【正文】 間相互交換結(jié)束信息； 雙方丟棄會(huì)話密鑰。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 （四） SSL協(xié)議的缺陷 1．客戶的信息首先發(fā)送給商家，商家可以獲得客戶信息，這樣，客戶信息很容易被泄露，信息的安全性很難得到保障； 2． SSL協(xié)議只能保證信息資料傳遞的安全，而傳遞過程是否有人截取就無法保證了。因此， SSL協(xié)議并不能保證網(wǎng)絡(luò)銀行所要求的保密性、完整性； 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 三、 SET與 SSL協(xié)議的比較 從安全性方面考慮， SET協(xié)議對(duì)整個(gè)網(wǎng)絡(luò)銀行的活動(dòng)流程進(jìn)行了規(guī)范，從客戶、商家、網(wǎng)絡(luò)銀行、認(rèn)證中心以及信用卡結(jié)算中心，他們之間傳輸信息流方向以及對(duì)信息加密認(rèn)證的嚴(yán)格標(biāo)準(zhǔn)，從而最大限度地保證了網(wǎng)絡(luò)銀行的安全性、服務(wù)性、可靠性和集成性。而 SSL只對(duì)持卡人與商家之間交流的信息進(jìn)行加密保護(hù)，因此，可以認(rèn)為 SSL協(xié)議是用于傳輸部分的技術(shù)規(guī)范。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 從認(rèn)證要求方面考慮，盡管早期的 SSL協(xié)議并沒有要求對(duì)商家身份進(jìn)行認(rèn)證，目前，在 字證書實(shí)現(xiàn)瀏覽器和服務(wù)器雙方的身份驗(yàn)證，但是，仍不能對(duì)多方進(jìn)行認(rèn)證服務(wù)；而相比之下， SET協(xié)議的安全要求較高，所有參與交易的成員和網(wǎng)絡(luò)銀行都必須申請(qǐng)數(shù)字證書，以便對(duì)身份進(jìn)行有效的識(shí)別。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 從網(wǎng)絡(luò)層協(xié)議位置方面考慮， SSL協(xié)議是基于傳輸層的通用安全協(xié)議，而 SET協(xié)議是基于應(yīng)用層的安全協(xié)議，對(duì)網(wǎng)絡(luò)上其他各層也有涉及。 從應(yīng)用領(lǐng)域方面考慮， SSL協(xié)議主要是和網(wǎng)絡(luò)應(yīng)用一起工作，而 SET協(xié)議是為信用卡交易提供安全，因此，如果網(wǎng)絡(luò)銀行的應(yīng)用只是通過 Web或是電子郵件，則完全可以忽略 SET協(xié)議。但網(wǎng)絡(luò)銀行的應(yīng)用是一個(gè)涉及多方交易的過程，因此，使用 SET協(xié)議可以使交易變得更加安全、可靠。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 四、 3DSecure協(xié)議 （一） 3DSecure協(xié)議概述 3DSecure協(xié)議是由 VISA在 2022年提出的新一代網(wǎng)上支付安全協(xié)議，其目的是要取代市場運(yùn)作并不理想的 SET協(xié)議。 3DSecure協(xié)議與 SET協(xié)議的最大區(qū)別在于， 3DSecure協(xié)議將電子支付環(huán)節(jié)的環(huán)境作了調(diào)整，將原有消費(fèi)者需要進(jìn)行的軟件下載、安裝、認(rèn)證等繁瑣的過程轉(zhuǎn)由銀行和商戶來進(jìn)行。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 卡組織為整個(gè)認(rèn)證過程提供路由轉(zhuǎn)換，將安全的認(rèn)證改由發(fā)卡行在消費(fèi)的同時(shí)直接與消費(fèi)者進(jìn)行雙向認(rèn)證，因此，消費(fèi)者可以在每一次的消費(fèi)過程中直接得到發(fā)卡銀行的認(rèn)證，確保了整個(gè)交易的方便、快捷、安全。