【正文】 請您：登錄個人網(wǎng)上銀行。每張動態(tài)口令卡上印有 100 個密碼，按照客戶平均每 26 月辦理 35次網(wǎng)上銀行資金交易計(jì)算，一張卡最長可以滿足客戶將近三年的使用需求。 （ 3）技術(shù)成熟、應(yīng)用廣泛 動態(tài)口令技術(shù)經(jīng)過多年的發(fā)展，已非常成熟，在國內(nèi)外的網(wǎng)上銀行業(yè)務(wù)應(yīng)用中已十分普及。動態(tài)口令一次一密的方法，克服了靜態(tài)密碼簡單、有規(guī)律的缺點(diǎn)，無需客戶設(shè)置、記憶，每次都使用新的密碼，安全可靠。每張卡片覆蓋有 100 個不同的密碼，客戶在使用網(wǎng)上銀行的過程中，需要輸入交易密碼時，只需按順序輸入動態(tài)口令卡上的密碼即可，每個密碼只可以成功使用一次。 動態(tài)口令 動態(tài)口令是一種動態(tài)密碼技術(shù)，簡單地說，就是客戶每次在網(wǎng)上銀行進(jìn)行資金交易時使用不同的密碼，進(jìn)行交易確認(rèn)。 為進(jìn)一步增強(qiáng)網(wǎng)上銀行交易的安全性，提升客戶體驗(yàn)，建行近期推出了個人網(wǎng)上銀行新版動態(tài)口令卡。在您首次登錄網(wǎng)上銀行時，系統(tǒng)將引導(dǎo)您設(shè)置交易密碼，并對密碼強(qiáng)度進(jìn)行了檢測，拒絕使用簡單密碼，有利于提高您使用賬戶的安全性。 3. 4 先進(jìn)技術(shù)的保障 中國建設(shè)銀行網(wǎng)上銀行系統(tǒng)采用了嚴(yán)格的安全性設(shè)計(jì)，通過密碼校驗(yàn)、 CA 證書、 SSL（加密套接字層協(xié)議）加密和服務(wù)器方的反黑客軟件等多種方式來保證客戶信息安全。如圖 4515 所示。 態(tài)口令卡的更換補(bǔ)辦 動態(tài)口令卡的密碼用完后，可在網(wǎng)上銀行自助更換一張新的動態(tài)口令卡。您若想重新使用交易密碼，需使用網(wǎng)上銀行中的恢復(fù)靜態(tài)密碼功能切換； （ 2）動態(tài)口令卡的最后一道口令只能在換卡和恢復(fù)靜態(tài)交易密碼時使用，不能作為資金交易使用。 圖 4512 （ 2）確認(rèn)轉(zhuǎn)賬信息無誤后，按提示輸入動態(tài)口令密碼，點(diǎn)擊 “ 確認(rèn) ” （ 3）選擇證書 （ 4） 系統(tǒng)將返回“ 交易成功 ” 頁面。以后每次登錄網(wǎng)銀做交易時依次使用卡上的密碼。 動態(tài)口令卡的使用 當(dāng)您第一次購買動態(tài)口令卡后，登錄網(wǎng)上銀行，進(jìn)入 “ 安全中心 ” 菜單，選擇 “ 動態(tài)口令 ” ，系統(tǒng)會顯示動態(tài)口令卡登記頁面。 圖 4511 （ 2） 彈出確認(rèn)是否下載證書的提示，點(diǎn)擊 “ 是（ Y） ” 即可。今后，建設(shè)銀行還將陸續(xù)為客戶推出其它載體形式的動態(tài)口令，給客戶以更多、更好的選擇。 建設(shè)銀行率先在國內(nèi)銀行業(yè)推出的刮刮卡，是專門針對網(wǎng)上銀行 個人客戶的需要設(shè)計(jì)開發(fā)的，外表和銀行卡一樣大小，便于客戶攜帶。建行此次首推的動態(tài)口令應(yīng)用于網(wǎng)上銀行后，必將在國內(nèi)掀起新一輪網(wǎng)上應(yīng)用快速發(fā)展的浪潮。 （ 3）技術(shù)成熟、應(yīng)用廣泛。 動態(tài)口令的生成與客戶電腦無關(guān)，不需要在客戶的電腦上安裝任何程序，無需記憶復(fù)雜的口令。 