【正文】 證傳輸數(shù)據(jù)的完整性和真實(shí)性。這樣就可以防止信息內(nèi)容在未經(jīng)檢測(cè)的情況下被修改，接收方可以確信他們收到的是無法進(jìn)行修改的信息。SSL可以嵌入Intemet的處理?xiàng)?nèi)，對(duì)其他協(xié)議沒有太大影響，能夠同其他Intemet應(yīng)用一起使用，如btranet、應(yīng)用安全和Web服務(wù)。因此SSL協(xié)議具有應(yīng)用面廣、實(shí)施成本低、安全高效、操作簡(jiǎn)單等優(yōu)點(diǎn)，使它在網(wǎng)上銀行、電子政務(wù)、證券、電子商務(wù)系統(tǒng)等領(lǐng)域得到廣泛的應(yīng)用。事實(shí)上SSL協(xié)議也是解決網(wǎng)上銀行安全比較好的辦法。二、SSL協(xié)議的組成SSL協(xié)議主要有兩層組成，其底層是SSL記錄協(xié)議層(SSLRec。rdProtoeolLayer)，簡(jiǎn)稱記錄層，主要實(shí)現(xiàn)對(duì)記錄的分段、壓縮和保密傳輸。其高層是SSL握手協(xié)議層(SSLHandshakeProtoeolLayer)，簡(jiǎn)稱握手層，主要用于協(xié)商雙方的加密規(guī)則。此外還有警告協(xié)議、更改密碼說明協(xié)議和應(yīng)用數(shù)據(jù)協(xié)議等對(duì)話協(xié)議和管理提高支持的子協(xié)議。: SSL的分層次結(jié)構(gòu)圖握手協(xié)議和記錄協(xié)議是SSL協(xié)議的核心組成部分。其上是超文本協(xié)議HTTP、文件傳輸協(xié)議FTP和傳輸控制協(xié)議TELNET。他們控制文本的傳輸，支撐握手。記錄協(xié)議的低層通信是用戶數(shù)據(jù)報(bào)文和TCP/工P協(xié)議。握手協(xié)議層它的功能是:算法協(xié)商，首次通信時(shí)，雙方通過握手協(xié)議協(xié)商密鑰交換算法、壓縮算法和加密算法。身份驗(yàn)證:在密鑰協(xié)商完成后，客戶端與服務(wù)器端通過證書交換，互相驗(yàn)證對(duì)方的身份，一般是通過目錄服務(wù)器的LDAP查詢完成。確定密鑰:最后使用協(xié)商好的密鑰交換算法產(chǎn)生一個(gè)只有雙方知道的秘密信息，客戶端和服務(wù)器各自根據(jù)這個(gè)秘密信息確定數(shù)據(jù)加密算法的參數(shù)(一般是對(duì)稱密鑰)。SSL協(xié)議的握手過程用到了三種協(xié)議:SSLhandshake協(xié)議、SsLchangeciPhersPee協(xié)議和SSLAlert協(xié)議。: SSL協(xié)議過程圖記錄協(xié)議層記錄協(xié)議層的功能是:對(duì)要傳送的數(shù)據(jù)實(shí)施壓縮與解壓縮、加解密、計(jì)算與校驗(yàn)MAC。在記錄的過程中用到的壓縮算法，對(duì)稱加密算法、以C算法、密鑰長(zhǎng)度、散列長(zhǎng)度、1V長(zhǎng)度等參數(shù)是由當(dāng)前會(huì)話指定的。并且隨機(jī)數(shù)、加密密鑰、MAC密鑰、NS、消息序列號(hào)等也是己經(jīng)指定的。記錄層協(xié)議需要封裝的高層協(xié)議有以下4類:change。iPher印ec協(xié)議、Aler協(xié)議、握手協(xié)議和應(yīng)用層協(xié)議(如:HTTP，F(xiàn)TP和TELNET等)，: SSL協(xié)議棧SSL的記錄頭可以是兩個(gè)或者三個(gè)字節(jié)長(zhǎng)的編碼，SSL記錄頭包含的信息有記錄頭的長(zhǎng)度，記錄數(shù)據(jù)的長(zhǎng)度，記錄數(shù)據(jù)中是否有填充數(shù)據(jù)。其中，填充數(shù)據(jù)是在使用塊加密算法時(shí)，填充的實(shí)際數(shù)據(jù)，使其長(zhǎng)度恰好是塊的整數(shù)倍，以便傳輸?shù)募?解密。