网上银行安全分析报告一、网上银行的发展状况及隐忧：发展与隐患并存今天，Internet已经渗透到了我们的生活的方方面面。网上娱乐、网上购物、网上银行等新的生活方式正在逐渐影响着我们的生活。尤其是近几年网上银行的快速发展，在为我们的生活提供便利的同时，也改变了我们的生活方式和习惯。 安全隐患是发展的主要障碍： 加强网上银行用户的身份管理，防止用户身份的泄露，是当前公认的预防网上银行安全隐患的最有效措施。目前，多数网上银行的专业版都采用数字证书作为客户身份证明，一是确保交易的真实性，更重要的是，能有效防止用户身份的泄露。因为即使黑客盗取了客户密码，没有证明身份的数字证书，同样无法操作，无法盗取资金。因此，目前国内银行主要通过采用CA认证（身份认证）的方式来预防用户身份的泄露。 在CA认证机构的选择上，我国银行以采用第三方认证机构为主，这也是行业系统化、规范化的发展方向及诚信的基础。记者从我国金融业统一的第三方安全认证机构CFCA（即中国金融认证中心）了解到，CFCA已累计发放证书超过50万张。包括工商银行、农业银行、建设银行、交通银行、中信实业银行、上海浦发银行、民生银行在内的众多银行都已经建立了CFCA证书审批机构，并且有超过9家银行将这一认证在全国范围内推广。华夏、民生等银行还实现了CFCA证书的跨行认证。 由于第三方CA独立于当事人的任何一方，比非第三方CA具有更强的权威性、公正性和可信赖性，能够更好的确保网上交易的有效性，技术上也有更好的保障。在互联网这种开放、不设访、复杂的环境中，第三方CA通过发放证书来保障信息的传输安全，对交易双方起到了规避风险的作用。 二、主要的网上银行安全措施：尽管网上银行因为其方便快捷而备受用户欢迎，但是现在有一些不法分子通过假电子邮件、假网站、木马（特洛伊）软件，以及其他蓄意诈骗程序等，盗取用户的名称和密码，影响了用户正常使用。银行方面为此设置了不少安全措施，以保证用户安全使用网上银行。很多银行的网上银行分为大众版和专业版，一般来说大众版是单一身份认证，所以只提供简单的账户查询功能和受限制的同一客户账户间转账功能；只有采取了双重身份认证或多重身份认证，用户可以通过使用动态密码验证、浏览器文件数字证书或移动数字证书等多种安全认证方式后，才能通过网上银行进行各种转账、支付等操作，这样就大大加强了网上银行的安全性。除上述安全措施外，部分商业银行还提供电脑数字软键盘密码输入方式、即时短信通知卡交易信息等服务，这些都是为保护您的银行账户作出的努力。现有的双重认证方式大致如下：1浏览器文件数字证书：目前国内商业银行采用最为普遍的双重认证方式之一。可存储于浏览器中，可任意备份证书和私钥，用户端不需要安装驱动程序，而且没有任何成本。2移动数字证书(主要为U盾)：即USB-Key（U盘数字证书），是目前国内商业银行采用比较普遍的、安全度相对较高的双重认证方式之一。申请移动数字证书后，所有涉及资金对外转移的网银操作，除输入密码外，还必须同时使用移动数字证书才能完成。由于犯罪分子很难同时窃取移动数字证书、移动数字证书的密码、网上银行账号、登录密码和支付密码，所以使用移动数字证书的安全性要大大高于普通的单一使用密码方式。3智能IC卡：香港地区的智能身份证（IC卡）已含有内置的安全证书，进行网上银行交易时在电脑上插入IC卡即可有效确认客户身份，但智能身份证中的安全证书必须使用特殊设备读取，在使用时尚有一定程度的不便。4手机短信密码：客户在发出交易需求后，银行用手机短信向客户发出一次性密码，只有在输入银行卡密码和一次性密码后，整个交易才能被确认并完成。5电子密码器：银行发给客户一个拇指大小的电子密码器。每个密码器都有独特编号，与银行卡号关联。密码器有内置时钟，每次按下按钮，会根据密码器编号和交易时间生成6位数的密码。