網(wǎng)上銀行在中國雖然還是一個(gè)比較新的概念，但已成為電子商務(wù)的最重要一環(huán)。去年以來，大量關(guān)于網(wǎng)上銀行被盜的報(bào)道屢見報(bào)端，不法分子通過竊取用戶的帳號(hào)和密碼大肆盜竊資金或冒名消費(fèi)。所以，如何保證儲(chǔ)戶的資金安全，一直是各家銀行最關(guān)心、也最頭疼的問題。隨著木馬、黑客、釣魚網(wǎng)站等網(wǎng)絡(luò)風(fēng)險(xiǎn)的越發(fā)泛濫，網(wǎng)銀安全也變得越來越引人注目。

??? 首先我們要弄清一個(gè)問題，什么樣的網(wǎng)上銀行才算安全呢？也許你會(huì)說，最安全當(dāng)然是資金絕對不會(huì)被盜。但事實(shí)上，電腦是不懂“盜”與“合法”的區(qū)別的，它只會(huì)按預(yù)定規(guī)則執(zhí)行，只要有人發(fā)出符合規(guī)則的指令，它就會(huì)按程序執(zhí)行。所以，如果你想真正實(shí)現(xiàn)絕對不被盜，除非你自己也無權(quán)操作。最安全的網(wǎng)上銀行，應(yīng)當(dāng)是指外人無法騙過電腦，不能讓銀行系統(tǒng)把別人誤認(rèn)成你，包括身邊人和銀行的網(wǎng)絡(luò)管理員在內(nèi)。（當(dāng)然了，如果管理員的權(quán)力大到能夠直接修改數(shù)據(jù)庫，那恐怕上帝的帳戶也無安全可言了。）

??? 那么，我們當(dāng)前正在使用的安全技術(shù)究竟能否保證用戶的合法權(quán)限不被人冒用呢，且聽我一一道來。

一、口令篇

??? 口令的使用由來已久，但木馬的泛濫卻讓我們難以放心。據(jù)了解，從有木馬的那天起，鍵盤記錄便一直是必備功能。我們在輸入帳號(hào)密碼的同時(shí)，網(wǎng)絡(luò)那頭的“牧馬人”也在悠閑地看著屏幕上的數(shù)字一個(gè)個(gè)彈出。后來出現(xiàn)的“網(wǎng)銀大盜”更是具有了智能記錄的本領(lǐng)，將黑客們從繁重的“盯梢”工作中解放了出來。

??? 為了解決鍵盤被記錄的問題，網(wǎng)上銀行紛紛推出了密碼輸入控件。這些控件使用了很多底層的驅(qū)動(dòng)技術(shù)，可以在鍵盤按下的第一時(shí)間將鍵值捕獲，并偽造一個(gè)虛假鍵值傳給系統(tǒng)，從而使鍵盤記錄軟件失效。這聽上去不錯(cuò)，但也并非無懈可擊，如果黑客修改“肉雞”的域名解析，將用戶引到一個(gè)偽造頁面上去，那就可以輕易繞過控件的限制了。更何況，并非只有銀行才擁有這種驅(qū)動(dòng)技術(shù)，只要黑客愿意，他完全有可能將木馬的優(yōu)先級(jí)提到比銀行控件還要高。

??? 雖然口令的脆弱性已引起了很多銀行的注意，但目前仍有一些服務(wù)是采用這種安全手段的，尤以 信用卡領(lǐng)域?yàn)樯酢ｋm然各銀行都說這是與國際接軌，但在真正建立起與國際接軌的ChargeBack規(guī)則之前，這種風(fēng)險(xiǎn)還是少冒的好。

二、數(shù)字證書篇

??? 有些銀行采用數(shù)字證書作為用戶的身份識(shí)別方式，如招商銀行的“專業(yè)版”等。這是一種比較先進(jìn)的非對稱加密技術(shù)，客戶端用私匙對指令進(jìn)行加密，服務(wù)端則通過公匙對收到的信息進(jìn)行解密，如果私匙不正確，服務(wù)端就只能看到一堆亂碼。

數(shù)字證書

??? 不過，只要是在內(nèi)存中運(yùn)行的東西，都不能保證絕對安全。如果你不幸被黑客盯上，他完全有可能通過Dump的方式將你內(nèi)存全部拉回去進(jìn)行分析，雖然解密私匙是件相當(dāng)耗時(shí)的事情，但如果你帳戶的資產(chǎn)足夠多，這還是值得的。所以這種證書只推薦小額賬戶使用，企業(yè)用戶還是建議使用其他更安全的方式。

?

