淺析網(wǎng)上銀行客戶端的風險防控措施

張松濱

【摘要】大部分網(wǎng)上銀行安全事件源于客戶端的安全隱患。由于受到木馬、釣魚、嗅探等各種客戶端攻擊，網(wǎng)上銀行安全面臨較多威脅。本文通過測試目前主要商業(yè)銀行的網(wǎng)上銀行，了解客戶端保護機制，提出網(wǎng)銀客戶端的主要風險防控措施，對完善網(wǎng)銀的安全策略，有現(xiàn)實參考意義。

【關(guān)鍵詞】網(wǎng)上銀行，風險管理

【中圖分類號】F832.2 【文獻標識碼】A 【文章編號】1672-5158（2013）04-0162-01

一、研究方法與意義

中國大部分商業(yè)銀行已經(jīng)建設(shè)了網(wǎng)銀系統(tǒng)，由于面臨較多互聯(lián)網(wǎng)威脅，如網(wǎng)絡(luò)釣魚、惡意代碼、暴力破解、惡意鎖死用戶、假冒客戶登錄等，因此安全措施是否完善一直備受關(guān)注。經(jīng)過多年的摸索和總結(jié)，大型商業(yè)銀行網(wǎng)銀服務(wù)器端已經(jīng)配置較齊全，安全措施較完善，基本經(jīng)受了考驗，其經(jīng)驗值得中小商業(yè)銀行借鑒。

以普爾2012年發(fā)布的《中國五十大銀行》中列舉的商業(yè)銀行作為研究對象，通過實際登陸網(wǎng)銀進行測試，總結(jié)網(wǎng)銀客戶端的主要風險防控措施，對中小商業(yè)銀行網(wǎng)銀建設(shè)和管理，有現(xiàn)實的參考意義。

二、主要風險防控措施

網(wǎng)民安全意識參差不齊，個人電腦防護不夠，客戶端導(dǎo)致的網(wǎng)上銀行案件層出不窮。為了增強客戶端的訪問控制安全性，各大商業(yè)銀行主要采取了如下幾種措施。

1、SSL安全會話

安全的會話是個人網(wǎng)上銀行的安全基礎(chǔ)。所有國內(nèi)50大銀行個人網(wǎng)上銀行的網(wǎng)絡(luò)通訊都采用HTTPS的加密傳輸方式，通過SSL建立安全的通道訪問。國內(nèi)商業(yè)銀行大部分采用VeriSign頒發(fā)的SSL證書，除VeriSign外，Entrust和CFCA也是常見的證書頒發(fā)機構(gòu)。個人網(wǎng)上銀行證書普遍采用RSA（2048Bits）公鑰，少數(shù)采用RSA（1024Bits）公鑰。證書有效期集中在24-27個月之間，也有部分短期證書例如9個月。

2、多因素認證

身份鑒別是保障個人網(wǎng)上銀行業(yè)務(wù)安全的關(guān)鍵，好的身份鑒別方式，不但能簡化繁雜的登陸過程，更能較好地保障客戶的帳號和財產(chǎn)安全。大多數(shù)銀行都采用不同的身份鑒別手段來區(qū)分操作權(quán)限。一般“專業(yè)版”使用多因素認證，具備轉(zhuǎn)賬、交易等多種權(quán)限。而用傳統(tǒng)客戶名加密碼簡單認證的“大眾版”只能查詢信息而無法更改金額。目前我國50大銀行中有82%在登陸過程中采用了多因素認證，有72%的銀行采用了USBKEY證書的認證方式。出于更個性化考慮，客戶還可以選擇采用個性化登陸名或昵稱，銀行對客戶登陸名的長度、密碼長度、密碼復(fù)雜度等進行了限制。

3、USBKEY保護

USBKEY因物理特性而具有較好的安全性。密鑰存儲在安全的u盤介質(zhì)中，無法輕易讀出，修改密鑰必須經(jīng)過硬件內(nèi)程序調(diào)用。在接口的外部沒有命令能對密鑰區(qū)進行讀刪改，較好地保證了介質(zhì)安全陛。即使客戶密碼泄漏，只要USBKEY不被盜用，客戶身份就不會被仿冒。USBKEY內(nèi)置CPU或智能卡芯片，可以實現(xiàn)數(shù)據(jù)摘要、數(shù)據(jù)加解密和簽名的各種算法，加解密運算在硬件內(nèi)進行，保證了密鑰不會出現(xiàn)在計算機內(nèi)存中。如果USBKEY不慎遺失，拾到者由于不知道客戶密碼，也無法仿冒客戶身份。

USBKEY還使用公私鑰密碼體制和數(shù)字證書，從密碼學(xué)角度提高了安全性。USBKEY初始化的時將算法寫在ROM中，生成一對公私鑰，公鑰可以導(dǎo)出到USBKEY外，而私鑰存儲在密鑰區(qū)，不允許外部訪問，計算只在芯片內(nèi)部進行，全過程中私鑰不離開介質(zhì)。

