網上銀行安全漏洞逐個補

專家分析

其實，排除個人用戶使用的安全意識問題，中國人民銀行參事陳靜表示，網上銀行自身系統(tǒng)所面臨的威脅無外乎以下三點：銀行交易系統(tǒng)被非法入侵；信息通過網絡傳輸時被竊取或篡改；交易雙方的身份識別，賬戶被他人盜用。

“由于銀行開展網上銀行業(yè)務需要承擔的風險遠高于銀行客戶。因此，像國內已開通'網上銀行'業(yè)務的招商銀行、建設銀行、中國銀行等，都建立了一套嚴密的安全體系，包括安全策略、安全管理制度和流程、安全技術措施、業(yè)務安全措施、內部安全監(jiān)控和安全審計等，以保證網上銀行的安全運行”，陳靜說。

同時，為了防止交易服務器受到攻擊，銀行還采取了許多有效措施保障系統(tǒng)的安全有效運行：

1.設立防火墻，隔離相關網絡

這其中一般采用多重防火墻方案，可以很好地分隔互聯(lián)網與交易服務器，防止互聯(lián)網用戶的非法入侵。同時，用于交易服務器與銀行內部網的分隔，有效保護銀行內部網，同時防止內部網對交易服務器的入侵。

2.高安全級的Web應用服務器

服務器使用可信的專用操作系統(tǒng)，憑借其獨特的體系結構和安全檢查，保證只有合法用戶的交易請求能通過特定的代理程序送至應用服務器進行后續(xù)處理。

3.24小時實時安全監(jiān)控

例如目前許多銀行所采用的ISS網絡動態(tài)監(jiān)控產品，可進行系統(tǒng)漏洞掃描和實時入侵檢測。據中國工商銀行電子銀行部副處長周永林介紹，在2000年2月Yahoo等大網站遭到黑客入侵破壞時，使用ISS安全產品的網站均得以幸免于難。

而由于互聯(lián)網是一個開放的網絡，客戶在網上傳輸的敏感信息(如密碼、交易指令等)在通信過程中存在被截獲、被破譯、被篡改的可能。為了防止此種情況發(fā)生，網上銀行系統(tǒng)一般都采用加密傳輸交易信息的措施，使用最廣泛的是SSL數據加密協(xié)議。SSL協(xié)議的加密密鑰長度與其加密強度有直接關系，一般是40～128位，目前，工行、招行與建行等都已經采用了有效密鑰長度為128位的高強度加密。

探員支招

網上銀行交易系統(tǒng)的穩(wěn)定與安全，是交易得以順利進行的基礎與保障，如果說銀行只有在出現問題以后才去彌補自身的不足，必將會被用戶所淘汰。所以，面對目前層出不窮的攻擊形式與無所不在的安全危機，只有積極、主動的不斷升級自身系統(tǒng)，才可以真正做到防患于未然。

一直從事北京招行技術管理方面工作的王建恒在這方面非常有經驗，他認為銀行不僅要在客戶終端和銀行服務器之間使用保密協(xié)議，確保數據傳輸的安全性，還應該在操作上進行合理的流程控制。另外，網上個人銀行必須采取雙層密碼保護，客戶在輸入卡號和密碼的同時，還要輸入一個動態(tài)的附加密碼，這樣，銀行就能對每一筆業(yè)務進行風險控制。

值得一提的是，招行、建行等都先后推出了USBKey個人數字證書。該證書的外形與閃存盤產品類似，小巧便攜，其核心是一塊能實現加密運算的芯片，使用時，可在USB設備內部完成核心的安全識別和加密運算，然后再將加密信息返回給PC系統(tǒng)。

這樣，客戶可隨身攜帶該數字證書，隨時隨地使用網上個人銀行專業(yè)版，既安全又方便。但這種USBKey每個平均需要二三百塊錢的使用金額造成了其推廣的難度，因此怎樣降低其使用成本、更好地服務于用戶應該是銀行目前需首要解決的問題。

另外，在網上銀行系統(tǒng)中，用戶的身份認證依靠基于“RSA公鑰密碼體制”的加密機制、數字簽名機制和用戶登錄密碼的多重保證。銀行對用戶的數字簽名和登錄密碼進行檢驗，全部通過后才能確認該用戶的身份。所以，用戶的惟一身份標識就是銀行簽發(fā)的“數字證書”。

