動(dòng)態(tài)口令不能保證網(wǎng)上銀行的安全-文庫(kù)吧
2025-07-20 14:12 本頁(yè)面
【正文】 數(shù)字證書是網(wǎng)銀交易的一項(xiàng)重要安全保護(hù)措施。有些銀行使用文件證書，允許用戶保存至硬盤，這是一個(gè)安全隱患。“網(wǎng)銀大盜”及其變種“灰鴿子”，就竊取用戶計(jì)算機(jī)內(nèi)的所有文件，包括安裝在計(jì)算機(jī)上的網(wǎng)銀文件數(shù)字證書，并且能夠準(zhǔn)確識(shí)別網(wǎng)銀流程的每個(gè)步驟，自動(dòng)記錄必要的數(shù)據(jù)，最終再?gòu)?fù)制一份證書文件。從而，利用盜取的證書和其他必要信息達(dá)到非法使用證書的最終目的。以上只是列舉了網(wǎng)銀大盜攻擊的常用手段。實(shí)際上，隨著網(wǎng)銀業(yè)務(wù)的不斷普及、深入和擴(kuò)展，越來(lái)越多的新業(yè)務(wù)形式（如手機(jī)銀行）涌現(xiàn)，網(wǎng)銀大盜們總是步步緊追，各種新的、復(fù)雜的攻擊技術(shù)就如同被打開的潘多拉魔盒，層出不窮，讓人防不勝防?！半u蛋”上的“縫”大家都知道，網(wǎng)上銀行是銀行業(yè)務(wù)利用Internet作為業(yè)務(wù)提交渠道，通過網(wǎng)關(guān)衍生到互聯(lián)網(wǎng)上的每一個(gè)終端用戶(企業(yè)或者個(gè)人用戶)。由此可看出，網(wǎng)銀系統(tǒng)可分為銀行服務(wù)器、網(wǎng)絡(luò)、客戶端三部分。從剛才列舉的攻擊手段來(lái)看，主要是釣魚詐騙和木馬移植，而攻擊對(duì)象也集中在銀行服務(wù)器和客戶端。據(jù)中科院安全專家李德全博士分析，之所以網(wǎng)絡(luò)較少被攻擊，是因?yàn)椤熬W(wǎng)絡(luò)層面的安全性比較容易解決，比如通過加密，通過證書認(rèn)證，網(wǎng)絡(luò)上的竊聽者和偽造者可以被有效地拒之門外，所以問題主要出在兩個(gè)端點(diǎn)，即用戶、商家（銀行）兩個(gè)環(huán)節(jié)。”因此，用戶和商家（銀行）就成為網(wǎng)銀對(duì)抗“網(wǎng)銀大盜”攻擊最前沿、最重要的陣地。近年來(lái)網(wǎng)銀安全事故時(shí)常發(fā)生，而中國(guó)各大銀行也不斷對(duì)自身系統(tǒng)進(jìn)行升級(jí)，服務(wù)器端的安全性極高，很少被大盜直接攻破。而大盜們更多地將視線集中在數(shù)量眾多但信息安全意識(shí)良莠不齊的用戶（客戶端）這里。而用戶的身份認(rèn)證——唯一需要用戶操作的地方，就成了網(wǎng)銀這顆“雞蛋”上的縫，受到眾大盜們的頻頻“青睞”。如何彌補(bǔ)這條“縫”？2007年中，銀監(jiān)辦發(fā)布[2007]134號(hào)通告，通知各商業(yè)銀行對(duì)所有網(wǎng)上銀行高風(fēng)險(xiǎn)賬戶操作統(tǒng)一使用雙重身份認(rèn)證。動(dòng)態(tài)口令（OTP）也因此逐漸走入公眾視線，被銀行大力推薦。什么是動(dòng)態(tài)口令動(dòng)態(tài)口令，又叫動(dòng)態(tài)令牌、動(dòng)態(tài)密碼。它的主要原理是：用戶登錄前，依據(jù)用戶私人身份信息，并引入隨機(jī)數(shù)產(chǎn)生隨機(jī)變化的口令
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1