SSL記錄數(shù)據(jù)部分含有3個(gè)分量，MAC數(shù)據(jù):用于數(shù)據(jù)完整性檢查，ACTUAL數(shù)據(jù):被傳輸?shù)膽?yīng)用數(shù)據(jù)。PADDING數(shù)據(jù):采用分組碼時(shí)需要填充的數(shù)據(jù)。網(wǎng)上銀行基于互聯(lián)網(wǎng)，采用SSL協(xié)議將客戶與銀行連接起來，實(shí)現(xiàn)客戶端與網(wǎng)銀服務(wù)器的端對(duì)端的連接。按上述SSL握手協(xié)議和記錄協(xié)議的原理，客戶與網(wǎng)上銀行之間形成一個(gè)安全管道，進(jìn)行客戶與網(wǎng)銀之間的證書交換，交易數(shù)據(jù)的加密，實(shí)現(xiàn)身份認(rèn)證與交易的數(shù)字簽名。面對(duì)網(wǎng)上銀行的安全問題，我們已經(jīng)提出了相應(yīng)的對(duì)策，我們應(yīng)該綜合各種對(duì)策，提出全面的安全管理模型。才能有效地把網(wǎng)上銀行交易安全的工作做好。網(wǎng)上銀行的安全問題是一個(gè)綜合性的系統(tǒng)工程，涉及面廣，所含內(nèi)容光靠幾項(xiàng)先進(jìn)的安全技術(shù)是不夠的，還必須制定網(wǎng)上銀行的有關(guān)安全制度、提高內(nèi)部管理、建立預(yù)警與監(jiān)控制度，: 網(wǎng)上銀行安全管理模型一、制度策略制度策略的含義就是通過制定各種相關(guān)的規(guī)章制度，規(guī)范銀行的各種業(yè)務(wù)流程和其他工作流程。用全面有效的制度將網(wǎng)上銀行的風(fēng)險(xiǎn)降低到最小。制度是保障網(wǎng)上銀行業(yè)務(wù)運(yùn)行的法律武器，是網(wǎng)上銀行存在的前提。制度策略可以從以下幾個(gè)方面來努力:制定安全政策，制定涉及網(wǎng)上銀行安全管理的行政法規(guī)和計(jì)算機(jī)犯罪處理?xiàng)l例以及網(wǎng)上銀行內(nèi)部各級(jí)具體操作安全制度。健全網(wǎng)上銀行監(jiān)管制度，主要從三個(gè)方面來努力。①逐步健全國(guó)家的監(jiān)管方面的法律法規(guī)。②制定詳細(xì)的監(jiān)管條例。監(jiān)管條例:主要是對(duì)網(wǎng)上銀行的監(jiān)管作出原則性的規(guī)定。作為行業(yè)行政法規(guī)，它的制定應(yīng)具有概括性、開放性和可兼容性，不宜過細(xì)、過全、過準(zhǔn)。③指引公告:對(duì)監(jiān)管當(dāng)局目前基本認(rèn)定但仍未成熟，或者可推廣的技術(shù)操作系統(tǒng)、標(biāo)準(zhǔn)、風(fēng)險(xiǎn)管理手段等，或者那些如果不加以適當(dāng)?shù)墓芾恚锌赡苄纬上到y(tǒng)性風(fēng)險(xiǎn)的業(yè)務(wù)流程、項(xiàng)目和規(guī)范，以及計(jì)劃的檢查項(xiàng)目、檢查手段等，以指引公告的方式發(fā)布，隨著情況的變化及時(shí)調(diào)整。二、內(nèi)控管理策略網(wǎng)上銀行的內(nèi)控管理的對(duì)象分兩種:第一種銀行內(nèi)部人員使用網(wǎng)上銀行的操作管理。銀行內(nèi)部人員使用網(wǎng)上銀行的操作管理是指對(duì)操作網(wǎng)上銀行系統(tǒng)、辦理網(wǎng)上銀行業(yè)務(wù)的機(jī)構(gòu)和人員建立逐級(jí)管理和分級(jí)授權(quán)的制度。第二種銀行對(duì)網(wǎng)上銀行客戶的管理。主要是指銀行對(duì)哪些客戶可以使用網(wǎng)上銀行，客戶可以使用哪些網(wǎng)上銀行服務(wù)，以及客戶操作網(wǎng)上銀行的過程和結(jié)果進(jìn)行管理。內(nèi)控管理模塊有三個(gè)方面的具體工作:完善針對(duì)網(wǎng)上銀行內(nèi)控的各項(xiàng)制度。包括:網(wǎng)上銀行對(duì)其下屬單位開辦網(wǎng)上業(yè)務(wù)的準(zhǔn)入機(jī)制。管理和處理網(wǎng)上銀行業(yè)務(wù)的內(nèi)部人員的橫向制約和相互監(jiān)督的管理機(jī)制。