由于數字證書的惟一性和重要性，各家銀行為開展網上業(yè)務都成立了CA認證機構，專門負責簽發(fā)和管理數字證書，并進行網上身份審核。2000年6月，由中國人民銀行牽頭，12家商業(yè)銀行聯(lián)合共建的中國金融認證中心(CFCA)正式掛牌運營。中國金融認證中心作為一個權威的、可信賴的、公正的第三方信任機構，為今后實現跨行交易提供了身份認證基礎。

【行業(yè)篇】讓每人都有一把保護傘

案件回放

據中央電視臺2004年12月10日報道，因為登錄假中國銀行網站而損失2.5萬元的呼和浩特市的胡先生，已正式要求中國銀行賠償其損失，但遭到中國銀行的斷然拒絕。中國銀行方面表示，他們已經不是第一次碰到這樣的事情，銀行以前也從未有過賠付的先例，這次他們也沒有任何理由要進行賠償。而胡先生卻堅持認為“銀行應該賠錢”。

查找漏洞

相比之前的案例，這個案件最為復雜的地方就是關于權責的劃分。首先，2.5萬元確實不是一筆小數目，對于胡先生的損失，想必誰都會表示同情，但真正涉及到責任的承擔，人們的看法與理解卻不盡相同。

按照胡先生的說法：“我是出于對該銀行的信任，才把錢存到了這里，作為銀行，你應該對我的資金進行妥善保管?！彼€表示，按照銀行的相關規(guī)定，用戶的卡和密碼丟失以后所造成的損失由用戶承擔，但現在的關鍵問題是自己的卡一直沒有丟。那么對于這樣的情況，銀行又是如何看待與顧客的權責問題呢？

中國銀行西單大廈營業(yè)部一位姓劉的工作人員表示：銀行對責任劃分的一般原則是先分清是屬于自己的責任，還是屬于他人的責任。在這個事件中，是用戶自己保管著密碼和銀行卡，而且是由于其自身的原因上了假網站，導致卡和密碼失竊造成了損失，那么，這樣的情況下，責任應該由顧客承擔。

由此看來，銀行判斷用戶的損失責任界定標準是要分析損失是銀行內部的系統(tǒng)問題或者其他問題造成的，還是因為用戶自己保管不慎或者密碼的失竊造成的。

當記者咨詢過中國建設銀行與浦東發(fā)展銀行的電子銀行部負責人后，他們也認為，出現假網站，并不是銀行所能左右的，所以造成卡號和密碼丟失的過錯并非屬于銀行。同時，像工行、招行的有關人士還表示，在自身銀行發(fā)現假冒網站后，總行都會與公安機關積極配合，對假網站及時予以關閉，并對儲戶掛出了警示公告或安全提示，這說明銀行在事前、事后都沒有過錯，已經盡了自己應該注意的義務，因此要求銀行承擔賠償損失的責任是絲毫沒有根據的。

專家分析

雖說都是有理有據，但以上的這些都只是當事人雙方的一面之辭，難免會有失偏頗，用戶上假網站造成損失要銀行賠錢，可銀行又說自己沒有責任，那么用戶的損失到底該由誰來承擔呢？還是讓我們來聽聽法律專家的論斷。

據清華大學法學院副教授湯欣表示，從法律的層面上講，有過錯的行為人要承擔他的行為責任，所以在這個案件中，需要索賠的對象首先是行騙的人，是他們的欺詐行為導致用戶賬號和密碼失竊，直接造成了用戶的財產損失，這一點毋庸置疑。

而中國政法大學一位民商法專家也認為，按照目前的證據來判斷這個案子，銀行應該沒有賠償責任。但他同時也表示，這只是一個暫時的現象，是由于法律調整滯后于現實造成的。相信在未來立法時，可以考慮將目前銀行一些可有可無的做法，上升為強制性的規(guī)定，比如，銀行必須為網站設立更明確可靠的防偽技術，讓消費者很容易辨別真?zhèn)?，以及銀行必須設立專職人員進行網絡巡視，及時防堵假冒網站等，增加銀行一方的義務，最大限度地保護用戶的利益。

