第3章电子银行的安全.pptVIP

* 三道防线保证网上银行用户的资金和信息安全 1.第一道防线：由网上银行用户名（6-20位数字和英文字母）和密码（8-20位数字和英文字母）组成的基础性防护。 网上银行查询版客户，仅需验证用户名和密码，即可实现对借记卡和其它关联账户（查询版可在网上自助注册，但关联账户需到柜台办理）的查询，但为保障您的账户资金安全，您不能使用转账、投资等涉及账户资金变动的功能。 * 2.第二道防线：动态口令牌随机生成的动态口令（6位数字）。 动态口令牌（E-Token）是一种内置电源、密码生成芯片和显示屏、根据专门的算法每隔一定时间自动更新动态口令的专用硬件。动态口令牌的使用十分简单，无需安装驱动，用户只要根据网上银行系统的提示，输入动态口令牌当前显示的动态口令即可。动态口令又称一次性密码，每60秒随机更新一次，其优点在于一个口令在认证过程中只使用一次，下次认证时则更换使用另一个口令，使得不法分子难以仿冒合法用户的身份，用户也不需要去记忆密码。 * 3.第三道防线：用户使用网上银行进行他人转账，投资服务的开通，基金、国债业务的开户，代缴费、用户名/密码找回等重要交易时，需再次输入动态口令进行身份验证。 * 中行网银理财版、贵宾版客户登录网银采用双因素认证（第一因素：“用户名+密码”，第二因素：动态口令），重要交易通过动态口令进行再次身份验证，从而构成保护网上银行的三道防线，有效地保证了用户身份的合法性和唯一性。 * 九重安全措施构成全方位防护网 1.安全控件防范恶意程序 安全控件主要用于防范恶意程序的攻击，如木马程序等，它是通过切断键盘操作与木马病毒之间的通道，来更好地保护网上银行用户的信息安全。 2.短信提醒服务随时了解网银变动情况 中国银行向网银客户提供短信提醒服务——“中银e信”，以方便您随时了解网银变动情况，使网上交易既轻松又安全。 * 3.预留“欢迎信息”辨别假网站 您预留的“欢迎信息”是提高您对假网站辨别能力的一种简单有效的方法。您设置好“欢迎信息”后，在每次登录时，该信息将显示在欢迎页面上，如该网站未能正确显示您预留的欢迎信息，说明该网站不是中行网站。 4.登入记录监控异常情况：您登录后，网上银行欢迎页面将显示上次“登入记录”，便于您核对实际登录情况，如发现异常可及时采取措施。 * 5.登录保护防范恶意攻击：为避免他人恶意试取您的登录信息，同一用户一天登录验证连续5次无效，网银即暂时冻结该客户登录，次日零点自动解冻；用户名、密码连续累计15次校验未通过或动态口令连续累计10次错误，即锁定该客户登录，需要客户拨打95566或持有效身份证件到银行柜台解锁。 6.关键信息屏蔽保障账户安全：网银中关键账户的账号/卡号部分信息被屏蔽，保证客户账户信息安全。 * 7.控制交易限额降低风险：您可自行在网上银行中设置转账汇款等交易的每日最高金额，有效控制风险。 8.会话超时控制防止恶意操作：登录网上银行之后，如果较长时间没有进行任何操作，系统将提示“会话超时”并自动签退。如需继续使用，须重新登录。系统这样设计可以尽量避免他人在您离开电脑而忘记退出网上银行时进行恶意操作。目前网上银行会话超时设置为15分钟。 * 9.柜台关联账户确保身份真实：严格确认客户身份，保证客户身份及关联账户的真实性。 网上银行的安全性能是用户使用服务的最终保障。中行网上银行1.0版本使用动态口令卡采用的是目前较为先进的动态密码生成技术，能够较大程度的提高交易安全性，此举亦是该版本的一大亮点。 * 但中行网银的推广仍面临如下两大问题： 第一、动态密码验证方式的成本较高。与移动数字证书的推广相似，动态密码生成器存在固定成本，用户对该费用的接受程度将成为此应用推广的难题，新版网上银行对用户的登陆增加了动态密码验证，也提高了对费用敏感的用户使用中行网银的门槛。 第二、用户的安全性认知度不足。目前网银的安全问题，部分原因在于用户对安全使用的认知度上。如何加强用户的安全使用意识，宣传并规范网上银行的安全使用方法，是目前国内银行普遍存在的难点。 * 建议中国银行： 1.在推进数据大集中的建设中，加快网上银行系统的升级更新进程，建议中行注重用户使用频率较高的功能加以改进，如转账、支付、代缴费等业务，同时完善能够提高用户体验的投资理财等增值服务功能。 2.在安全性能上，可结合用户群体特征和对功能的诉求，而推出不同级别和权限的安全保障方式，以解决用户对费用的敏感问题，避免客户的流失。 * 如何确保安全？！ 安全的网银系统应该设计成为这样的：假设网银的管理员是黑客，并在最终用户电脑安装木马并且可以监听用户的一切键盘鼠标操作，网银的管理员还可以进行系统管理和操作，但是网银的管理员依旧无法通过网银系统来窃取最终用户的资金。如果能做到这一点，那么这个网银系统就算是比较安全了。