客戶申請(qǐng)使用網(wǎng)上銀行的嚴(yán)格的申請(qǐng)和審批程序。健全授權(quán)審批機(jī)制。實(shí)行詳細(xì)并且完善的分級(jí)授權(quán)機(jī)制，確保每筆交易必須經(jīng)過經(jīng)辦及授權(quán)確認(rèn)，進(jìn)一步防止銀行內(nèi)部人員作案的可能性。加強(qiáng)內(nèi)部審計(jì)，引入外部審計(jì)制度。加強(qiáng)內(nèi)部審計(jì)主要是指充實(shí)內(nèi)部審計(jì)的隊(duì)伍，通過培訓(xùn)提高審計(jì)人員的業(yè)務(wù)素質(zhì)。引入外部審計(jì)是指通過會(huì)計(jì)事務(wù)所的審計(jì)，及時(shí)發(fā)現(xiàn)內(nèi)控制度的薄弱環(huán)節(jié)，認(rèn)真整改，有效提高風(fēng)險(xiǎn)防范能力。三、安全技術(shù)策略安全技術(shù)策略就是針對(duì)網(wǎng)上銀行業(yè)務(wù)的技術(shù)性風(fēng)險(xiǎn)，并針對(duì)網(wǎng)上銀行業(yè)務(wù)的特點(diǎn)，制訂全面、綜合、重點(diǎn)突出的策略。本策略在網(wǎng)絡(luò)方面通過防火墻、入侵檢測(cè)等設(shè)置，防止攻擊者非法入侵，保障銀行系統(tǒng)的安全。在交易安全方面，應(yīng)用SSL安全通信協(xié)議和SSL安全代理等，通過對(duì)傳輸過程的數(shù)據(jù)進(jìn)行加密，防止客戶信息被竊取和篡改。: 網(wǎng)上銀行安全管理技術(shù)模型四、風(fēng)險(xiǎn)預(yù)警與監(jiān)控以網(wǎng)上銀行技術(shù)風(fēng)險(xiǎn)監(jiān)管指標(biāo)體系為依據(jù)，在廣泛收集國(guó)內(nèi)外有關(guān)網(wǎng)上信系統(tǒng)犯罪案件和計(jì)算機(jī)安全事故與案例的基礎(chǔ)上，建立銀行技術(shù)風(fēng)險(xiǎn)預(yù)警數(shù)據(jù)庫，并對(duì)銀行技術(shù)風(fēng)險(xiǎn)事故進(jìn)行科學(xué)的分類，通過建立合理的數(shù)學(xué)模型，采用數(shù)據(jù)掘的方法，對(duì)銀行技術(shù)風(fēng)險(xiǎn)進(jìn)行監(jiān)測(cè)和預(yù)警。通過對(duì)網(wǎng)上銀行技術(shù)風(fēng)險(xiǎn)因素的別和分析，建立科學(xué)的技術(shù)風(fēng)險(xiǎn)監(jiān)督指標(biāo)體系，并盡可能進(jìn)行量化。建立網(wǎng)上銀行技術(shù)風(fēng)險(xiǎn)預(yù)警數(shù)據(jù)庫:根據(jù)網(wǎng)上銀行技術(shù)風(fēng)險(xiǎn)監(jiān)管指標(biāo)體系泛采集國(guó)內(nèi)外有關(guān)銀行，甚至相關(guān)行業(yè)如商業(yè)，財(cái)稅，會(huì)計(jì)等安全性技術(shù)風(fēng)險(xiǎn)數(shù)據(jù)，建立網(wǎng)上銀行技術(shù)風(fēng)險(xiǎn)預(yù)警數(shù)據(jù)庫。建立銀行技術(shù)風(fēng)險(xiǎn)預(yù)警模型:盡可能采用數(shù)學(xué)方法，在對(duì)大量技術(shù)風(fēng)險(xiǎn)問的模式和規(guī)模進(jìn)行深入分析和研究的基礎(chǔ)上，建立數(shù)學(xué)模型。進(jìn)行技術(shù)風(fēng)險(xiǎn)預(yù)警:通過實(shí)時(shí)，動(dòng)態(tài)的監(jiān)控，利用技術(shù)風(fēng)險(xiǎn)預(yù)警模型，對(duì)國(guó)現(xiàn)行網(wǎng)上銀行信息系統(tǒng)的技術(shù)風(fēng)險(xiǎn)因素和可能面臨的威脅預(yù)警。并定期發(fā)布上銀行技術(shù)風(fēng)險(xiǎn)預(yù)警信息。