【文章內容簡介】 全解決方案8? 公積金賬戶查詢? 交易明細查詢? 定期到期查詢? 消費積分查詢網上賬戶查詢的安全需求比公共信息發(fā)布要更高，因此網上賬戶對系統(tǒng)安全也有同樣的需求，而且，除此之外，網上賬戶查詢的還需要解決用戶的私有信息（口令，賬戶數據）在 Inter 這個公開網絡上傳輸的安全問題。而這些屬于信息安全范疇。網上賬戶查詢的信息安全功能應包括兩個方面：身份認證和數據保密。 身份驗證傳統(tǒng)銀行業(yè)務的身份驗證方案主要是通過口令或 PIN 來實現的，它具有以下兩個特點：1. PIN 一般為 48 個數字，范圍比較窄。2. 銀行主機記錄用戶輸錯 PIN 的次數，一旦超過一定數量，就自動關閉該賬戶的服務功能。在網上銀行業(yè)務中，僅通過這樣的方式來進行身份驗證，存在很大的不足：，所以口令明文傳輸容易被截獲。，口令猜 測是黑客使用最多的攻 擊手段，即使使用蠻力攻擊法，攻破 8 位的數字口令也只需很短的時間。，很難對錯誤 PIN 輸入進行限制。網 絡的信道故障或者人 為的惡意行為都很容易使輸錯口令次數達到限制。 錯誤次數限制會 給合法的用戶帶來了很大的不便。因此，傳統(tǒng)的口令驗證難以成為網上銀行業(yè)務的唯一身份認證技術。在網絡應用中，目前采用較多的方法是動態(tài)口令（例如 Kerberos），令牌卡和數字證書認證技術。這些技術配合口令機制，就稱為雙因子身份認證技術。SSL 協(xié)議是采用最為廣泛的數字證書身份認證技術。它不但可以解決身份認證，也解決了數據保密問題，所以目前大部分網上應用，包括網上銀行都采用 SSL 技術來實現身份認證。網上銀行安全解決方案9簡單地說，SSL 就是在傳輸數據前，服務器和客戶雙方通過數字證書進行“握手”，驗證對方的數字證書是否合法，并且約定一個臨時的會話密鑰，對接下來要傳輸的數據進行加密。SSL 不支持客戶證書，客戶可以通過驗證服務器的證書來判斷服務器的合法性，服務器則無法驗證客戶的證書，通常服務器仍然通過口令驗證客戶的身份，由于口令在傳輸時已經被加密，所以安全性有了很大的提高。SSL 對 進行了擴展，支持客戶證書，這時服務器就可以驗證客戶的證書，只有那些擁有合法證書的用戶才能繼續(xù)保持與服務器的連接，如果配合口令驗證，就成為雙因子身份認證。采用數字證書的安全體現在私鑰的安全，只要私鑰不被竊取，數字證書就是安全的，而通過蠻力攻擊法攻破私鑰的可能性是不存在的。下表是數字證書同傳統(tǒng)口令模式的身份驗證在性能上的比較：口令方式 數字證書方式用戶登錄時口令在公開網絡上傳輸，有可能泄密私鑰由用戶保存，只需公布其公鑰。私鑰永遠不會在公開網絡上傳輸，而且從公鑰無法推導出私鑰口令一旦泄密，所有安全機制即失效用戶私鑰可以存放在 USBKEY 中并有口令保護，安全性更高服務器需要維護龐大的用戶口令列表并負責口令保存的安全服務器使用數字證書驗證用戶身份，不保存用戶的私鑰，所以用戶私鑰不可能在服務器端泄露與傳統(tǒng)方法一致，易于理解 技術較新，普通用戶理解略有難度對于企業(yè)銀行，由于數據安全性要求較高，所以應該采用數字證書身份認證加上口令認證的雙因子身份認證技術。每個企業(yè)用戶應該申請一張數字證書，當企業(yè)用戶上網進行賬戶查詢時，通過 SSL 建立安全連接。網上銀行系統(tǒng)首先驗證該用戶的數字證書是否為合法證書。然后將查詢請求和口令一起發(fā)送給業(yè)務前置機，由銀行業(yè)務主機對口令再次進行認證。企業(yè)用戶的身份驗證過程和 CA 不可分割。當服務器通過 SSL 獲得用戶證書后，服務器應用程序還要到 CA 服務器檢索該證書是否在廢止證書列表之中。圖 2 顯示了企業(yè)用戶身份驗證的完整過程。圖 2 是網上銀行企業(yè)用戶的口令驗網上銀行安全解決方案10證方式。對于個人用戶，考慮到使用的方便性更為重要，可以采用 方式對口令加密進行身份驗證，因此用戶不需要申請證書，只需要記住口令就行。 數據加密Web 應用數據加密的方案除了 SSL 以外，并沒有太多可供選擇的方案。