网上银行安全手段面面观
網(wǎng)上銀行在中國雖然還是一個(gè)比較新的概念,但已成為電子商務(wù)的最重要一環(huán)。去年以來,大量關(guān)于網(wǎng)上銀行被盜的報(bào)道屢見報(bào)端,不法分子通過竊取用戶的帳號(hào)和密碼大肆盜竊資金或冒名消費(fèi)。所以,如何保證儲(chǔ)戶的資金安全,一直是各家銀行最關(guān)心、也最頭疼的問題。隨著木馬、黑客、釣魚網(wǎng)站等網(wǎng)絡(luò)風(fēng)險(xiǎn)的越發(fā)泛濫,網(wǎng)銀安全也變得越來越引人注目。
??? 首先我們要弄清一個(gè)問題,什么樣的網(wǎng)上銀行才算安全呢?也許你會(huì)說,最安全當(dāng)然是資金絕對不會(huì)被盜。但事實(shí)上,電腦是不懂“盜”與“合法”的區(qū)別的,它只會(huì)按預(yù)定規(guī)則執(zhí)行,只要有人發(fā)出符合規(guī)則的指令,它就會(huì)按程序執(zhí)行。所以,如果你想真正實(shí)現(xiàn)絕對不被盜,除非你自己也無權(quán)操作。最安全的網(wǎng)上銀行,應(yīng)當(dāng)是指外人無法騙過電腦,不能讓銀行系統(tǒng)把別人誤認(rèn)成你,包括身邊人和銀行的網(wǎng)絡(luò)管理員在內(nèi)。(當(dāng)然了,如果管理員的權(quán)力大到能夠直接修改數(shù)據(jù)庫,那恐怕上帝的帳戶也無安全可言了。)
??? 那么,我們當(dāng)前正在使用的安全技術(shù)究竟能否保證用戶的合法權(quán)限不被人冒用呢,且聽我一一道來。
一、口令篇
??? 口令的使用由來已久,但木馬的泛濫卻讓我們難以放心。據(jù)了解,從有木馬的那天起,鍵盤記錄便一直是必備功能。我們在輸入帳號(hào)密碼的同時(shí),網(wǎng)絡(luò)那頭的“牧馬人”也在悠閑地看著屏幕上的數(shù)字一個(gè)個(gè)彈出。后來出現(xiàn)的“網(wǎng)銀大盜”更是具有了智能記錄的本領(lǐng),將黑客們從繁重的“盯梢”工作中解放了出來。
??? 為了解決鍵盤被記錄的問題,網(wǎng)上銀行紛紛推出了密碼輸入控件。這些控件使用了很多底層的驅(qū)動(dòng)技術(shù),可以在鍵盤按下的第一時(shí)間將鍵值捕獲,并偽造一個(gè)虛假鍵值傳給系統(tǒng),從而使鍵盤記錄軟件失效。這聽上去不錯(cuò),但也并非無懈可擊,如果黑客修改“肉雞”的域名解析,將用戶引到一個(gè)偽造頁面上去,那就可以輕易繞過控件的限制了。更何況,并非只有銀行才擁有這種驅(qū)動(dòng)技術(shù),只要黑客愿意,他完全有可能將木馬的優(yōu)先級(jí)提到比銀行控件還要高。
??? 雖然口令的脆弱性已引起了很多銀行的注意,但目前仍有一些服務(wù)是采用這種安全手段的,尤以 信用卡領(lǐng)域?yàn)樯酢km然各銀行都說這是與國際接軌,但在真正建立起與國際接軌的ChargeBack規(guī)則之前,這種風(fēng)險(xiǎn)還是少冒的好。
二、數(shù)字證書篇
??? 有些銀行采用數(shù)字證書作為用戶的身份識(shí)別方式,如招商銀行的“專業(yè)版”等。這是一種比較先進(jìn)的非對稱加密技術(shù),客戶端用私匙對指令進(jìn)行加密,服務(wù)端則通過公匙對收到的信息進(jìn)行解密,如果私匙不正確,服務(wù)端就只能看到一堆亂碼。
數(shù)字證書
??? 不過,只要是在內(nèi)存中運(yùn)行的東西,都不能保證絕對安全。如果你不幸被黑客盯上,他完全有可能通過Dump的方式將你內(nèi)存全部拉回去進(jìn)行分析,雖然解密私匙是件相當(dāng)耗時(shí)的事情,但如果你帳戶的資產(chǎn)足夠多,這還是值得的。所以這種證書只推薦小額賬戶使用,企業(yè)用戶還是建議使用其他更安全的方式。
?
