【正文】 機(jī)密性和完整性。 （ 4）優(yōu)缺點(diǎn) ①優(yōu)點(diǎn)：提高安全性、方便性、靈活性，用戶只需保管好自己的私鑰。 ②缺點(diǎn)：公鑰私鑰的計(jì)算獲得非常復(fù)雜，需要大量數(shù)學(xué)計(jì)算，消耗了較多計(jì)算機(jī)資源。因此，實(shí)際使用中該算法 不用作對(duì)全部信息加密而是只對(duì)一條有代表性的定長(zhǎng)信息加密，如數(shù)字簽名。 （ 5）代表算法：非對(duì)稱加密算法主要有 RSA算法、 DSA算法、橢圓曲線算法等，其中 RSA算法是最常用的并成為行業(yè)標(biāo)準(zhǔn)。 ?混合密碼技術(shù) ? 為了充分利用非對(duì)稱密鑰加密和對(duì)稱密鑰加密 ? 原理：用對(duì)稱加密算法加密大量的數(shù)據(jù)，然后用公鑰加密對(duì)稱密鑰。 ? 數(shù)字信封 ：是一種混合密碼系統(tǒng)和雙層加密機(jī)制 發(fā)送者自動(dòng)生成對(duì)稱密鑰，用對(duì)稱密鑰加密發(fā)送的信息，同時(shí)用公鑰加密對(duì)稱密鑰，然后將 密文和加密后的對(duì)稱密鑰一起傳送給接收者，接收者用自己的 私鑰獲得對(duì)稱密鑰，再用對(duì)稱密鑰解密密文 。 普通報(bào)文 對(duì)稱密鑰 公鑰 B 加密2 加密1 密 文 加密的密鑰 對(duì)稱密鑰 私鑰 B 解密1 普通報(bào)文 解密2 ?數(shù)字簽名 數(shù)字簽名是通過(guò)一個(gè)散列函數(shù)對(duì)要傳送的報(bào)文進(jìn)行處理并經(jīng)過(guò)加密而得到的用來(lái)認(rèn)證報(bào)文來(lái)源，并核實(shí)報(bào)文是否發(fā)生變化的一個(gè)字符數(shù)字串。 通常用 RSA算法進(jìn)行數(shù)字簽名 ① 發(fā)送方首先用公開(kāi)的散列函數(shù)對(duì)報(bào)文進(jìn)行一次變換，得到報(bào)文摘要，然后利用私有密鑰對(duì)報(bào)文摘要進(jìn)行加密得到數(shù)字簽名并附在報(bào)文后同時(shí)發(fā)送。 ②接收方用發(fā)送方的公開(kāi)密鑰對(duì)數(shù)字簽名進(jìn)行解密，得到報(bào)文摘要。 ③接收方將得到的明文通過(guò)散列函數(shù)進(jìn)行計(jì)算，也得到一個(gè)報(bào)文摘要，再將兩個(gè)報(bào)文摘要比較。如果相同，則證明簽名有效；如果不同，則說(shuō)明簽名無(wú)效。 數(shù)字信封與數(shù)字簽名 ?數(shù)字證書(shū) 客戶、商戶以及建行網(wǎng)銀服務(wù)器都要安裝建設(shè)銀行 CA認(rèn)證中心發(fā)放的數(shù)字證書(shū)，用以驗(yàn)證身份（采用 RSA公鑰密碼體制進(jìn)行認(rèn)證）。 ?數(shù)字證書(shū) 1）定義：就是用電子手段來(lái)證實(shí)一個(gè)用戶的身份及用戶對(duì)網(wǎng)絡(luò)資源的訪問(wèn)權(quán)限。實(shí)質(zhì)上是公開(kāi)密鑰體制的一種密鑰管理媒介，是一種權(quán)威性的電子文檔，形同網(wǎng)絡(luò)計(jì)算機(jī)環(huán)境中的身份證。 2）設(shè)計(jì)目的：彌補(bǔ)數(shù)字簽名的缺陷（信息被修改后提供虛假公鑰）。 3）解決問(wèn)題： 不是如何保密公鑰值，而是確保公鑰使用者（數(shù)據(jù)接收方）能夠確認(rèn)所使用的公鑰的確是來(lái)自真實(shí)可靠的公鑰所有者。 4）包含信息：一個(gè)公鑰、該公鑰所有者的個(gè)人信息、一些其他相關(guān)信息以及認(rèn)證機(jī)構(gòu)的數(shù)字簽名。 5）如何驗(yàn)證：將數(shù)字證書(shū)和信息聯(lián)系在一起，接收方接到帶有數(shù)字證書(shū)的數(shù)據(jù)后， 檢查數(shù)字證書(shū)中認(rèn)證機(jī)構(gòu)的數(shù)字簽名，若該簽名的確來(lái)自可信賴的認(rèn)證機(jī)構(gòu) ，那么，就可以確認(rèn)數(shù)字證書(shū)的公鑰真正來(lái)自數(shù)字發(fā)送者。 （ 2）應(yīng)用層的安全措施（軟件應(yīng)用） ?檢測(cè)證書(shū) UID并核對(duì)登錄密碼 （ 用戶登錄時(shí)系統(tǒng)會(huì)比較：用戶輸入的 UID與證書(shū)中的是否一致；輸入的密碼與系統(tǒng)預(yù)留值是否一致；登錄成功后，系統(tǒng)都會(huì)首先向用戶通報(bào)訪問(wèn)網(wǎng)銀的次數(shù)和上一次訪問(wèn)的時(shí)間，以便用戶核對(duì) ） ?設(shè)置交易密碼 （ 初始密碼如登錄或交易密碼由網(wǎng)銀中心自動(dòng)生成后，要求用戶首次登錄時(shí)必須修改；同時(shí)在用戶輸入這些密碼后系統(tǒng)會(huì)將其加密處理成亂碼，再與網(wǎng)銀中心存放的亂碼進(jìn)行比較） ?