4、密碼輸入保護

密碼輸入是網(wǎng)銀保護對象中安全級別最高的部分。當客戶初次使用網(wǎng)上銀行，一般會提示安裝安全控件。安全控件是為確保密碼不被惡意程序非法獲取的保護措施，可抵御反編譯、嗅探、溢出等。控件經(jīng)過第三方安全測評，方可使用。密碼輸入保護主要分為安全控件、軟鍵盤或二者結(jié)合，部分銀行已將安全控件與軟鍵盤功能統(tǒng)一在安全控件中，安全性得到提升。目前商業(yè)銀行86%的密碼輸入后可實現(xiàn)自動加密，但仍有14%的商業(yè)銀行網(wǎng)銀密碼未采取客戶端加密，存在較大風險。

5、驗證碼增強驗證

為防止機器暴力破解密碼或自動登陸，90%的網(wǎng)銀在登陸界面采用了驗證碼，但客戶體驗受到影響，登陸時間平均延遲2秒以上。從長度看，大多數(shù)銀行的驗證碼為4位，少數(shù)銀行采用5位和6位。從內(nèi)容看，多數(shù)驗證碼為字母和數(shù)字相結(jié)合，字母不區(qū)分大小寫，但也有個別銀行驗證碼為純字母或純數(shù)字，存在風險。從表現(xiàn)形式看，大部分銀行驗證碼在客戶每一次登陸就在首頁上要求輸入驗證碼；少數(shù)銀行采用隱藏驗證碼的形式，只有客戶第一次登陸失敗后才會顯示驗證碼。隱藏驗證碼的方式達到了安全與易用的平衡。

6、登陸失敗提示

網(wǎng)銀常見錯誤提示包括：帳號或客戶名錯誤，密碼錯誤，驗證碼失效等。94%的網(wǎng)上銀行采用了帳號自動鎖定策略，達到特定的失敗次數(shù)后，帳號會自動鎖定一段時間，在滿足時間要求后，帳號自動解鎖，避免正常客戶帳號被惡意長期鎖死。登陸失敗提示是一把雙刃劍，在使用較為嚴格的“帳號自動鎖定策略”后，因模糊的反饋提示，無法提供給客戶足夠幫助，降低了客戶體驗感，增加了錯誤處理成本。

7、瀏覽器功能屏蔽

商業(yè)銀行為了降低客戶端風險而屏蔽了瀏覽器部分功能。一般包括屏蔽菜單欄功能、屏蔽導(dǎo)航欄功能、屏蔽右鍵功能等。88%的網(wǎng)上銀行僅支持IE瀏覽器，而其中又僅有8%采用功能屏蔽。只有少數(shù)銀行支持IE、谷歌等多種瀏覽器，并分別不同程度采用了功能屏蔽的措施。

8、預(yù)留信息

預(yù)留信息是為了幫助防止釣魚網(wǎng)站的一種安全措施。網(wǎng)銀需要對客戶進行身份認證，同樣的，客戶也需要對網(wǎng)銀的真實性進行確認。客戶在銀行預(yù)留信息，當?shù)顷憘€人網(wǎng)上銀行的時候，網(wǎng)頁上自動顯示客戶預(yù)留的特定信息，可辨認真?zhèn)巍€性化的預(yù)留信息，能夠幫助客戶.陜速、有效地識別網(wǎng)銀真?zhèn)危Ｗo客戶資產(chǎn)。目前個人網(wǎng)上銀行采用的預(yù)留信息主要為文字為主，少數(shù)銀行提供圖片防偽的預(yù)留信息。

9、首頁登陸提醒

成功登陸網(wǎng)銀后，首頁提供一些客戶個人信息和以往登陸記錄，一方面類似預(yù)留信息的防偽作用，另一方面可方便客戶了解網(wǎng)上銀行的使用情況，提高安全意識。當前網(wǎng)銀的登陸提醒信息有很多種，較多的是提醒上次登陸時間信息，也有少數(shù)銀行提醒更加多樣化，如“總的登陸次數(shù)”、“上次登陸的IP地址”、“上次安全退出的時間”、“密碼錯誤次數(shù)”等。

三、結(jié)論

本文通過對目前國內(nèi)主要商業(yè)銀行的個人網(wǎng)上銀行進行測試，總結(jié)了客戶端的主要風險防控措施，包括安全會話、多因素認證、USBKEY保護、輸入保護、驗證碼、失敗處理、登陸提醒、瀏覽器功能屏蔽、預(yù)留信息等。

隨著網(wǎng)上銀行在銀行渠道建設(shè)中的重要性不斷提升，客戶端風險防控越來越得到銀行重視。本文總結(jié)的網(wǎng)銀客戶端風險防范措施，是實現(xiàn)網(wǎng)上銀行安全保護的眾多方法之一，措施本身可以隨業(yè)務(wù)發(fā)展和技術(shù)需要進一步細化、擴展和完善，值得銀行同業(yè)參考借鑒。