三、動(dòng)態(tài)密碼篇
??? 動(dòng)態(tài)密碼是一種雖然原始,但比較安全的做法,目前主要有“電子口令卡”、手機(jī)短信驗(yàn)證和動(dòng)態(tài)密碼鎖三種。動(dòng)態(tài)密碼的實(shí)質(zhì)是密碼與計(jì)算機(jī)的分離,在執(zhí)行交易時(shí),用戶不僅需要輸入帳戶密碼,還需要輸入一個(gè)來自外部的動(dòng)態(tài)密碼。這樣一來,即使黑客在用戶的機(jī)器上種了木馬,也無法在密碼使用前將其獲得,而且由于外部密碼是一次性的,所以等黑客得到它時(shí),密碼已經(jīng)失效了。
??? 市面上最常見的動(dòng)態(tài)密碼應(yīng)當(dāng)是以工行為代表的“電子口令卡”。用戶在交易時(shí),系統(tǒng)會(huì)給出兩個(gè)坐標(biāo),用戶從手中的口令卡上查到坐標(biāo)對應(yīng)的數(shù)字并填進(jìn)去就可以了。理論上,這些坐標(biāo)可以有6400種組合,所以黑客是很難猜準(zhǔn)的。然而,這個(gè)東西的缺點(diǎn)也很明顯——防不住家賊,現(xiàn)在照相手機(jī)那么流行,如果有人趁你不備將卡片偷拍一下,你的帳戶就無處遁形了。
電子口令卡
??? 手機(jī)短信驗(yàn)證是一款比較有中國特色的產(chǎn)品,每次交易前,由系統(tǒng)將驗(yàn)證碼以短信的形式發(fā)給用戶,從而實(shí)現(xiàn)動(dòng)態(tài)密碼的功能。這種方式比“電子口令卡”要安全一些,但發(fā)送短信需要一定的成本,用戶又不愿負(fù)擔(dān),所以各銀行往往只對大客戶開放,短期內(nèi)尚難進(jìn)入尋常百姓家。而且,現(xiàn)在手機(jī)卡也并非不能復(fù)制,根據(jù)網(wǎng)上搜索的消息來看,手機(jī)離身超過5分鐘,就有可能被復(fù)制了,所以這也不是一種理想的安全手段。
動(dòng)態(tài)密碼鎖
??? 目前最安全的動(dòng)態(tài)密碼是動(dòng)態(tài)密碼鎖,這是一種專用的硬件設(shè)備,會(huì)隨時(shí)間和帳號(hào)的不同而生成不同的動(dòng)態(tài)密碼,而且硬件不可復(fù)制,一旦丟失可立刻向銀行通報(bào),從而保證資金安全。不過,由于動(dòng)態(tài)密碼鎖是單匙加密,亦即服務(wù)器和客戶端采用了同樣的加解密算法,所以不具有雙匙加密那樣的不可抵賴性,一旦資金失竊,很難分清到底是銀行的責(zé)任還是用戶的責(zé)任。
四、USB Key篇
??? USB Key其實(shí)就是原來用于防軟件盜版的加密狗,它是一個(gè)獨(dú)立的計(jì)算單元,可以將傳入的信息加工處理后再返回來。如果將數(shù)字證書放在里面,就從根本上杜絕了黑客竊取私匙的可能。而且,USB Key同樣具有不可復(fù)制的優(yōu)點(diǎn),成本也較低,所以受到各家銀行的推崇,工行的U盾,招行的UKey都是這種。
USB Key
??? USB Key幾乎是一種完美的安全手段,但還不算銅墻鐵壁,因?yàn)樗痪哂幸淮涡悦艽a,已經(jīng)通過木馬等技術(shù)拿到帳戶密碼的人還是有可能偷走USB Key,并搶在掛失前轉(zhuǎn)走大量資金的,如果能再配合手機(jī)短信等動(dòng)態(tài)密碼,那可真是黑客們的夢魘了。
??? 后記:縱觀網(wǎng)銀安全的發(fā)展歷程,其實(shí)就是一部軟件加密技術(shù)的發(fā)展史。從我第一次使用計(jì)算機(jī)時(shí)起,就有很多軟件會(huì)不時(shí)彈個(gè)窗口要求輸入說明書上的某個(gè)字,這應(yīng)當(dāng)就是最早的“電子口令卡”了。近些年來,雖然加密技術(shù)不斷翻新,但盜版卻從未因此而停止,所以任何技術(shù)都不是萬無一失的。在銀行方面積極采用新技術(shù)的同時(shí),各位用戶也要注意提高自己的安全意識(shí),只有這樣,黑客們才會(huì)無機(jī)可乘,一個(gè)理想的網(wǎng)銀體系才會(huì)出現(xiàn)在我們面前。
總結(jié)
以上是生活随笔為你收集整理的网上银行安全手段面面观的全部內(nèi)容,希望文章能夠幫你解決所遇到的問題。
- 上一篇: 即时通讯系统开发的问题详解
- 下一篇: 2010年8月9日 流水账