相比之下，動態(tài)口令一次一密的方法，克服了靜態(tài)密碼的上述缺點(diǎn)，不需客戶設(shè)置、記憶，每次都使用新的密碼，徹底解決了一些不法分子利用 “ 木馬 ” 病毒竊取網(wǎng)上銀行密碼的問題，客戶從此可以放心無憂地使用網(wǎng)上銀行。 長期以來，客戶為自己設(shè)置的銀行賬戶或其他密碼均為靜態(tài)密碼，且進(jìn)行密碼設(shè)置時存在一種慣性。每張卡片覆蓋有 30個不同的密碼，客戶在使用網(wǎng)上銀行辦理賬務(wù)類交易時，需要輸入交易密碼時，只需按順序輸入刮刮卡上的密碼即可，每個密碼只可以使用一次。動態(tài)口令卡可以免除了您攜帶證書和使用證書的不便，動態(tài)口令卡樣式輕小、安全性高。 建行網(wǎng)上銀 行除了向客戶提供 “ 網(wǎng)銀盾 ” 外，還推出了動態(tài)口令卡。網(wǎng)銀盾的辦理流程如圖 2所示。 （ 4）使用完畢后立即拔出，不要長期插在電腦上。 （ 2）國內(nèi)領(lǐng)先的安全保障，使您遠(yuǎn) 離黑客、木馬病毒。因此，可以全面保護(hù)您的賬戶信息與網(wǎng)上資金交易的安全，是您進(jìn)行網(wǎng)上銀行業(yè)務(wù)的安全產(chǎn)品。 網(wǎng)銀盾 預(yù)先 存儲電子證書 、無需專門安裝驅(qū)動軟件。圖 1所示。 網(wǎng)銀盾是指建設(shè)銀行向客戶提供的 類似于 U 盤的 “ 電子證書存儲器 ” 。 加強(qiáng)證書存貯安全 建設(shè)銀行 網(wǎng)上銀行系統(tǒng)支持網(wǎng)銀盾證書功能。更改手機(jī)號碼必 須憑身份證及賬戶介質(zhì)（卡或折）到建行網(wǎng)點(diǎn)辦理。如果該確認(rèn)碼您已經(jīng)忘記，可以點(diǎn)擊 “ 重發(fā)確認(rèn)碼 ” 獲取新的確認(rèn)碼，然后輸入此新確認(rèn)碼。 中國建設(shè)銀行網(wǎng)上銀行短信服務(wù)的開通過程： （ 1）登錄網(wǎng)上銀行后，進(jìn)入 “ 安全中心 ” 菜單，選擇 “ 短信服務(wù) ” 下的 “ 短信提示設(shè)置 ” 。 19 第 三 章 建設(shè)銀行 網(wǎng)上銀行 目前采用的安全措施分析 各個銀行硬件的結(jié)構(gòu)及基于硬件的安全防范大同小異，為了讓建設(shè)銀行網(wǎng)上銀行客戶能 安全、放心地使用網(wǎng)上銀行， 建設(shè)銀行網(wǎng)上銀行 建 行制定了八大安全策略，以全面保護(hù) 客戶權(quán)益及 資金的安全。 不法分子克隆一個與銀 行網(wǎng)站一模一樣的網(wǎng)頁，并且使用的登錄地址也與銀行網(wǎng)站的地址非常接近，然后使用一些電腦病毒程序、垃圾軟件等將假網(wǎng)站地址發(fā)送到客戶的電腦上，或放在搜索網(wǎng)站上誘騙客戶登錄，以竊取客戶卡號、密碼等信息。好在小姚及時地發(fā)現(xiàn)這個 某銀 行網(wǎng)站和去年被媒體所曝光的那個假網(wǎng)站非常相似，并迅速趕往附近的工行，取出卡里的大部分錢，只留下 71 元。黑客常常誘騙用戶登錄到酷似銀行官網(wǎng)的虛假網(wǎng)站并輸入認(rèn)證信息，從而間接獲取用戶認(rèn)證信息。 近期 建 行發(fā)現(xiàn)，不法分子以所謂 “某銀行網(wǎng)絡(luò)安全科”的名義，向客戶發(fā)送電子郵件，謊稱持卡人賬戶被凍結(jié)，并要求客戶到指定的網(wǎng)頁 修改密碼。 （ 8） 點(diǎn)對點(diǎn)通訊：以聊天室形式同被控端進(jìn)行在線交談。 （ 6） 注冊表操作：包括對主鍵的瀏覽、增刪、復(fù)制、重命名和對鍵值的讀寫等所有注冊表操作功能 。 