客户必须同时输入银行卡密码和密码器密码，才能获得身份认证。由于密码器密码与交易时间挂钩，所以每次生成的密码都不一样，而且每个密码在很短时间内就会失效，即使他人偷看或记录下银行卡号、银行卡密码和密码器密码，也很难来得及窃取资金。6多因素密码校验法：用户在交易前必须输入姓氏、会员号码、常规密码和其他密码，或在输入生日和个人识别码(PIN)后，必须回答几个随机问题（已在银行卡资料库中预留的答案）。只有所有的号码均正确、回答问题与预留答案一致，才能使用网上银行服务。7动态口令卡：相当于一种动态的电子银行密码。每张口令卡与客户在银行的注册信息关联。上以矩阵的形式印有若干字符串，客户在使用电子银行（包括网上银行或电话银行）进行对外转账、B2C购物、缴费等支付交易时，电子银行系统就会随机给出一组口令卡坐标，客户根据坐标从卡片中找到口令组合并输入电子银行系统。只有当口令组合输入正确时，才能完成相关交易。8批处理密码：商业银行为持卡人的一张借记卡提供密码单，密码单一般记录50或100个银行卡密码，所有密码的有效期为1-2个月，每个密码使用一次后随即作废。9动态账号：客户下载专用软件到电脑后，电脑会自动启动安全功能。客户在线购物时，每次提供用户名和密码，电脑都会自动产生随机号码代替信用卡号码，形成“虚拟账号”。三、网上银行安全原理网上银行安全证书工作原理1何谓数字证书？ 数字证书是一个经证书认证中心（CA）数字签名的包含公开密钥拥有者信息以及公开密钥的数据文件。认证中心的数字签名可以确保证书信息的真实性，用户公钥信息可以保证数字信息传输的完整性，用户的数字签名可以保证数字信息的不可否认性。 数字证书是各类终端实体和最终用户在网上进行信息交流及商务活动的身份证明，在电子交易的各个环节，交易的各方都需验证对方数字证书的有效性，从而解决相互间的信任问题。 认证中心（CA）作为权威的、可信赖的、公正的第三方机构，专门负责为各种认证需求提供数字证书服务。认证中心颁发的数字证书均遵循X.509 V3标准。X.509标准在编排公共密钥密码格式方面已被广为接受。 2.数字证书的功能主要包括：身份验证、信息传输安全、信息保密性（存储与交易）、信息完整性、交易的不可否认性。 数字安全证书的工作流程： 如果客户A想和银行B通信，他首先必须从数据库中取得银行B的证书，然后对它进行验证。如果他们使用相同的CA（证书认证中心），事情就很简单，客户A 只需验证银行B证书上CA的签名。如果他们使用不同的CA，问题就较为复杂。客户A必须从CA的树形结构底部开始，从底层CA往上层CA查询，一直追踪到 同一个CA为止，找出共同的信任CA。目前个人获取网上银行安全证书的途径都是通过银行申请，所以双方肯定采用同一证书认证中心颁发的证书。 现在假设客户A向银行B传送数字信息，为了保证信息传送的真实性、完整性和不可否认性，需要对要传送的信息进行数字加密和数字签名，其传送过程如下： 1）客户A准备好要传送的数字信息（明文）。 2）客户A对数字信息进行哈希（hash）运算，得到一个信息摘要。 3）客户A用自己的私钥（SK）对信息摘要进行加密得到客户A的数字签名，并将其附在数字信息上。 4）客户A随机产生一个加密密钥（DES密钥），并用此密钥对要发送的信息进行加密，形成密文。 5）客户A用双方共有的公钥（PK）对刚才随机产生的加密密钥进行加密，将加密后的DES密钥连同密文一起传送给乙。 6）银行B收到客户A传送过来的密文和加过密的DES密钥，先用自己的私钥（SK）对加密的DES密钥进行解密，得到DES密钥。 7）银行B然后用DES密钥对收到的密文进行解密，得到明文的数字信息，然后将DES密钥抛弃（即DES密钥作废）。 8）银行B用双方共有的公钥（PK）对客户A的数字签名进行解密，得到信息摘要。