三、動(dòng)態(tài)密碼篇

??? 動(dòng)態(tài)密碼是一種雖然原始，但比較安全的做法，目前主要有“電子口令卡”、手機(jī)短信驗(yàn)證和動(dòng)態(tài)密碼鎖三種。動(dòng)態(tài)密碼的實(shí)質(zhì)是密碼與計(jì)算機(jī)的分離，在執(zhí)行交易時(shí)，用戶不僅需要輸入帳戶密碼，還需要輸入一個(gè)來自外部的動(dòng)態(tài)密碼。這樣一來，即使黑客在用戶的機(jī)器上種了木馬，也無法在密碼使用前將其獲得，而且由于外部密碼是一次性的，所以等黑客得到它時(shí)，密碼已經(jīng)失效了。

??? 市面上最常見的動(dòng)態(tài)密碼應(yīng)當(dāng)是以工行為代表的“電子口令卡”。用戶在交易時(shí)，系統(tǒng)會(huì)給出兩個(gè)坐標(biāo)，用戶從手中的口令卡上查到坐標(biāo)對應(yīng)的數(shù)字并填進(jìn)去就可以了。理論上，這些坐標(biāo)可以有6400種組合，所以黑客是很難猜準(zhǔn)的。然而，這個(gè)東西的缺點(diǎn)也很明顯——防不住家賊，現(xiàn)在照相手機(jī)那么流行，如果有人趁你不備將卡片偷拍一下，你的帳戶就無處遁形了。

電子口令卡

??? 手機(jī)短信驗(yàn)證是一款比較有中國特色的產(chǎn)品，每次交易前，由系統(tǒng)將驗(yàn)證碼以短信的形式發(fā)給用戶，從而實(shí)現(xiàn)動(dòng)態(tài)密碼的功能。這種方式比“電子口令卡”要安全一些，但發(fā)送短信需要一定的成本，用戶又不愿負(fù)擔(dān)，所以各銀行往往只對大客戶開放，短期內(nèi)尚難進(jìn)入尋常百姓家。而且，現(xiàn)在手機(jī)卡也并非不能復(fù)制，根據(jù)網(wǎng)上搜索的消息來看，手機(jī)離身超過5分鐘，就有可能被復(fù)制了，所以這也不是一種理想的安全手段。

動(dòng)態(tài)密碼鎖

??? 目前最安全的動(dòng)態(tài)密碼是動(dòng)態(tài)密碼鎖，這是一種專用的硬件設(shè)備，會(huì)隨時(shí)間和帳號(hào)的不同而生成不同的動(dòng)態(tài)密碼，而且硬件不可復(fù)制，一旦丟失可立刻向銀行通報(bào)，從而保證資金安全。不過，由于動(dòng)態(tài)密碼鎖是單匙加密，亦即服務(wù)器和客戶端采用了同樣的加解密算法，所以不具有雙匙加密那樣的不可抵賴性，一旦資金失竊，很難分清到底是銀行的責(zé)任還是用戶的責(zé)任。

四、USB Key篇

??? USB Key其實(shí)就是原來用于防軟件盜版的加密狗，它是一個(gè)獨(dú)立的計(jì)算單元，可以將傳入的信息加工處理后再返回來。如果將數(shù)字證書放在里面，就從根本上杜絕了黑客竊取私匙的可能。而且，USB Key同樣具有不可復(fù)制的優(yōu)點(diǎn)，成本也較低，所以受到各家銀行的推崇，工行的U盾，招行的UKey都是這種。

USB Key

??? USB Key幾乎是一種完美的安全手段，但還不算銅墻鐵壁，因?yàn)樗痪哂幸淮涡悦艽a，已經(jīng)通過木馬等技術(shù)拿到帳戶密碼的人還是有可能偷走USB Key，并搶在掛失前轉(zhuǎn)走大量資金的，如果能再配合手機(jī)短信等動(dòng)態(tài)密碼，那可真是黑客們的夢魘了。

??? 后記：縱觀網(wǎng)銀安全的發(fā)展歷程，其實(shí)就是一部軟件加密技術(shù)的發(fā)展史。從我第一次使用計(jì)算機(jī)時(shí)起，就有很多軟件會(huì)不時(shí)彈個(gè)窗口要求輸入說明書上的某個(gè)字，這應(yīng)當(dāng)就是最早的“電子口令卡”了。近些年來，雖然加密技術(shù)不斷翻新，但盜版卻從未因此而停止，所以任何技術(shù)都不是萬無一失的。在銀行方面積極采用新技術(shù)的同時(shí)，各位用戶也要注意提高自己的安全意識(shí)，只有這樣，黑客們才會(huì)無機(jī)可乘，一個(gè)理想的網(wǎng)銀體系才會(huì)出現(xiàn)在我們面前。

總結(jié)

以上是生活随笔為你收集整理的网上银行安全手段面面观的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。