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 在 3DSecure 的模式中重新把現(xiàn)行網(wǎng)絡(luò)信用卡交易架構(gòu)區(qū)分為發(fā)卡銀行區(qū)域、收單銀行區(qū)域和協(xié)同運(yùn)行區(qū)域即 3DSecure。 發(fā)卡銀行區(qū)域的主要功能是管理、核對(duì)登記的持卡人身分，并且在網(wǎng)絡(luò)購物時(shí)進(jìn)行持卡人身分之鑒定。收單銀行區(qū)域負(fù)責(zé)確保參與網(wǎng)絡(luò)交易的商店是在與收單銀行簽訂的協(xié)議書規(guī)定進(jìn)行，同時(shí)為身分鑒別提供驗(yàn)證。協(xié)同運(yùn)行區(qū)域主要承擔(dān)建構(gòu)共同的通訊協(xié)議及服務(wù)來促成各收單銀行區(qū)域和各發(fā)卡銀行區(qū)域兩者的信息交換的任務(wù)。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 （二） 3DSecure協(xié)議的目標(biāo) 3DSecure協(xié)議是為了提高電子商務(wù)種互聯(lián)網(wǎng)在線交易的性能，使得互聯(lián)網(wǎng)交易進(jìn)行時(shí)，發(fā)卡銀行可以對(duì)持卡人的身份進(jìn)行確認(rèn)，以降低冒充使用銀行卡的可能性，確保交易各方的信息安全。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 VISA于 2022年發(fā)布了 3DSecure協(xié)議增補(bǔ)版，在實(shí)際使用過程中， VISA為持卡者提供發(fā)卡行的官方網(wǎng)址，把需要登記的消費(fèi)者信息發(fā)送到發(fā)卡機(jī)構(gòu)的網(wǎng)站。因此，可以認(rèn)為在整個(gè)交易的過程中 VISA并沒有參與任何與消費(fèi)者信息相關(guān)的數(shù)據(jù)收集與傳遞。在發(fā)生糾紛時(shí)， VISA可以有效地規(guī)避責(zé)任。也正因?yàn)槿绱?，大部分銀行卡組織在努力地推廣 3DSecure協(xié)議。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 對(duì)于消費(fèi)者而言， 3DSecure協(xié)議的目標(biāo)是在保證交易安全性的同時(shí)，在操作上更加簡單、快捷，可以免去下載軟件、安裝、配置等一系列繁瑣的過程，簡化了銀行卡的使用方法。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 （三） 3DSecure協(xié)議的工作流程 持卡人首先要到發(fā)卡銀行的網(wǎng)絡(luò)銀行辦理登記手續(xù)，提供持有銀行卡的相關(guān)信息，其中包括卡號(hào)、有效期、密碼及個(gè)人保證信息等內(nèi)容。 發(fā)卡銀行確認(rèn)持卡人所輸入的數(shù)據(jù)并通知持卡人完成登記手續(xù)。同時(shí)，發(fā)卡銀行的網(wǎng)絡(luò)銀行服務(wù)器針對(duì)持卡人所輸入的數(shù)據(jù)進(jìn)行更新、存取與控制，其中包括卡號(hào)或身分驗(yàn)證的信息。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 持卡人通過信用卡進(jìn)行消費(fèi)時(shí)，需要輸入卡號(hào)，而商家通過自己的服務(wù)器針對(duì)信用卡號(hào)進(jìn)行檢驗(yàn)，將數(shù)據(jù)傳輸至 VISA的服務(wù)器，確認(rèn)是否是 3DSecure機(jī)制的成員，確認(rèn)后再將數(shù)據(jù)傳送至商店 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 商家的服務(wù)器得知卡號(hào)可以檢驗(yàn)后，經(jīng)由消費(fèi)者端的瀏覽器傳送驗(yàn)證請(qǐng)求給控制服務(wù)器，并于持卡人畫面上開啟小檔案，向持卡人顯示保證的信息，確認(rèn)對(duì)方是原發(fā)卡銀行。之后由持卡人輸入密碼，讓發(fā)卡銀行的服務(wù)器確認(rèn)目前的消費(fèi)者是合法的銀行卡持卡人。