【文章內(nèi)容簡介】 通信雙方提供的安全通道，并沒有很好地解決持卡客戶的身份認證的交易的不可抵賴性等問題。安全電子交易協(xié)議，1996年2月1日，由MasterCard與Visa兩大國妹信用卡組織會同一些計算機供應(yīng)商，共同開發(fā)了安全電子交易（Secure Electronic Transaction SET）協(xié)議，簡稱為SET協(xié)議。SET協(xié)議是一種應(yīng)用于因特網(wǎng)環(huán)境下，以電子貨幣為基礎(chǔ)的安全電子支付協(xié)議，它在保留對客戶信用卡認證的前提下，又增加了對商家身份的認證，即是進行了對交易雙方的相互認證，這對電子交易的安全是至關(guān)重要的。通過完備的SET可以實現(xiàn)電子商務(wù)交易中的加密、認證機制、密鑰管理機制等，保證了在公開網(wǎng)絡(luò)上使用電子貨幣的安全。SET協(xié)議的重點是確保商戶和客戶的身份及行為的認證和不可抵賴性，同時確保交易數(shù)據(jù)的安全、完整、可靠性，也有保護消費者的信用卡信息不暴露給商戶等優(yōu)點。SET采取了把對稱密鑰和非對稱密鑰有效結(jié)合在一起的加密體制，從而保護在開放網(wǎng)絡(luò)上傳輸?shù)膫€人信息，保證交易信息的隱蔽性。因此它成為目前公認的電子貨幣網(wǎng)上交易的國際標準。SET下的購物流程，SET購物流程與傳統(tǒng)的銀行卡購物流程有相似之處，其工作程序如下，而流程圖如下圖所示。圖9－8 SET系統(tǒng)購物過程（1）持卡客戶在商家的網(wǎng)站上選定購買的商品，通過計算機傳輸訂貨單，包括各種必要的信息；（2）在線商家通過電子商務(wù)服務(wù)器做出回應(yīng)，告訴客戶所填的信息是否近規(guī)則而填；（3）持卡客戶選擇付款方式，確認訂單并簽發(fā)付款選項，這時SET開始起作用；（4）在SET中，消費者須對訂單和付款指令進行數(shù)字簽名，同時利用雙重簽名技術(shù)保證商家看不到持卡客戶的賬號信息；（5）商家收到訂單后，向卡所屬銀行發(fā)出支付請求，支付信息通過支付網(wǎng)關(guān)到收單銀行，再到發(fā)卡銀行。支付請求得到發(fā)卡銀行的授權(quán)后，返回授權(quán)指令給商家；（6）商家發(fā)送訂單確認信息給持卡客戶，持卡客戶端軟件可記錄交易日志，以備將來查詢之用；（7）商家向客戶提供所要求的服務(wù)同時通知收單銀行將款項進行轉(zhuǎn)賬。至此購物過程完畢。前兩步與SET無關(guān)，從第三步開始SET起作用，一直到第六步。SET標準中定義了這些步驟中使用通信協(xié)議、信息格式和數(shù)據(jù)類型等，以上操作的每一步，持卡客戶、商家 、支付網(wǎng)關(guān)都通過了CA來驗證通信主體的身份，以確保通信的對方不是冒名頂替。所以，也可簡單地認為，SET規(guī)范充分發(fā)揮了認證中心的作用，以維護在任何開放網(wǎng)絡(luò)上的電子商務(wù)參與者所提供信息的真實性和保密性。從而確保了網(wǎng)絡(luò)交易的安全。 信息安全管理信息安全管理現(xiàn)狀信息安全管理是保證安全的根本，它保證了技術(shù)的執(zhí)行性，而現(xiàn)在信息安全管理方面存在著不少的問題，大多人重技術(shù)輕管理。有的信息部門負責(zé)人認為只要購買并設(shè)置了防火墻等網(wǎng)絡(luò)安全產(chǎn)品，就可以高枕無憂。這種錯覺使他們忽略了所用操作系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、應(yīng)用系統(tǒng)等軟件的漏洞，因而缺乏細致的內(nèi)部網(wǎng)絡(luò)管理規(guī)定。缺乏安全審計。我國現(xiàn)有的網(wǎng)絡(luò)系統(tǒng)大多缺少安全審計，安全日志形同虛設(shè)，所以必需進行安全審計和安全日志記錄。內(nèi)部人員可能會操作失誤、意外疏漏和故意犯罪。