設(shè)置會(huì)話密碼，審核用戶交易請(qǐng)求 （系統(tǒng)通過(guò)會(huì)話密鑰驗(yàn)證頁(yè)面之間的請(qǐng)求是否是由同一個(gè)人發(fā)出的，例如用戶輸入登錄密碼系統(tǒng)核對(duì)無(wú)誤后，會(huì)自動(dòng)生成一個(gè)會(huì)話密碼并嵌入返回給用戶的頁(yè)面里，當(dāng)系統(tǒng)收到下一個(gè)頁(yè)面時(shí)，首先檢查頁(yè)面中的會(huì)話密鑰與系統(tǒng)保存的是否一致，一致才會(huì)繼續(xù)處理） 二、網(wǎng)絡(luò)銀行系統(tǒng)建設(shè)特點(diǎn) 1. 建立了公鑰證書(shū)安全體系，保障應(yīng)用級(jí)安全 2. 利用防火墻等技術(shù)，保障網(wǎng)絡(luò)級(jí)安全 3. 建立動(dòng)態(tài)安全監(jiān)控系統(tǒng)，保障系統(tǒng)級(jí)安全 4. 利用多層授權(quán)機(jī)制，保障業(yè)務(wù)安全處理 5. 健全的內(nèi)部柜員操作管理機(jī)制 6. 與 CFCA認(rèn)證系統(tǒng)的緊密結(jié)合 三、網(wǎng)絡(luò)銀行的管理 一、網(wǎng)絡(luò)銀行的風(fēng)險(xiǎn)管理 （一）原有銀行風(fēng)險(xiǎn)新的表現(xiàn)形式 攻擊者增多 攻擊方法更隱蔽 攻擊范圍增大 （二）網(wǎng)絡(luò)銀行面臨的新風(fēng)險(xiǎn) 從技術(shù)的角度看面臨的風(fēng)險(xiǎn) 認(rèn)證環(huán)節(jié)薄弱、系統(tǒng)被監(jiān)視、信息被截獲、操作系統(tǒng)漏洞。 從經(jīng)濟(jì)的角度看面臨的風(fēng)險(xiǎn) （ 1）銀行結(jié)算風(fēng)險(xiǎn) （ 2）銀行管理風(fēng)險(xiǎn) （ 3）信用風(fēng)險(xiǎn) 從法律的角度看面臨的風(fēng)險(xiǎn) （ 1）網(wǎng)絡(luò)犯罪風(fēng)險(xiǎn) （ 2）法律風(fēng)險(xiǎn) （三）銀行網(wǎng)絡(luò)的風(fēng)險(xiǎn)放大效應(yīng) 支付手段的虛擬化 網(wǎng)絡(luò)接點(diǎn)之間的關(guān)聯(lián)度 快速的遠(yuǎn)程處理技術(shù) 二、我國(guó)網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)管理現(xiàn)狀及問(wèn)題 （一）我國(guó)網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)管理發(fā)展歷程 （二）我國(guó)網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)管理現(xiàn)狀 法律層面 技術(shù)層面 業(yè)務(wù)層面 （三）我國(guó)網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)管理問(wèn)題 缺乏保障網(wǎng)上銀行業(yè)務(wù)有效開(kāi)展的法律框架 我國(guó)網(wǎng)上銀行的認(rèn)證 (CA)經(jīng)營(yíng)和管理體系尚不完全 內(nèi)部控制機(jī)制不健全 現(xiàn)有的監(jiān)管體制和手段不適應(yīng)網(wǎng)絡(luò)銀行業(yè)務(wù)的發(fā)展 三、境外網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)管理實(shí)踐與啟示 （一）境外網(wǎng)絡(luò)銀行的風(fēng)險(xiǎn)管理實(shí)踐 巴塞爾銀行監(jiān)管委員會(huì) 歐洲相關(guān)國(guó)家 ?網(wǎng)絡(luò)銀行的風(fēng)險(xiǎn)管理法律體系較完善 ?監(jiān)管機(jī)構(gòu)及外部信用機(jī)構(gòu)共同控制網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) ?技術(shù)層面的風(fēng)險(xiǎn)控制 美國(guó) ?網(wǎng)絡(luò)銀行擁有完善的法律法規(guī)保障 ?采用多元化的監(jiān)管機(jī)構(gòu) ?合理的網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)分散 ?網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)量化管理 中國(guó)香港地區(qū) ?建立了全面的管理制度 ?嚴(yán)密的技術(shù)風(fēng)險(xiǎn)管理程序 ?風(fēng)險(xiǎn)監(jiān)管是持續(xù)進(jìn)行的 ?完整的網(wǎng)絡(luò)銀行及科技風(fēng)險(xiǎn)管理 （二）境外網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)管理啟示 需要兼顧網(wǎng)絡(luò)銀行的風(fēng)險(xiǎn)管理和網(wǎng)絡(luò)銀行的發(fā)展創(chuàng)新。 注重構(gòu)建網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)監(jiān)管法律。 以保護(hù)消費(fèi)者利益為前提，推動(dòng)網(wǎng)絡(luò)銀行的發(fā)展。 確保國(guó)家網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)管理機(jī)構(gòu)的獨(dú)立和權(quán)威性。