圖 22 木馬客戶端界面 18 （ 4） 限制系統(tǒng)功能：包括遠(yuǎn)程關(guān)機(jī)、遠(yuǎn)程重啟計(jì)算機(jī)、鎖定鼠標(biāo)、鎖定系統(tǒng)熱鍵及鎖定注冊表等多項(xiàng)功能限制 。 （ 2） 記錄各種口令信息：包括開機(jī)口令、屏?？诹?、各種共享資源口令及絕大多數(shù)在對話框中出現(xiàn)過的口令信息 。 冰河，國產(chǎn)木馬，有 ， 二個文件。 ④配置防火墻和邊界路由器 。 17 ②注冊表修復(fù)。 原理：木馬程序 ，非主動傳播，主要通過用戶在瀏覽某些網(wǎng)頁或點(diǎn)擊一些不明連接及打開不明郵件附件等操作時，間接感染用戶電腦。 （ 4） 發(fā)送竊取信息到指定地址 。一旦發(fā)現(xiàn)當(dāng)前 IE窗口為上述銀行的登錄頁面，病毒立即開始記錄鍵盤輸入的所有鍵值，記錄的鍵值 幾乎包括了所有可能的鍵盤錄入。 （ 3） 竊取個人網(wǎng)上銀行信息 。 （ 2） 修改注冊表 。 病毒運(yùn)行后在系統(tǒng)文件夾 %System%下創(chuàng)建自身的副本，文件名稱為 svch0stexe 。因?yàn)椴豢赡艿酵馐〉你y行大廳安裝病毒，李強(qiáng)請了兩個人專門將木馬病毒傳播在一些小網(wǎng)站上，只要網(wǎng)民點(diǎn)擊了這些網(wǎng)站，病毒就會在他們的電腦里自動運(yùn)行，并將他們打開的網(wǎng)銀 信息發(fā)送到李強(qiáng)的服務(wù)器上。 只有感染了“網(wǎng)銀大盜”和“灰鴿子”病毒的電腦，才能被竊取信息并進(jìn)行操作。感染“網(wǎng)銀大盜”的電腦運(yùn)行后，會自動截屏將市民的密碼發(fā)送到他的服務(wù)器上，他再一一 將其整理好，逐一盜取。系統(tǒng)感染 16 木馬、病毒后客戶賬號、密碼等隱私信息便不再安全。網(wǎng)吧用戶使用免驅(qū)移動數(shù)字證書（暫時沒有銀行提供，招行雖然免驅(qū)但是要安客戶端） 、動態(tài)口令牌、手機(jī)動態(tài)口令、動態(tài)口令卡方便。 從安全角度：移動數(shù)字證書最安全因?yàn)橹灰粊G失是萬無一失的；手機(jī)動態(tài)口令、移動口令牌二種也很安全，但是最好不要被偷窺。綜上所述，理論上 U盾是絕對安全的）。（理論上，不同的字串 A不會得出相同的字串 B，即一個字串 A對應(yīng)一個唯一的字串 B；但是字串 B和字串 A 無法得出你的數(shù)字證書，而且 U 盾具有不可讀取性，所以任何人都無法獲行你的數(shù)字證書。同樣，銀行也記錄著你的數(shù)字證書。 （ 6）移動數(shù)字證書。 不需要驅(qū)動，不需要安裝，只要隨身帶就行，不怕偷窺，不怕木馬。一分鐘內(nèi)在網(wǎng)上銀行付款時可以用憑這個編碼付款。類似夢幻西游的將軍令，一定時間換一次號碼。而且有時通信運(yùn)營商服務(wù)質(zhì)量低導(dǎo)致短信遲遲沒到，影響效率。 但是必須隨身帶手機(jī)，手機(jī)不能停機(jī)（手機(jī)停機(jī)，無法付款；無法匯款，就會一直停機(jī)。 15 不需安裝驅(qū)動，只需隨身帶手機(jī)即可，不怕偷窺，不怕木馬。 （ 4）動態(tài)手機(jī)口令。當(dāng)進(jìn)行網(wǎng)上交易時，銀行會隨機(jī)詢問你某行某列的數(shù)字，如果能正確地輸入對應(yīng)格內(nèi)的數(shù)字 便可以成功交易；反之不能。動態(tài)口令卡是一種類似游戲的密保卡樣子的卡。 