安全管理應(yīng)對策略遵循安全標準，我國制定了一些有關(guān)信息安全的行業(yè)標準的部門標準，如金融標準化委員會制定了有關(guān)銀行金融業(yè)的標準，公安部執(zhí)行《中華人民共和國計算機信息系統(tǒng)安全保護條例》制定了相關(guān)的部頒標準，這些都是我國信息安全的重要標準。公司內(nèi)部應(yīng)周密地制定強制執(zhí)行的安全政策，全面實施安全策略，進行安全策略管理，聘用專門的安全管理員。讓員工嚴格執(zhí)行公司所制定的網(wǎng)絡(luò)系統(tǒng)進行日常維護制度、病毒防范制度、人員管理制度、應(yīng)急措施制度和安全技術(shù)的檢測監(jiān)控制度等等。建立集中型的安全管理系統(tǒng)。集中掌握各個安全系統(tǒng)的動作情況，收集安全審計信息，進行分析處理。按時檢查各種系統(tǒng)日志文件，從中發(fā)現(xiàn)不合理的時間記載，陌生網(wǎng)址的登錄，超級用戶權(quán)限的非法使用。增強內(nèi)部人員的安全意識。進行安全教育培訓(xùn)，記錄個人有關(guān)操作情況，建立責(zé)任到個人制度，事故嚴懲制度，嚴格防止內(nèi)部泄密。同時國家要完善相關(guān)的法律法規(guī)，讓保障信息交易安全有法可依有法可治。網(wǎng)絡(luò)銀行除了具有傳統(tǒng)銀行的信用風(fēng)險、支付風(fēng)險等外，由于加進了計算機技術(shù)，從而產(chǎn)生了新的網(wǎng)絡(luò)安全風(fēng)險。安全問題成為網(wǎng)絡(luò)銀行發(fā)展中的一個重中之重問題。 要確保網(wǎng)絡(luò)銀行的安全，則要從法律法規(guī)、安全技術(shù)和安全管理等多方面實施綜合性的治理。本節(jié)則會介紹關(guān)于安全技術(shù)和安全管理方面知識。據(jù)有關(guān)部門統(tǒng)計，到2006年為止中國已經(jīng)有20多家銀行提供了網(wǎng)絡(luò)銀行服務(wù)，其用戶超過2800萬。但網(wǎng)絡(luò)銀行盜竊案件卻頻頻發(fā)生，網(wǎng)絡(luò)銀行的安全性令人擔憂。自2000年8月發(fā)生在英國的Egg互聯(lián)網(wǎng)銀行數(shù)十萬英鎊資金的盜竊案，號稱是全球第一起網(wǎng)絡(luò)銀行盜竊案以來，世界各地陸續(xù)發(fā)生網(wǎng)絡(luò)銀行盜竊案件。鍵入“網(wǎng)絡(luò)銀行盜竊”，百度里可以找到相關(guān)網(wǎng)頁約21900篇，而Google搜索結(jié)果則為634000篇。在國內(nèi)，北京、上海、武漢、廣州等全國多個城市均發(fā)生過網(wǎng)絡(luò)銀行盜竊案件。而2006年9月初，福建省泉州市中級人民法院也開庭審理了迄今為止國內(nèi)網(wǎng)上盜竊個人存款金額最大案——晉江“511”網(wǎng)上盜竊777萬元銀行存款案，一審判處中國農(nóng)業(yè)銀行晉江市支行全額賠償儲戶損失，并支付相應(yīng)的違約金。網(wǎng)絡(luò)銀行系統(tǒng)的危險性不但直接關(guān)系到金融機構(gòu)的生存和發(fā)展，嚴重時更會給整個國民經(jīng)濟的發(fā)展帶來巨大的阻礙。因此，網(wǎng)絡(luò)銀行系統(tǒng)的安全，是網(wǎng)絡(luò)銀行系統(tǒng)的關(guān)鍵所在，應(yīng)如何采用最新技術(shù)建立一套完善的、有效的、切實可行的網(wǎng)絡(luò)銀行安全體系，以此加強和保障我國金融信息網(wǎng)絡(luò)安全，以防弊堵漏，確保網(wǎng)絡(luò)銀行的應(yīng)用系統(tǒng)安全運行。以迎接國外同行競爭和犯罪分子的挑戰(zhàn)，是我國銀行部門面臨的緊迫任務(wù)。網(wǎng)絡(luò)銀行所采用的計算機與通信（C＆C）、信息技術(shù)（IT）和萬維網(wǎng)（Web）技術(shù)和它們的產(chǎn)品，都是現(xiàn)時最新最先進的高科技產(chǎn)品。