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 控制服務(wù)器經(jīng)消費(fèi)者瀏覽器傳送驗(yàn)證通過的信息給商家，并將本次驗(yàn)證數(shù)據(jù)傳送至驗(yàn)證歷史服務(wù)器中。 商家經(jīng)檢查此驗(yàn)證通過的響應(yīng)，確定信用卡的合法性后，就利用一般模式進(jìn)行授權(quán)的請(qǐng)求，由發(fā)卡銀行傳回允許交易授權(quán)。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 （四） 3DSecure協(xié)議的安全性 3DSecure協(xié)議安全規(guī)范的基礎(chǔ)在于將銀行卡消費(fèi)的五個(gè)實(shí)體劃分為三個(gè)邏輯區(qū)域，在這之中，發(fā)卡銀行區(qū)域指發(fā)卡行和持卡人；協(xié)同運(yùn)行區(qū)域是可以讓發(fā)卡銀行區(qū)域和收單銀行區(qū)域在全球范圍內(nèi)協(xié)同運(yùn)行的系統(tǒng)和功能；收單銀行區(qū)域指收單銀行和商家。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 發(fā)卡銀行區(qū)域中包含的要素 ⑴ 持卡人。 ⑵ 瀏覽器。 ⑶ 發(fā)卡銀行。 ⑷ 訪問控制服務(wù)器。 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 收單銀行區(qū)域中包含的要素 ⑴ 商家 ⑵ 商戶服務(wù)器插件 ⑶ 收單銀行 第五節(jié) 網(wǎng)絡(luò)安全協(xié)議 協(xié)同運(yùn)行域中包含的要素 ⑴ VISA路徑服務(wù)器 ⑵ 驗(yàn)證歷史服務(wù)器 ⑶ VisaNet 本章小結(jié) 網(wǎng)絡(luò)銀行安全技術(shù)包括硬件防火墻技術(shù)、信息加密技術(shù)、數(shù)字證書技術(shù)、網(wǎng)絡(luò)安全協(xié)議以及網(wǎng)絡(luò)銀行安全支付平臺(tái)。 網(wǎng)絡(luò)銀行的安全技術(shù)主要包括四方面內(nèi)容⑴ 系統(tǒng)自身安全⑵ 運(yùn)行網(wǎng)絡(luò)安全⑶ 交易過程安全⑷ 系統(tǒng)維護(hù)安全。 本章小結(jié) 防火墻的作用主要包括阻止外部網(wǎng)對(duì)于內(nèi)部網(wǎng)絡(luò)的入侵和非法訪問，以及阻止內(nèi)部網(wǎng)與外部網(wǎng)絡(luò)的非授權(quán)訪問。 數(shù)字證書是一個(gè)經(jīng)證書授權(quán)中心數(shù)字簽名的包含公開密鑰擁有者信息以及公開密鑰的文件。一分最簡單的數(shù)字證書包含一個(gè)公開密鑰，名稱和證書授權(quán)中心數(shù)字簽名。 本章小結(jié) 網(wǎng)絡(luò)銀行安全協(xié)議中，使用的是由 VISA、Marster Card、 IBM等聯(lián)合推出的安全電子交易協(xié)議（ SET）， Netscape、 Verisign等推出的安全套接層協(xié)議服務(wù)（ SSL）以及目前正處于發(fā)展中的 3DSecure安全規(guī)范。 第八章 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)防范與監(jiān)管 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) 第二節(jié) 網(wǎng)絡(luò)銀行的安全防范措施 第三節(jié) 網(wǎng)絡(luò)銀行的監(jiān)管 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) 一、網(wǎng)絡(luò)銀行的技術(shù)風(fēng)險(xiǎn) 網(wǎng)絡(luò)銀行是基于全球范圍的網(wǎng)絡(luò)運(yùn)行的金融服務(wù)形式。因此，網(wǎng)絡(luò)銀行軟件及硬件系統(tǒng)的技術(shù)性和管理的安全性成為其首當(dāng)其沖的一個(gè)風(fēng)險(xiǎn)來源。網(wǎng)絡(luò)銀行的技術(shù)風(fēng)險(xiǎn)主要包括技術(shù)選擇性風(fēng)險(xiǎn)、系統(tǒng)安全風(fēng)險(xiǎn)和操作風(fēng)險(xiǎn)。 