但是文件數(shù)字證書不可移動，對經(jīng)常換電腦使用的用戶來說不方便（支付寶等虛擬的一驗(yàn)證手機(jī)，而網(wǎng)上銀行一般要去銀行辦理）；而且文件數(shù)字證書有可能被盜?。m然不易，但是能），所以不是絕對安全的。文件數(shù)字證書是存放在電腦中的數(shù)字證書，每次交易時都需用到，如果你的電腦 沒有安裝數(shù)字證書是無法完成付款的；已安裝文件數(shù)字證書的用戶只需輸密碼即可。但是密碼非常容易被木馬盜取或被他人偷窺。 網(wǎng)上銀行個人認(rèn)證介質(zhì)（安全工具）的安全 （ 1）密碼。經(jīng)過多方面的層層風(fēng)險布防，網(wǎng)銀服務(wù)器系統(tǒng)相對客戶端顯得更加安全。其次，Web應(yīng)用服務(wù)器端使用可信的專用操作系統(tǒng)，憑借其獨(dú)特的體系結(jié)構(gòu)和安全檢查，保證只有合法用戶的交易請求才能通過特定代理程序送至應(yīng)用服務(wù)器進(jìn)行后繼處理。對于大型網(wǎng)絡(luò)分布式防火墻配置，要求有集中控管能力、管理界面友好性、遠(yuǎn)程配置的安全保密等功能。網(wǎng)絡(luò)規(guī)模大小、跨防火墻訪問的網(wǎng)絡(luò)用戶數(shù)量，要求防火墻具有較高的最大并發(fā)連接數(shù)；網(wǎng)絡(luò)邊界的通信流量要求防火墻具有較高的吞吐量、較低的丟包率、較低的延時等性能指標(biāo)，防止出現(xiàn)網(wǎng)絡(luò)性能瓶頸 （ 4）要考慮到可靠性、可用性、易用性等方面的需求。防火墻對特定應(yīng)用的支持功能和性能，比如對視頻、語音、數(shù)據(jù)庫應(yīng)用穿透防火墻的支持能力；防火墻對應(yīng)層信息過濾，對應(yīng)用系統(tǒng)是否具有負(fù)載均衡功能，像 Check Point 的 FireWall1支持超過 150個預(yù)定義的應(yīng)用、服務(wù)和現(xiàn)成的協(xié)議，包括 web 應(yīng)用、即時消息發(fā)送、對等網(wǎng)絡(luò)應(yīng)用、 VoIP、 OracleSQL、 RealAudio。目前，大多防火墻都至少支持三個口，甚至更多。 （ 1）要考慮網(wǎng)絡(luò)結(jié)構(gòu)。防火墻無法防止種類攻擊。當(dāng)有些表面看來無害的數(shù)據(jù)如電子郵件、 ftp 等，被郵寄或復(fù)制到 inter 主機(jī)上并被執(zhí)行時，就會發(fā)生數(shù)據(jù)驅(qū)動式攻擊。如果要實(shí)現(xiàn)這種保護(hù)，防火墻中應(yīng)設(shè)置檢測病毒邏輯。 （ 3）防火墻不能防止受到病毒感染的軟件或文件傳輸。 （ 2）防火墻不能防范不經(jīng)由防火墻的攻擊。在一個銀行內(nèi)部，各部門之間設(shè)置的防火墻不能用于防范內(nèi)部的攻擊和破壞。 網(wǎng)銀防火墻受到的安全威脅 （ 1）防火墻不能防范來自內(nèi)部的攻擊。再者，銀行多采用國際先進(jìn)的網(wǎng)絡(luò)安全檢測和監(jiān)控系統(tǒng)，對進(jìn)出各級局域網(wǎng)的常見操作進(jìn)行 24小時 實(shí)時監(jiān)控、報(bào)警和阻斷，并定期對網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全性分析，及時發(fā)現(xiàn)并修正漏洞；客戶在網(wǎng)上銀行使用的密碼，都經(jīng)過不可逆加密算法存放在數(shù)據(jù)庫中，即使黑客侵入數(shù)據(jù)庫系統(tǒng)，也無法破譯原密碼。 