银行B用相同的hash算法对收到的明文再进行一次hash运算，得到一个新的信息摘要。 9）银行B将收到的信息摘要和新产生的信息摘要进行比较，如果一致，说明收到的信息没有被修改过。3.数字证书原理：非对称加密最初可能是为了解决密匙保管与交换难题. 非对称加密过程中用一个密匙加密只能用另一个密匙解密. 由此解决了密匙交换难题: 公匙随意发放; 保管也大为简化: 保护好私匙就可以了。PKI 之所以成为或 称为 体系, 是包括了实施中所必需的公匙管理: 认证, 发放, 收回, 查询等.现在看加密过程. 加密邮件为例：Alice 发加密邮件给 Bob.1a. Alice 从 Bob那里或从PKI服务器得到 Bob的公匙2a. Alice 用 Bob的公匙加密邮件, 发送给 Bob3a. Bob 受到加邮件, 用自己的私匙解密.其他人如果截获加密邮件, 由于没有 Bob的私匙, 无法解密邮件.签名过程则是非对称加密的另一用法1b. Alice 在用 Bob的公匙加密邮件前先对邮件产生摘要Ha.2b. Alice 用自己的私匙加密邮件摘要, 连同加密邮件(2a)发送给 Bob3b. Bob 将加密邮件摘要用Alice的公匙解密得到解密的邮件摘要Ha. (公匙可以从 Aliceb那里或从PKI服务器得到), 并用自己的私匙解密邮件(3a).4b. Bob 对解密的邮件产生摘要Hb, 与(3b)解密的邮件摘要Ha比较.如果无误, 则可确认: 1) 该邮件由Alice 发出, 因为只有Alice 有自己的私匙; 2)邮件在传递过程中未遭篡改, 因为邮件摘要比较结果一致.另外, 因为只有Alice 有自己的私匙, Alice 无法否认该邮件由自己发出。如果 PKI Service Provider 用 RootCA 对 Alice 的公匙做签名操作, 由于RootCA的公匙可以公开获得, 对 Alice 的公匙进行核实(4b)即可确认该公匙为 Alice 所有. 在解密的邮件中看到对方的证书信息是因为对方对邮件不但加密并且签名, 对方的公匙已经含有有关信息. 既是签名, 当然要你看到才对。（二）移动数字认证书工作原理：U盾又作 移动数字证书，它存放着你个人的数字证书，并不可读取。同样，银行也记录着你的数字证书。 当你尝试进行网上交易时，银行会向你发送由时间字串，地址字串，交易信息字串，防重放攻击字串组合在一起进行加密后得到的字串A，你的U盾将跟据你的个人证书对字串A进行不可逆运算得到字串B，并将字串B发送给银行，银行端也同时进行该不可逆运算，如果银行运算结果和你的运算结果一致便认为你合法，交易便可以完成，如果不一致便认为你不合法，交易便会失败。 理论上，不同的字串A不会得出相同的字串B，即一个字串A对应一个唯一的字串B；但是字串B和字串A无法得出你的数字证书，而且U盾具有不可读取性，所以任何人都无法获行你的数字证书。并且银行每次都会发不同的防重放字串（随机字串）和时间字串，所以当一次交易完成后，刚发出的B字串便不再有效。综上所述，理论上U盾是绝对安全的*注意是理论上发生伪造概率大约为2的80次方分之一，但是如果有像变形金刚中的那种DNA base computer 的话。（三）动态口令卡工作原理：动态口令牌（E-Token）是一种内置电源、密码生成芯片和显示屏、根据专门的算法每隔一定时间自动更新动态口令的专用硬件。动态口令牌的使用十分简单，无需安装驱动，用户只要根据网上银行系统的提示，输入动态口令牌当前显示的动态口令即可。动态口令又称一次性密码，每60秒随机更新一次，其优点在于一个口令在认证过程中只使用一次，下次认证时则更换使用另一个口令，使得不法分子难以仿冒合法用户的身份，用户也不需要去记忆密码。概言之：用对方的公匙加密, 用自己的私匙