無論是其軟件還是硬件的安全性能都達到了一定的高度。但是任何計算機系統(tǒng)都會存在一定的漏洞，而且在虛擬的網(wǎng)絡(luò)世界中網(wǎng)絡(luò)協(xié)議本身就存在著漏洞。在實際的工作中，又會有各種管理上的漏洞，操作上錯誤、考慮得不嚴密。每一個計算機用戶也會有疏忽的時候。還會存在有各種各樣的客觀環(huán)境不安全因素，這些都是造成運用網(wǎng)絡(luò)技術(shù)作案的客觀條件。現(xiàn)實的網(wǎng)絡(luò)發(fā)展技術(shù)和客戶服務(wù)的要求銀行的網(wǎng)絡(luò)系統(tǒng)不再只限于銀行內(nèi)網(wǎng)專用，還要同時連接到因特網(wǎng)中。這樣一來銀行系統(tǒng)就不得不面對世界高技術(shù)的黑客攻擊和不斷更新的病毒的侵害。據(jù)有關(guān)資料統(tǒng)計，因特網(wǎng)中每秒都會發(fā)生黑客攻擊事件，連美國的宇航局也未能幸免黑客的攻擊。因此每個國家都十分重視加強信息網(wǎng)絡(luò)的安全。同樣地銀行系統(tǒng)安全也相當重要。從安全角度來看，網(wǎng)絡(luò)銀行的安全具有以下幾個顯著的特點：安全難度很大網(wǎng)絡(luò)銀行中的每個系統(tǒng)都是十分龐大復(fù)雜的、開放的系統(tǒng)，它對所有的Internet用戶都是開放的，而且對實時性要求很高。而這些系統(tǒng)都有共同的特點：是通過人驅(qū)動、面向的是大量的高度分散的客戶，而且這些客戶又不斷在變化著，所以網(wǎng)絡(luò)銀行的安全難度非常大?？构裟芰σ蠛軓娨蚓W(wǎng)絡(luò)銀行中的數(shù)據(jù)傳輸直接與資金的周轉(zhuǎn)相聯(lián)系，一定是不法分子的重要攻擊目標，且大多數(shù)的不法分子有著較高的技術(shù)。所以，網(wǎng)絡(luò)銀行必須具備強大的抗攻擊能力。安全性要求高網(wǎng)絡(luò)銀行系統(tǒng)主要是處理與金融數(shù)據(jù)有關(guān)的各種信息，數(shù)據(jù)處理量大，且對處理的數(shù)據(jù)準確性非常高，必須要做到準確無誤。對數(shù)據(jù)的正確性、保密性和完整性要求很高。所以對網(wǎng)絡(luò)銀行的安全性要求很高。高科技犯罪成為犯罪的主流隨著金融電子化的不斷發(fā)展，各網(wǎng)絡(luò)銀行不斷增加對技術(shù)資金的投入而采用新技術(shù)來提高服務(wù)質(zhì)量和推出各種新業(yè)務(wù)，以吸引新的顧客。在同行激烈的競爭情況下，必然會促使銀行加快其系統(tǒng)的設(shè)備與技術(shù)的更新。網(wǎng)絡(luò)銀行的高科技，使對網(wǎng)絡(luò)銀行的攻擊主要是使用高科技。高科技的攻擊和反攻擊，將會相互作用兩者都會不斷提高。所以，網(wǎng)絡(luò)銀行的安全技術(shù)必須要不斷完善和提高。網(wǎng)絡(luò)銀行安全因素我國的網(wǎng)絡(luò)銀行起步比較遲，面對不安全因素如比較成熟的互聯(lián)網(wǎng)攻擊還有自然的環(huán)境的因素等，應(yīng)要未雨酬繆、防患于未然，要打好安全基礎(chǔ)。那么，目前網(wǎng)絡(luò)銀行存在著有那些不安全因素呢？主要有以下方面：（1）自然災(zāi)害因素網(wǎng)絡(luò)銀行系統(tǒng)也很容易受到自然災(zāi)害的襲擊。如水災(zāi)、火災(zāi)、地震、颶風(fēng)等自然災(zāi)害，都有可能破壞網(wǎng)絡(luò)銀行的系統(tǒng)。這樣會造成網(wǎng)絡(luò)銀行運行中斷、重要業(yè)務(wù)數(shù)據(jù)丟失等所以在對應(yīng)用系統(tǒng)進行分析和設(shè)計時，要充分考慮可能產(chǎn)生的各種自然災(zāi)害，如對于重要的金融信息中心，地址選擇及房屋結(jié)構(gòu)設(shè)計一定要非常慎重。