當糾紛產生以后，雙方最關心的都是能否通過正規(guī)的法律途徑有效的解決問題。近年來，因為泄露銀行儲蓄卡導致存款被他人騙取的糾紛時有發(fā)生。而由于國家一直未出臺相應的法律規(guī)范，以致于關于此類新型案件應否作為民事案件受理的問題，在法律工作人員之間也存在著“應該受理”和“不能受理”的不同看法。

不過，就在本文截稿前夕，記者最新獲悉四川高院日前已專門就此問題發(fā)函至最高人民法院請示。而最高人民法院也于8月1日公布了《關于銀行儲蓄卡被泄露導致存款被他人騙取引起的儲蓄合同糾紛應否作為民事案件受理問題的批復》，也就是說，從批復頒布之日起，因為銀行儲蓄卡被泄露，而存款被他人使用假卡取走的“存款神秘丟失案”，存款人可以到法院狀告銀行。由此，我們也看到了國家對網絡銀行交易安全的重視，相信隨著國家相關法律的日益完善，網絡交易的環(huán)境也會越來越安全。

探員支招

除了期待國家相關法律的正式出臺以外，當一再面對用戶與銀行發(fā)生糾紛時，我們也希望能有一個公正、權威的第三方出來為雙方主持公道。這就需要像銀監(jiān)會、中央銀行等機構對網上銀行的各種風險進行監(jiān)控。

根據《網上銀行業(yè)務管理暫行辦法》的要求，商業(yè)銀行應建立網上銀行業(yè)務信息管理系統(tǒng)，中國人民銀行可開發(fā)與商業(yè)銀行對接的信息管理系統(tǒng)，中國人民銀行應對商業(yè)銀行的網絡業(yè)務有“重點”地監(jiān)管，即對商業(yè)銀行的網絡批發(fā)業(yè)務予以跟蹤監(jiān)督，對于零售業(yè)務則注重其發(fā)展方向的變化。

同時，從國外金融業(yè)發(fā)展情況來看，“混業(yè)經營”是趨勢，特別是網上銀行將大大加快我國“混業(yè)經營”的進程。網上銀行貨幣雖加快了銀行資金的周轉速度，降低了交易成本，但金融風險也因電子貨幣流轉環(huán)節(jié)的復雜性和交易對象的廣泛性等因素而上升，使得監(jiān)管當局面臨著逃避管制的風險。

再有，傳統(tǒng)的監(jiān)管手段可能導致對網上銀行業(yè)務無法實施高效、全面的監(jiān)管，作為金融監(jiān)管當局，除了制定具有針對性管理辦法外，還應加快自身電子化建設步伐，依托先進的科技手段，實施非現場監(jiān)測，以不斷適應金融監(jiān)管中出現的新情況新問題。

現階段，在審批過程中，應嚴格制度建設。網上銀行的公示、信息披露、內部控制和系統(tǒng)設計等制度性安排，必須嚴格審批。但對網上銀行的硬件設施配備、技術投人、人員配置不宜干預過多，應當給銀行以適當的彈性空間使其根據自己的實際情況進行籌劃投資，避免因行政干預造成不必要的資源浪費。同時，還要重視風險防范、化解機制。網上銀行的設立或新業(yè)務的開展，必須具備完善的風險識別、鑒定、管理、風險彌補和處置方案、計劃。

相關鏈接

安全使用網上銀行七大秘籍

1.核對網址

客戶在登錄網上銀行時，應留意核對所登錄的網址與協(xié)議書中的法定網址是否相符，謹防一些不法分子惡意模仿銀行網站，騙取賬戶信息。

2.妥善選擇和保管密碼

密碼應避免與個人資料有關系，不要選用諸如身份證號碼、出生日期、電話號碼等作為密碼。建議選用字母、數字混合的方式，以提高密碼破解難度。密碼應妥善保管，避免將密碼寫在紙上。盡量避免在不同的系統(tǒng)使用同一密碼，否則密碼一旦遺失，后果將不堪設想。

3.做好交易記錄

客戶應對網上銀行辦理的轉賬和支付等業(yè)務做好記錄，定期查看“歷史交易明細”、定期打印網上銀行業(yè)務對賬單，如發(fā)現異常交易或賬務差錯，立即與銀行聯(lián)系，避免損失。

