆全國人大常委會第十一次會議通過了《中華人民共和國電子簽名法》是該領域比較基礎性的法律，主要規定了四方面的內容：確立了電子簽名的法律效力；規范了數據電文；設立電子認證服務市場準入制度；制定了電子簽名安全保障制度。雖然在《電子簽名法》誕生后，完成了對《公司法》、《票據法》、《證券法》、《拍賣法》的修訂工作，但仍然存在許多銜接方面的問題。《合同法》第32條規定：“當事人采用合同書形成訂立合同的，自雙方當事人簽字或蓋章時合同成立”。該合同書很明顯指的是傳統的書面合同并不涉及電子合同。與電子合同有關的是《合同法》第33條：“當事人采用信件、數據電文形式訂立合同的，可以在合同成立之前要求簽訂確認書，簽訂確認書時合同成立”。但在這里《合同法》并沒有解決電子合同的簽名問題，而是將其拋給了當事方自己處理。當事人既可以要求簽訂確認書，也可以不要求簽訂確認書。事實上，由于當事方在現實中客戶與銀行的財力、技術水平、經驗等方面并不是一樣的，客戶與銀行很難通過協商達成公平的解決方案。《電子簽名法》傾向但不強制要求采用第三方認證。1999年由中國人民銀行牽頭組織工商銀行、建設銀行、中國銀行、農業銀行等多家商業銀行聯合共建國家金融認證中心（CFCA）。事實上，中農工建交招等大型銀行依然采用本銀行內部認證機制，未采用CFCA認證。另外，《電子簽名法》傾向于電子簽名，但由于現實情況、技術水平決定電子簽名效率比較低、依然存在安全漏洞，而且與用戶習慣不符，因此為其他安全認證方法留下足夠的空間。如“第三十四條第三款：電子簽名認證證書，是指可證實電子簽名人與電子簽名制作數據有聯系的數據電文或者其他電子記錄”?？傮w看來，《電子簽名法》的表述上有較大的彈性，實際情況是象征意義大于操作意義。

銀監會公布《電子銀行業務管理辦法》和《電子銀行安全評估指引》，于2006年3月1日起施行?！掇k法》上所指的電子銀行包括網上銀行、電話銀行、手機銀行，也包括其他利用電子服務設備和網絡，由客戶通過自助服務方式完成金融交易的銀行業務，例如自助銀行、ATM機等。由于電子銀行的銀行風險很大程度上與第三方有關，比如技術風險，銀監會在管理辦法中，重點強調了風險管理和相應的法律責任，明確了電子銀行風險管理體系和內控制度建設、授權管理機制等要求。按照辦法規定，金融機構應當與客戶簽訂電子銀行服務協議或合同，在協議中告知風險，比如金融機構已經采取的風險控制措施和客戶應采取的風險控制措施，相關風險的責任承擔等。在責任部分，辦法規定，因電子銀行系統存在安全隱患、金融機構內部違規操作和其他非客戶原因等造成損失的，金融機構應承擔相應責任。因客戶有意泄露交易，或者未按照服務協議盡到應盡的安全防范與保密義務造成損失的，金融機構可以根據協議的約定免于承擔相應責任。如果涉及到兩家金融機構造成客戶損失，盡職的不擔責任，但提供電子銀行服務的金融機構有義務協助其客戶處理有關事宜。由于電子銀行涉及到的安全和技術風險，銀行依靠傳統的風險管理機制很難識別、監測、控制和管理，大部分國家依靠外部專業化機構定期對電子銀行的安全性進行評估，銀監會因此頒布了指引以規范電子銀行安全評估活動。

參考文獻：

1. 梁爽.我國網上銀行風險現狀及對策.財經界(學術版)，2011，（3）：90-92.

2. 孫旖.我國網上銀行發展歷程及現狀淺析.東方企業文化，2010，（7）:283-284.

3. 陳曉慧，吳應宇.我國網絡銀行發展的制約因素及完善對策，2008，（6）:104-105.

4. 呂志祥，何紅金.我國網上銀行安全保障機制探析，2010，（3）:113-114.

作者簡介：王勉，南京大學經濟學院博士生。

收稿日期：2011-03-11。