: 網(wǎng)上銀行交易風(fēng)險(xiǎn)預(yù)警與監(jiān)控模型五、網(wǎng)上銀行風(fēng)險(xiǎn)管理流程，因?yàn)榫W(wǎng)上銀行新技術(shù)和新業(yè)務(wù)的不斷推出以及應(yīng)用，所以網(wǎng)上銀行的安全管理過程是以安全要素為核心，按照風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)控制、風(fēng)險(xiǎn)監(jiān)視的順序循環(huán)往復(fù)的進(jìn)行。 網(wǎng)上銀行風(fēng)險(xiǎn)管理過程第五章 總結(jié)與展望總結(jié)：網(wǎng)上銀行是銀行業(yè)未來的發(fā)展的主要方向之一，依附于互聯(lián)網(wǎng)，網(wǎng)上銀行可將其觸角伸向世界的每個(gè)角落。所有的居民都是其潛在的客戶，發(fā)展前景巨大。經(jīng)過2006年，中國(guó)銀行業(yè)全面開放，中外銀行爭(zhēng)奪優(yōu)勢(shì)客戶的大戰(zhàn)己經(jīng)開始，外資銀行咄咄逼人的網(wǎng)上銀行業(yè)務(wù)技術(shù)，使我國(guó)的銀行業(yè)感到很大的壓力，面對(duì)挑戰(zhàn)，國(guó)內(nèi)網(wǎng)上銀行更應(yīng)該看清自己的問題，采取及時(shí)有效的措施，促進(jìn)自身的展?；谏鲜瞿康模疚氖紫纫跃W(wǎng)上銀行的交易安全問題為研究對(duì)象。通過對(duì)上銀行含義的介紹，在深入研究我國(guó)網(wǎng)上銀行的發(fā)展現(xiàn)狀的基礎(chǔ)上，從本質(zhì)上給出了我國(guó)網(wǎng)上銀行發(fā)展過程中形成的具有中國(guó)特色的特點(diǎn)。作為研究分析問題依據(jù)，本文通過問卷調(diào)查和引用知名咨詢公司iReasearoh公司對(duì)2007年中國(guó)網(wǎng)支付和網(wǎng)上銀行及用戶發(fā)展情況的統(tǒng)計(jì)數(shù)據(jù)，并經(jīng)過詳細(xì)的整理，現(xiàn)實(shí)地分析中國(guó)網(wǎng)上銀行的發(fā)展現(xiàn)狀和存在的主要問題。從戰(zhàn)略發(fā)展的高度和實(shí)際應(yīng)用的度，系統(tǒng)的提出了若干推進(jìn)國(guó)內(nèi)網(wǎng)上銀行發(fā)展的具體措施和方法，提出了國(guó)內(nèi)上銀行的安全管理模型，以求有更廣泛的實(shí)際意義。展望:將動(dòng)態(tài)口令身份認(rèn)證和數(shù)字證書結(jié)合使用，可結(jié)合兩者的優(yōu)勢(shì)，也是消動(dòng)態(tài)口令認(rèn)證局限性的重要研究方向，有較大的研究?jī)r(jià)值。手機(jī)銀行是利用手機(jī)辦理銀行業(yè)務(wù)的簡(jiǎn)稱，目前國(guó)內(nèi)手機(jī)銀行大多以供查詢賬戶等信息類服務(wù)為主，交易類服務(wù)(如移動(dòng)購物、移動(dòng)支付等)卻不多這方面的市場(chǎng)潛力很大，以后有待進(jìn)一步探討。建立網(wǎng)上銀行安全聯(lián)動(dòng)機(jī)制和諧安全的網(wǎng)絡(luò)交易環(huán)境需要銀行和全社會(huì)的共同努力。銀行在加強(qiáng)安全性建設(shè)的同時(shí)，還應(yīng)積極主動(dòng)地建立銀行間的風(fēng)險(xiǎn)事件實(shí)時(shí)共享及互動(dòng)機(jī)制，加強(qiáng)與執(zhí)法部門及使用者之間的有效聯(lián)動(dòng)，加強(qiáng)與中國(guó)金觸認(rèn)證中心、國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心、亞太地區(qū)計(jì)算機(jī)應(yīng)急響應(yīng)組織等國(guó)內(nèi)、國(guó)際網(wǎng)絡(luò)安全機(jī)構(gòu)的交流與合作，內(nèi)外合力、全方位保障用戶使用網(wǎng)上銀行的安全。25 / 2