4.妥善保管數字證書

網上銀行用戶應避免在公用的計算機上使用網上銀行，以防數字證書等機密資料落入他人之手，從而使網上身份識別系統(tǒng)被攻破，網上賬戶遭盜用。

5.對異常動態(tài)提高警惕

若遇重大事件，系統(tǒng)必須暫停服務，銀行會提前公告客戶?？蛻羧绮划斝脑谀吧摹般y行網址”上輸入了銀行卡號和密碼，并遇到類似“系統(tǒng)維護”之類的提示，應立即撥打銀行客服熱線進行確認。萬一發(fā)現資料被盜，應立即修改相關交易密碼或進行銀行卡掛失。

6.安裝防毒軟件

為電腦安裝防火墻程序，防止個人賬戶信息遭到黑客竊取。建議安裝防病毒軟件，并經常升級。

7.堵住軟件漏洞

為防止他人利用軟件漏洞進入計算機竊取資料，客戶應及時更新相關軟件，下載補丁程序。

從Web服務角度來說，SOA當然是開放的了。SOA可以很容易地使不同平臺的服務合在一起共同工作，而Web服務的一系列開放標準SOAP,WSDL等，使這一切變成了可能。

但是，將不同的服務連接起來只是SOA的一個基本要素。SOA的真正價值是將不同的服務連接起來實現一個復合應用，它可以將不同的資源整合起來，包括：

人（通過門戶網站）

流程（通過流程管理）

數據（通過數據整合）

商業(yè)伙伴（通過B2B技術）

人（通過門戶網站）

在整合過程中，我們越來越發(fā)現，如果這些資源來自不同的應用供應商，這將是件非常困難的事。目前，一些軟件廠商已經推出了一些應用平臺，包括IBM的WebSphere，Oracle的Fusion,BEA的FreeFlow,還有Microsoft的BizTalk。這些產品可以將服務開放地連接起來，但是對基礎框架的開放性和如何將不同廠商的產品集成起來的討論卻很少。舉一個稍極端點的例子，我們能夠很容易的在Fusion和WebSphere這兩個平臺之間設計一個商業(yè)流程嗎？

一些專門從事整合服務的公司如WebMethods，PegaSystems或者新成立的Cordys更是抱怨，他們認為這些產品之所以有效率是因為沒有進行框架之間的集成，而只是在各自單獨產品上的開發(fā)和應用。

這些困難就在于沒有一個開放的共享標準用于開發(fā)。Eclipse在這方面起到了一定的作用，但是它如果能給各種制品規(guī)范一個共享的定義，并作為一個知識庫提供給大家，這將更有意義。

SOA與傳統(tǒng)開發(fā)（如Cobol或Java）的一個明顯的不同就在于不管是開發(fā)還是運行都有著很大的柔性。復合系統(tǒng)的一個最大的優(yōu)勢就是它可根據商業(yè)的需求即時變動，包括工作流，規(guī)則甚至是使用著的服務。所謂動態(tài)“開發(fā)”就是指在系統(tǒng)運行時還可以得到開發(fā)環(huán)境的支持。這在SOA得到了很好的體現。

整合將會一直存在下去，它將跨越整個開發(fā)生命周期：分析、設計、編碼、產品升級、操作、實時監(jiān)測、后期分析、變動管理。例如，對一個商業(yè)流程的實時監(jiān)測必須要明明白在設計階段的業(yè)務流程的定義。

在商業(yè)和IT之間很難有個明確的界限。IT專家必須要明白軟硬件提供的服務和構建在它們之上的商業(yè)流程之間的聯(lián)系。商業(yè)流程除了要運行正確上還應該滿足SLAs（服務水平協(xié)議）。IT就是要在IT基礎架構上實現這些需求，同時還要考慮到將來應用的擴展和IT對商業(yè)的影響。

SOA可以將IT、商業(yè)、開發(fā)生命周期、人、流程、合作伙伴還有數據很好的整合起來。如果把這些都開放出來將需要更多的標準和時間。要想完全獲得SOA帶來的好處，那么就要盡可能的不使用單獨廠商提供的解決方案。

對供應商的選擇不能簡簡單單只依據開發(fā)，操作，IT或者商業(yè)中的某一項來決定，應該把所以的這些綜合起來考慮。

來源：CCW