為防止網(wǎng)上銀行服務(wù)器系統(tǒng)受到攻擊，首先，絕大多數(shù)銀行都在 Inter與網(wǎng)上銀行服務(wù)器間建立起了數(shù)道防火墻，使黑客無法攻破防火墻進(jìn)入銀行內(nèi)部網(wǎng)絡(luò)。同時，引入了數(shù)字證書對傳輸數(shù)據(jù)進(jìn)行簽名，一旦數(shù)據(jù)被篡改，則必然與數(shù)字簽名不符。而且每次會話所使用的加密密鑰都是隨機(jī)產(chǎn)生 的。 SSL 協(xié)議是由 Netscape 首先研制開發(fā)出來的 ， 其首要目的是在兩個通信間提供秘密而可靠的連接，目前大部分 Web 服務(wù)器和瀏覽器都支持此協(xié)議。 網(wǎng)絡(luò)通訊的安全性 由于互聯(lián)網(wǎng)是一個開放的網(wǎng)絡(luò)，客戶在網(wǎng)上傳輸?shù)拿舾行畔?(如密碼、交易指令等 )在通訊過程中存在被截獲、被破譯、被篡改的可能。 2020 年 6月，由中國人民銀行牽頭， 12 家商業(yè)銀行聯(lián)合共建的中國金融認(rèn)證中心 (CFCA)正式掛牌運(yùn)營。所以，用戶的惟一身份標(biāo)識就是銀行簽發(fā)的 “ 數(shù)字證書 ” 。 另外，在網(wǎng)上銀行系統(tǒng)中，用戶的身份認(rèn)證依靠基于 “RSA 公鑰密碼體制 ”的加密機(jī)制、數(shù)字簽 名機(jī)制和用戶登錄密碼的多重確保。這 12 樣，客戶可隨身攜帶該數(shù)字證書，隨時隨地使用網(wǎng)上個人銀行專業(yè)版，既安全又方便。 目前各大銀行 都先后推出了 USB Key 個人數(shù)字證書。銀行不僅要在客戶終端和銀行服務(wù)器之 間使用保密協(xié)議，確保數(shù)據(jù)傳輸?shù)陌踩?，還應(yīng)該在操作上進(jìn)行合理的流程控制。網(wǎng)上銀行交易系統(tǒng)的穩(wěn)定和安全，是交易得以順利進(jìn)行的基礎(chǔ)和保障，如果說銀行只有在出現(xiàn)問題以后才去彌補(bǔ)自身的不足，必將會被用戶所淘汰。為了防止此種情況發(fā)生，網(wǎng)上銀行系統(tǒng)一般都采用加密傳輸交易信息的措施，使用最廣泛的是 SSL 數(shù)據(jù)加密協(xié)議。這標(biāo)志著中國電子商務(wù)進(jìn)入了銀行安全支付的新階段。 由于數(shù)字證書的唯一性和重要性，各家銀行為開展網(wǎng)上業(yè)務(wù)都成立了 CA 認(rèn)證機(jī)構(gòu)，專門負(fù)責(zé)簽發(fā)和管理數(shù)字證書，并進(jìn)行網(wǎng)上身份審核。用戶的登錄密碼以密文的方式進(jìn)行傳輸，確保了身份認(rèn)證的安全可靠性。銀行對用戶的數(shù)字簽名和登錄密碼進(jìn)行檢驗(yàn)，全部通過后才能確認(rèn)該用戶的身份。但是，用戶的密碼在登錄時以明文的方式在網(wǎng)絡(luò)上傳輸，很容易被攻擊者截獲，進(jìn)而可以假冒用戶的身份，身份認(rèn)證機(jī)制就會被攻破。 （ 3）身份識別和 CA 認(rèn)證。服務(wù)器使用可信的專用操作系統(tǒng)，憑借其獨(dú)特的體系結(jié)構(gòu)和安全檢查，保證只有合法用戶的交易請求能通過特定的代理程序送至應(yīng)用服務(wù)器進(jìn)行后續(xù)處理。同時，用于交易服務(wù)器和銀行內(nèi)部網(wǎng)的分隔，有效保護(hù)銀行內(nèi)部網(wǎng)，同時防止內(nèi)部網(wǎng)對交易服務(wù)器的入侵。 為防止交易服務(wù)器受到攻擊， 銀行主要采取以下三方