动态口令不能保证网上银行安全.docx

动态口令不能保证网上银行的安全 自从十年前招商银行首次推出网上银行（以下简称网银）服务以来，网银已经迅速普及成为各银行必备的服务之一。然而，网银在给我们带来极大便利的同时，也带来很高的交易风险。随着网银普及率越来越高，与网银有关的安全问题开始引起人们关注，甚至有部分银行用户因为担心网银系统的安全而拒绝使用网银。这种不信任的心态，已经成为阻碍网银业务进一步扩展的最大瓶颈。为了进一步推广网上银行的使用，银行一直致力于寻找更安全的技术来保障用户的账户安全。近几年，动态口令 (One Time Password，OTP)技术被越来越多的银行用来提高网银系统的安全性。但是，动态口令能保护我们的账户安全吗？网银的安全漏洞在哪里？到底应该如何保证网银的安全？ 被打开的潘多拉魔盒 网银的出现使我们在家动动指头就可以完成过去需要到柜台排队才能完成的事情，既方便了普通用户也大大提高了金融机构的运作效率，削减了其运作成本。但是，凡事有利就有弊，网银同样逃脱不了网络普遍面临的安全威胁。从网银业务开通伊始，网银大盗就如影随形，如苍蝇般紧紧盯上了这颗有缝的“鸡蛋”，那些麻烦有如打开了潘多拉魔盒一样纷拥而至。 1.“钓鱼”网站。 所谓“钓鱼”，即通过邮件或其他方式，诱骗用户登录到酷似银行官方网站的虚假网站，并诱使用户输入认证信息，从而间接获取用户的登录认证信息。瑞典Nordea银行就曾经成为这种方法的攻击目标之一，短短15个月就损失上百万美元。 2. 键盘记录。 键盘记录，即通过木马监视用户正在操作的窗口，如果发现用户正在访问某网银系统的登录页面，就开始记录所有从键盘输入的内容。例如，“网银大盗Ⅱ”木马就是典型例子，它把几乎所有的国内网银系统都列为盗窃的目标。 3.嵌入浏览器。 这种技术主要通过嵌入浏览器进程中的恶意代码来获取用户当前访问的页面地址和页面内容，并且在用户数据（包括账号密码）以SSL安全加密方式发送出去之前获取它们。例如，“网银大盗”木马监测到用户正在访问某个引用了安全登录控件的地址时，就会让浏览器自动跳转到另外一个网页。用户输入认证信息并通过验证后，木马就等在那里，盗取用户资金。 4.窃取文件数字证书 数字证书是网银交易的一项重要安全保护措施。有些银行使用文件证书，允许用户保存至硬盘，这是一个安全隐患。“网银大盗”及其变种“灰鸽子”，就窃取用户计算机内的所有文件，包括安装在计算机上的网银文件数字证书，并且能够准确识别网银流程的每个步骤，自动记录必要的数据，最终再复制一份证书文件。从而，利用盗取的证书和其他必要信息达到非法使用证书的最终目的。 以上只是列举了网银大盗攻击的常用手段。实际上，随着网银业务的不断普及、深入和扩展，越来越多的新业务形式（如手机银行）涌现，网银大盗们总是步步紧追，各种新的、复杂的攻击技术就如同被打开的潘多拉魔盒，层出不穷，让人防不胜防。 “鸡蛋”上的“缝” 大家都知道，网上银行是银行业务利用Internet作为业务提交渠道，通过网关衍生到互联网上的每一个终端用户(企业或者个人用户)。由此可看出，网银系统可分为银行服务器、网络、客户端三部分。从刚才列举的攻击手段来看，主要是钓鱼诈骗和木马移植，而攻击对象也集中在银行服务器和客户端。据中科院安全专家李德全博士分析，之所以网络较少被攻击，是因为“网络层面的安全性比较容易解决，比如通过加密，通过证书认证，网络上的窃听者和伪造者可以被有效地拒之门外，所以问题主要出在两个端点，即用户、商家（银行）两个环节。”因此，用户和商家（银行）就成为网银对抗“网银大盗”攻击最前沿、最重要的阵地。 近年来网银安全事故时常发生，而中国各大银行也不断对自身系统进行升级，服务器端的安全性极高，很少被大盗直接攻破。而大盗们更多地将视线集中在数量众多但信息安全意识良莠不齐的用户（客户端）这里。而用户的身份认证——唯一需要用户操作的地方，就成了网银这颗“鸡蛋”上的缝，受到众大盗们的频频“青睐”。 如何弥补这条“缝”？2007年中，银监办发布[2007]134号通告，通知各商业银行对所有网上银行高风险账户操作统一使用双重身份认证。动态口令（OTP）也因此逐渐走入公众视线，被银行大力推荐。 什么是动态口令 动态口令，又叫动态令牌、动态密码。它的主要原理是：用户登录前，依据用户私人身份信息，并引入随机数产生随机变化的口令，使每次登录过程中传送的口令信息都不同，以提高登录过程中用户身份认证的安全性。过程如下：登录前，首先产生登录用的动态口令，然后通过网络将动态口令传输给认证系统，认证系统收到动态口令后进行验算以验证用户合法性，当动态口令与验算口令一致后即认为用户是合法的。 银行通常提供给用户两种动态口令：一种是固定数量的动态口令，最常见的就是刮刮卡，每次根据银行提示，刮开卡上相应区域的涂层，即可获得一个口令。刮