除了采用數字證書身份認證方案以外，SSL 的另一個優(yōu)點是在建立握手以后，對客戶和服務器之間的所有數據均采用對稱算法進行加密，對稱算法的加密效率比較高，所以對性能不會造成很大的影響。另外 SSL 采用了會話密鑰的機制，每次握手時約定一個會話密鑰，會話結束，密鑰立刻失效，最大程度上保證了數據的保密性。由于采用了 SSL 技術，Web 應用的開發(fā)也大為簡化，Web 服務器應用程序可以把與查詢狀態(tài)有關的信息都保存在 Cookie 中，而不必擔心 Cookie 的安全問題。圖 2 用戶身份驗證示意圖遞交口令的Web 服務器的用戶的表單的的銀行業(yè)務主機的 CA 服務器的建立 SSL 握手的1．SSL 服務器代理驗證用戶證書本身的合法性2。證書提交 CA服務器，檢驗是否已經作廢3。銀行業(yè)務主機再對口令進行驗證網上銀行安全解決方案11 網上支付和轉賬網上支付和轉賬在查詢的基礎上進一步給用戶提供了方便，用戶可以在網上進行支付、轉賬從而達到交易的目的，就目前而言，國內很多網上銀行系統(tǒng)已經開通了如下支付和轉賬業(yè)務：? 定期賬戶轉活期? 活期賬戶轉定期? 活期賬戶轉活期? 信用卡賬戶轉信用卡賬戶? 公用事業(yè)費代繳? 企業(yè)轉賬? 證券資金賬戶轉賬? 特約商戶網上支付和查詢相比，支付和帳戶轉帳的安全需求更高，除了必須具備查詢所需要的安全性之外，還需要應該提供數據完整性和不可否認性。 數據完整性所謂數據完整性就是指用戶在支付指令和轉賬指令中所填寫的數據必須保持完整，不能在公開網絡上被其他用戶無意或惡意地修改。SSL 由于對整個數據鏈路進行了加密，所以在一定程度上能夠保證完整性，但是公開網絡上的數據加密對完整性的保護只是局部的，一旦數據被解密后依然存在著被更改的可能。所以正確的方案應該采用數字簽名機制，由用戶使用自己的數字證書對支付指令或轉賬指令進行簽名，同時簽名數據被永久保存，只有這樣才能真正避免數據完整性被破壞，簽名是對用戶私鑰對數據摘要（又稱指紋）的加密，數據發(fā)生變化時，數據摘要也必定發(fā)生變化。如果將原先的數字簽名解密，就很容易發(fā)現兩段數據摘要不符。 不可否認性不可否認性是指指令發(fā)出者不能在事后否認曾經發(fā)出該指令。這對于規(guī)范業(yè)務，避免法律糾紛起著很大的作用。傳統(tǒng)地，不可否認性是通過手工簽名完成的，在網上銀行，不可否認性是由數字簽名機制實現的。網上銀行安全解決方案12由于私鑰很難攻擊，其他人（包括銀行）不可能得到私有密鑰。所以用私鑰對交易指令的摘要簽名后，就保證了該用戶確實是發(fā)出了該指令。將簽名數據作為業(yè)務數據的憑證，在業(yè)務成功后就開始保障不可否認性。不可否認性可以保證每個帳戶用戶的轉帳過程具有法律效力。對于個人銀行業(yè)務來說，轉賬金額比較小，風險相對較低，所以在雙方都認可的情況下，沒有數字簽名的支付和轉賬的指令也是可以接受的。但是對于企業(yè)用戶和進行證券轉賬的個人用戶來說，轉賬金額大，風險大，指令必須附帶簽名數據，在簽名數據驗證通過以后才能真正進行支付或轉賬。有四種方案可以實現用戶簽名：1. 專用客戶端軟件：例如電子錢包，這類軟件通常是一個瀏覽器的插件（PlugIn） ，在用戶填好支付指令或轉賬指令并發(fā)送給服務器以后，服務器用某種協(xié)議規(guī)范化該指令，并作為喚醒消息的參數返回給用戶，這時插件被激活，用戶的指令在插件程序中再次被顯示，此時用戶可以對這段指令進行數字簽名。許多 SET 應用的實現采用了這種方案，這種方案的主要缺點是效率比較低，同一段數據需要被來回傳送兩次。另外不同的應用可能需要開發(fā)不同的插件，對用戶和系統(tǒng)開發(fā)者來說都增加了額外的負擔。2. 表單簽名技術：Netscape 公司發(fā)明的一種技術，在其瀏覽器中已經支持，通過調用 Java 腳本實現對表單域內容的簽名，這種方案雖然沒有方案 1 的缺點，但是其實現與瀏覽器相關。而且簽名