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) （一）技術(shù)選擇風(fēng)險(xiǎn) 任何網(wǎng)絡(luò)銀行都必須選擇一種技術(shù)解決方案來支撐網(wǎng)上業(yè)務(wù)的開展，因而存在所選擇的技術(shù)解決方案在設(shè)計(jì)上可能出現(xiàn)缺陷被錯(cuò)誤操作的風(fēng)險(xiǎn)。例如，在與客戶的信息傳輸中，如果網(wǎng)絡(luò)銀行使用的系統(tǒng)與客戶終端的軟件互相不兼容，那么，就存在著傳輸中斷或速度降低的可能。 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) 當(dāng)各種網(wǎng)絡(luò)銀行的解決方案紛紛出臺(tái)，不同的信息技術(shù)公司大力推動(dòng)各自的解決方案時(shí)，銀行選擇與哪家公司合作，采用哪種解決方案，都將是銀行存在的一種潛在風(fēng)險(xiǎn)。一旦選擇錯(cuò)誤，則可能使其所經(jīng)營的網(wǎng)絡(luò)銀行業(yè)務(wù)處于技術(shù)陳舊、網(wǎng)絡(luò)過時(shí)的競爭劣勢(shì)，造成巨大的技術(shù)機(jī)會(huì)損失，甚至是巨大的商業(yè)機(jī)會(huì)損失。 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) （二）系統(tǒng)安全風(fēng)險(xiǎn) 網(wǎng)絡(luò)銀行的系統(tǒng)安全風(fēng)險(xiǎn)來自三個(gè)方面： 1．網(wǎng)絡(luò)銀行的計(jì)算機(jī)系統(tǒng)停機(jī)、磁盤破壞等因素 2．網(wǎng)絡(luò)銀行內(nèi)外部的數(shù)字攻擊所帶來的對(duì)網(wǎng)絡(luò)銀行正常運(yùn)轉(zhuǎn)的威脅 ⑴ 潛在攻擊者增多 ⑵ 攻擊手段不斷翻新 ⑶ 供給范圍增大 ⑷ 多數(shù)網(wǎng)絡(luò)犯罪不留痕跡 3．計(jì)算機(jī)病毒破壞的風(fēng)險(xiǎn) 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) （三）操作風(fēng)險(xiǎn) 操作風(fēng)險(xiǎn)主要涉及網(wǎng)絡(luò)銀行的賬戶的授權(quán)使用、風(fēng)險(xiǎn)管理系統(tǒng)及其與其他銀行和客戶間的信息交流、真假電子貨幣的識(shí)別等。如沒有經(jīng)過明確授權(quán)使用賬戶，可能導(dǎo)致客戶直接的經(jīng)濟(jì)損失，加大了網(wǎng)絡(luò)銀行對(duì)客戶的責(zé)任。 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) 網(wǎng)絡(luò)銀行職員對(duì)業(yè)務(wù)的漫不經(jīng)心，或其客戶的疏忽都可能導(dǎo)致嚴(yán)重的操作風(fēng)險(xiǎn)，從而危及網(wǎng)絡(luò)銀行的總體安全。網(wǎng)絡(luò)銀行還可能因客戶欠缺網(wǎng)絡(luò)安全方面的知識(shí)而面臨相當(dāng)高的操作風(fēng)險(xiǎn)。 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) 根據(jù) BCBS（ 1998）的分析，網(wǎng)絡(luò)銀行的操作風(fēng)險(xiǎn)主要包括： 、泄密、竊取智能卡等惡意破壞 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) 二、業(yè)務(wù)風(fēng)險(xiǎn) （一）信譽(yù)風(fēng)險(xiǎn) 信譽(yù)風(fēng)險(xiǎn)可能會(huì)來自以下情況： 第一，當(dāng)客戶在使用網(wǎng)絡(luò)提供的網(wǎng)絡(luò)銀行服務(wù)產(chǎn)品過程中遇到困難或問題，而網(wǎng)絡(luò)銀行又不能解決這些困難或問題時(shí)。 