還要進行數(shù)據(jù)備份等方法去預(yù)防這些自然災(zāi)害。同時還要事先制定各種及時恢復(fù)措施。（2）環(huán)境因素網(wǎng)絡(luò)銀行的安全也會受到周圍工作環(huán)境的影響。如電力供應(yīng)、工作環(huán)境溫度、濕度、戰(zhàn)爭等。電力供應(yīng)的不穩(wěn)定可能會破壞靈敏的電子設(shè)備嚴重時可引起內(nèi)存中的數(shù)據(jù)丟失，而這些對于重要的網(wǎng)絡(luò)銀行系統(tǒng)來說后果是非常嚴重的。所以在網(wǎng)絡(luò)銀行系統(tǒng)設(shè)計時，應(yīng)加強預(yù)防電力供應(yīng)不穩(wěn)定方面的設(shè)備投資。而環(huán)境溫度和濕度對計算機的操作會有明顯的影響，因計算機對溫度比較敏感，如果溫度過高于計算機的上限溫度值，運算結(jié)果可能時對時錯，以致計算機不能正常運行，如出現(xiàn)死機、數(shù)據(jù)丟失、操作系統(tǒng)變慢等現(xiàn)象。嚴重時可毀壞整個系統(tǒng)，計算機內(nèi)部的硬件容易老化和損壞。而濕度過高或過低于計算機的上限值時，內(nèi)部的硬件將會受潮而造成對數(shù)據(jù)讀寫錯誤，或會產(chǎn)生強大的靜電，這些都會直接影響到計算機的數(shù)據(jù)輸入真實性和壽命。所以，對網(wǎng)絡(luò)銀行這樣的大型機房必須安裝空調(diào)，以保證有適宜的環(huán)境溫度和濕度。一般情況下機房的溫度應(yīng)保持在20℃～25℃，最大溫度變化率為10℃/h。相對濕度應(yīng)保持在45%～65%之間。（3）法律法規(guī)不健全因素作為新生事物的網(wǎng)絡(luò)銀行，目前國內(nèi)尚缺少完整的法律法規(guī)與之相適應(yīng)。而且互聯(lián)網(wǎng)有無國界的特點，跨國的金融業(yè)務(wù)經(jīng)常發(fā)生，但各國間的有關(guān)網(wǎng)絡(luò)金融交易的法律有所差異，并且在涉及到網(wǎng)絡(luò)銀行的法律問題未能達成共識，也沒有一個國際公認的仲裁機構(gòu)。當客戶與網(wǎng)絡(luò)銀行之間發(fā)生法律糾紛時，給網(wǎng)絡(luò)銀行的安全帶來不確定因素。（4）內(nèi)部管理漏洞因素網(wǎng)絡(luò)銀行的安全很大程度與其內(nèi)部管理有關(guān)，首先取決于技術(shù)主管對安全建設(shè)的重視程度，其次是相應(yīng)的規(guī)章制度建立，再是內(nèi)部人員業(yè)務(wù)素質(zhì)和技術(shù)水平的高低。還有是對整個銀行內(nèi)部人員的管理，包括技術(shù)上的管理和素質(zhì)上的管理。巴塞爾委員會的《有效銀行監(jiān)管的核心原則》指出：“最大的操作風(fēng)險在于內(nèi)部控制及公司治理機制的失效。如銀行交易員、信貸員或其他工作人員越權(quán)或從事職業(yè)道德不允許的或風(fēng)險過高的業(yè)務(wù)?！保?）軟硬件的質(zhì)量及漏洞和技術(shù)因素網(wǎng)絡(luò)銀行中所用的設(shè)備都是最先進的高科技產(chǎn)品，但是在虛擬的網(wǎng)絡(luò)世界中網(wǎng)絡(luò)協(xié)議本身就存在著漏洞，而任何網(wǎng)絡(luò)銀行系統(tǒng)都會存在著漏洞，即使你擁有最安全的硬件系統(tǒng)，而應(yīng)用軟件的可靠性也不可忽視。就如人們目前廣泛應(yīng)用的操作系統(tǒng)如WINDOWS、UNIX等，都不同程度存在安全隱患。如在1997年初，在德國漢堡國家電視臺，一群黑客就表演了如何利用微軟的瀏覽器“探索者”，在無須提供身份識別情況下，成功地將錢從一個銀行賬戶上轉(zhuǎn)到另一個賬戶。除了操作系統(tǒng)外，防火墻、數(shù)據(jù)庫管理系統(tǒng)、網(wǎng)絡(luò)管理系統(tǒng)和應(yīng)用系統(tǒng)也會存在安全漏洞。還有一些軟件、硬件開發(fā)研制人員，為了種種目的，有意或無意地在產(chǎn)品中留下漏洞，給出自己或他人有可乘之機。如有的銀行內(nèi)部程序員就可能利用工作之便和利用對銀行系統(tǒng)的熟悉而進行作案。如發(fā)生在德國的一起由內(nèi)部人員進行的詐騙案中，一個程序員通過改變公司的工資數(shù)據(jù)、賬單和結(jié)算單的計算程序，竊取了19萬馬克。（6）誤操作因素操作失誤一般情況下為偶然事故，如不小心修改或刪除某些文件。為了解決出現(xiàn)誤操作問題，應(yīng)該提高操作人員的水平的素質(zhì)，時刻加強他們的警戒心，而在軟件設(shè)計上應(yīng)該有數(shù)據(jù)正確性和完整性的檢驗功能。（7）人為因素人為對計算機的破壞可分為硬性的破壞和技術(shù)上的攻擊?？梢酝ㄟ^加強管理防止物理破壞，技術(shù)上的攻擊通常為黑客所為，黑客的攻擊、網(wǎng)絡(luò)病毒的傳播事件日趨增多，黑客在虛擬的網(wǎng)絡(luò)世界中橫行無阻、無所不為。而病毒層出不窮，這些都攻擊著全球的計算機系統(tǒng)，嚴重時可以給全球造成巨額的損失。所以，除了人為物理性破壞外，網(wǎng)絡(luò)病毒和黑客也嚴重威脅網(wǎng)絡(luò)銀行的安全。二、網(wǎng)絡(luò)銀行系統(tǒng)的主要攻擊手段越來越多樣化，但都同共點就是攻擊的科技含量越來越高。對網(wǎng)絡(luò)銀行作案的手段主要有以下幾種：網(wǎng)絡(luò)盜竊作為銀行盜竊者的“網(wǎng)絡(luò)盜竊”是專門竊取別人網(wǎng)絡(luò)地址，這類作案手段近年來出現(xiàn)越來越多，他們通過Internet竊取銀行業(yè)、用戶秘密數(shù)據(jù)，把盜取來的銀行或企業(yè)秘密賣給競爭對手，也可能運用這些數(shù)據(jù)作案。據(jù)美國統(tǒng)計顯示，早在2000年銀行就有6000多萬美元在網(wǎng)絡(luò)上被盜竊，每年企圖通過網(wǎng)絡(luò)盜竊的金額高達幾十億上百億美元，而搶劫銀行平均作案值只有7500元，“網(wǎng)絡(luò)盜竊”作案技術(shù)性高，手段隱蔽，通常只有2%的網(wǎng)絡(luò)盜竊者被抓獲。黑客手段就是利用計算機技術(shù)非法攻擊入侵電腦系統(tǒng)的手段。其目標通常都是電子貨幣、賬單、用戶信用卡信息、銀行數(shù)據(jù)庫等。如Egg是英國網(wǎng)上銀行先鋒，由英國保誠保險公司在1998年成立，2003年客戶達120萬人，其一切銀行服務(wù)都由電話或互聯(lián)網(wǎng)進行，2000年8月某日，被黑客通過網(wǎng)上竊走一萬英鎊，而Egg也成為全球首家被劫的網(wǎng)上銀行。另據(jù)報道說，中國黑客于2002年7月洗劫了新加坡DBS網(wǎng)上銀行。所以黑客手段對網(wǎng)絡(luò)銀行安全威脅是極大的。計算機病毒計算機病毒是指一種有害的程序，它能妨礙或破壞正常程序的運行，并具有自動“傳染”功能。1999年3月，“梅利莎病毒”席卷全球，造成了大約8000萬美元的損失，并使一些電子郵件系統(tǒng)癱瘓。又如，2001年9月，“尼姆達”蠕蟲病毒就對計算機網(wǎng)絡(luò)造成了極大的影響，由于其散播形式復(fù)雜多樣、感染速度快，短短的時間內(nèi)就在全球范圍內(nèi)傳播開了。據(jù)稱有幾家網(wǎng)絡(luò)銀行也不同程度地受到“尼姆達”病毒的破壞。很多銀行不得不停止網(wǎng)上的服務(wù)。所以可以看出病毒對銀行的電腦系統(tǒng)造成了非常大的威脅。尤其是對網(wǎng)絡(luò)銀行的信息和數(shù)據(jù)破壞非常嚴重。網(wǎng)絡(luò)詐騙網(wǎng)絡(luò)詐騙是指以獲取非法經(jīng)濟利益為目的，通過網(wǎng)絡(luò)技術(shù)騙取個人信息或輸入、改變、清除或隱匿銀行或其他金融機構(gòu)的計算機數(shù)據(jù)和程