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) 第二，如果網(wǎng)絡(luò)銀行的安全系統(tǒng)曾經(jīng)遭到破壞，無論這種破壞的原因是來自內(nèi)部還是來自外部，都會(huì)影響社會(huì)公眾對(duì)網(wǎng)絡(luò)銀行的商業(yè)信心。 第三，非銀行或客戶的第三者導(dǎo)致的錯(cuò)誤、瀆職和欺詐等結(jié)果或行為，也會(huì)迫使網(wǎng)絡(luò)銀行承擔(dān)信譽(yù)風(fēng)險(xiǎn)。 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) （二）法律風(fēng)險(xiǎn) 根據(jù) BCBS（ 1998）的分析，網(wǎng)絡(luò)銀行的法律風(fēng)險(xiǎn)主要包括： 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) （三）其它銀行業(yè)務(wù)風(fēng)險(xiǎn) 1．信用風(fēng)險(xiǎn) 網(wǎng)絡(luò)銀行信用風(fēng)險(xiǎn)主要包括三點(diǎn)內(nèi)容： ⑴ 遠(yuǎn)程貸款客戶違約 ⑵ 網(wǎng)絡(luò)銀行信用業(yè)務(wù)的開放性 ⑶ 電子貨幣發(fā)行人的違約風(fēng)險(xiǎn) 第一節(jié) 網(wǎng)絡(luò)銀行風(fēng)險(xiǎn) 2．流動(dòng)性風(fēng)險(xiǎn) 3．利率風(fēng)險(xiǎn) 4．匯率風(fēng)險(xiǎn) 5．市場風(fēng)險(xiǎn) 第二節(jié) 網(wǎng)絡(luò)銀行的安全防范措施 一、網(wǎng)絡(luò)銀行的法律保護(hù)措施 （一）加強(qiáng)客戶準(zhǔn)入的審查 客戶資格的準(zhǔn)入，是網(wǎng)絡(luò)銀行業(yè)務(wù)風(fēng)險(xiǎn)控制的第一道防線。 對(duì)客戶資格進(jìn)行限制，一方面可以掌握客戶的資料，培養(yǎng)優(yōu)質(zhì)客戶群體；另一方面，一定程度上可以防止客戶欺詐。 第二節(jié) 網(wǎng)絡(luò)銀行的安全防范措施 （二）以合同協(xié)議明確各方當(dāng)事人的基本法律關(guān)系 1．網(wǎng)絡(luò)銀行與用戶之間的協(xié)議 銀行應(yīng)針對(duì)不同的業(yè)務(wù)品種擬定有關(guān)交易當(dāng)事人之間權(quán)利義務(wù)的合同規(guī)范文本，并應(yīng)盡可能詳細(xì)地規(guī)定雙方的具體權(quán)利義務(wù)。 ⑴ 重視對(duì)銀行與客戶之間的有關(guān)責(zé)任的分擔(dān)的規(guī)定 ⑵ 明確如何補(bǔ)償因供電、通訊系統(tǒng)方面的故障所導(dǎo)致的損失 ⑶ 明確規(guī)定因交易指令傳遞方面出現(xiàn)錯(cuò)誤應(yīng)如何承擔(dān)責(zé)任問題 第二節(jié) 網(wǎng)絡(luò)銀行的安全防范措施 2．網(wǎng)絡(luò)銀行與網(wǎng)絡(luò)服務(wù)商之間的協(xié)議 網(wǎng)絡(luò)銀行與網(wǎng)絡(luò)服務(wù)商應(yīng)在協(xié)議中明確約定，對(duì)于有網(wǎng)絡(luò)服務(wù)系統(tǒng)的故障引發(fā)的有關(guān)損失，應(yīng)如何處理。 3．網(wǎng)絡(luò)銀行與硬件、軟件供應(yīng)商之間的協(xié)議 網(wǎng)絡(luò)銀行與服務(wù)所需的硬件、軟件供應(yīng)商之間，也面臨著如何承擔(dān)因硬件、軟件引發(fā)的事故，對(duì)客戶或網(wǎng)絡(luò)銀行造成損害的責(zé)任問題。 第二節(jié) 網(wǎng)絡(luò)銀行的安全防范措施 （三）明確網(wǎng)絡(luò)銀行與客戶之間的責(zé)任和權(quán)利 網(wǎng)絡(luò)銀行業(yè)務(wù)是一項(xiàng)技術(shù)性較強(qiáng)的業(yè)務(wù)，用戶在辦理網(wǎng)絡(luò)銀行業(yè)務(wù)的時(shí)候，對(duì)一些交易環(huán)節(jié)及應(yīng)注意的事項(xiàng)并不十分明確。網(wǎng)絡(luò)銀行作為交易的主體，應(yīng)承擔(dān)告知的義務(wù)。 第二節(jié) 網(wǎng)絡(luò)銀行的安全