计算机安全技术——网上银行安全

计算机平安技术计算机平安技术网上银行平安网上银行平安电电 子子 银银 行行 1 我国电子银行的建设与开展我国电子银行的建设与开展 中中国国第第一一家家上上网网银银行行是是中中国国银银行行()，成成立立时时间间是是1996年年下下半半年年。当当时时，中中国国银银行行就就已已经经认认识识到到因因特特网网是是未未来来银银行行赖赖以以进进行行客客户户效效劳劳的的最最好好的的物物质质根根底底，电电子子银银行行将将导导致致的的是是一一场场深深刻刻的的银银行行业业革革命命。上上网网初初期期，中中国国银银行行网网页页主主要要用用于于发发布布中中国国银银行行的的广广告告信信息息和和业业务务信信息息，进进行行全全球球范范围围的的通通信信(E-mail)。在在以以后后的的几几年年里里，中中国国银银行行逐逐步步开开展展了了家家庭庭银银行行、信信用卡、商业银行等网上业务。用卡、商业银行等网上业务。招商银行(:/)也是国内较早开展网上业务的银行。1997年2月，招商银行在因特网上推出了自己的主页及网上转账业务，在国内引起极大反响。在此根底上，招商银行又推出了“一网通网上业务，包括“企业银行、“个人银行和“网上支付三种效劳。该工程的推出，大大促进了招商银行的网站建设，树立了招商银行的网上形象，使招商银行在短短几年中成为国内网上银行的排头兵。自进入21世纪以来，网上银行的用户也象互联网一样成几何级数增长，2005年全国网上银行交易金额达60万亿元人民币。网上银行占银行全部业务的比重越来越高，交易替代率也在飞速增长。据悉，工商银行和招商银行网银的交易替代率均已超过25%，也就是说，有1/4的银行支付业务是通过网上完成的。2 电子银行的特点与主要业务电子银行的特点与主要业务电电子子银银行行，又又称称网网络络银银行行、虚虚拟拟银银行行，是是指指通通过过因因特特网网或或公公共共计计算算机机通通信信网网络络提提供供金金融融效效劳劳的的银银行行机机构构。电电子子银银行行业业务务是是指指“商商业业银银行行等等银银行行业业金金融融机机构构利利用用面面向向社社会会公公众众开开放放的的通通信信通通道道或或开开放放型型公公众众网网络络，以以及及银银行行为为特特定定自自助助效效劳劳设设施施或或客客户建立的专用网络，向客户提供的银行效劳。户建立的专用网络，向客户提供的银行效劳。网上银行具有以下特点(1)功能丰富。网上银行可以打破传统银行的部门局限，综合客户的多种需求，提供多种类型的金融效劳，如信用卡业务、储蓄业务、融资业务、投资业务、居家效劳、理财效劳、信息效劳等。(2)操作简单。客户使用网上银行效劳，只需到银行营业网点登记，填写有关表格。在使用中，网上银行以登录卡为主线，可为不同类型的账户申请不同功能，并可在线对各种账户的各项功能进行修改。(3)跨越时空。网上银行可以提供跨区域和全天候的效劳，即可以在任何时候、任何地点、以任何方式为客户提供金融效劳，超越了传统银行受时间、地点、人员等多方面的限制。(4)信息共享。网上银行通过因特网可以更广泛地收集和分析最新的金融信息，并以快捷便利的方式传递给网络银行客户。由于网络资源的全球共享性，使银行与客户之间都能相互全面了解对方的信用及资产状况，从而大大减少了信用风险和道德风险，降低传统银行业务的交易本钱。电子银行业务包括四个局部：(1)利用计算机和互联网开展的银行业务(简称网上银行业务)。(2)利用 等声讯设备和电信网络开展的银行业务(简称 银行业务)。(3)利用移动 和无线网络开展的银行业务(简称 银行业务)。(4)其他利用电子效劳设备和网络，由客户通过自助效劳方式完成金融交易的银行业务。图 电子银行运作的根本流程 4 支付网关支付网关支付网关是银行金融系统和因特网之间的接口，是由银行操作的、将因特网上的传输数据转换为金融机构内部数据的设备。支付网关也可以是指派的第三方支付平台，通过设在第三方支付平台的接口处理信息和顾客的支付指令。支付网关是网上银行的关键设备，离开了支付网关，电子银行的电子支付功能就无从实现。银行使用支付网关可以实现以下功能：(1)配置和安装Internet网络，实现支付。(2)防止对现有主机系统的修改。(3)采用直观的用户图形接口进行系统管理。(4)适应诸如扣账卡、电子支票、电子现金以及微电子支付等电子支付手段。(5)通过采用RSA公共密匙加密和SET协议，确保网络交易的平安性。(6)提供完整的商户支付处理功能，包括授权、数据捕获和结算、对帐等。(7)通过对Internet网上交易的报告和跟踪，对网上活动进行监视。(8)使Internet网络的支付处理过程与当前支付处理商的业务模式相符，确保商户信息管理上的一致性。5 电子银行的监管电子银行的监管 随随着着电电子子银银行行业业务务品品种种的的不不断断增增加加和和业业务务量量的的快快速速上上升升，电电子子银银行行业业务务的的经经营营风风险险也也随随之之扩扩大大。加加强强电电子子银银行行业业务务的的监监管管，进进一一步步增增强强商商业业银银行行开开展展电电子子银银行行业业务务的的风风险险控控制制能能力，就成为银行监管机构的一项重要任务。力，就成为银行监管机构的一项重要任务。5 第三方支付第三方支付 1 第三方支付第三方支付简介介第第三三方方支支付付机机构构是是最最近近几几年年出出现的的新新的的支支付付清清算算组织，它它是是为银行行业金金融融机机构构或或其其他他机机构构及及个个人人提提供供电子子支支付付指指令令交交换和和计算算的的法法人人组织。在在第第三三方方支支付付模模式式下下，支支付付者者必必须在在第第三三方方支支付付机机构构平平台台上上开开立立账户，向向第第三三方方支支付付机机构构平平台台提提供供信信用用卡卡信信息息或或账户信信息息，在在账户中中“充充值，通通过支支付付平平台台将将该账户中中的的虚虚拟资金金划划转到到收收款款人人的的账户，完完成成支支付付行行为。收收款款人人可以在需要可以在需要时将将账户中的中的资金金兑成成实体的体的银行存款。行存款。2 第三方支付流程第三方支付流程第第三三方方支支付付是是典典型型的的应应用用支支付付层层架架构构。提提供供第第三三方方支支付付效效劳劳的的商商家家往往往往都都会会在在自自己己的的产产品品中中参参加加一一些些具具有有自自身身特特色色的的内内容容。但但是是总总体体来来看看，其其支支付付流流程程都都是是付付款款人人提提出出付付款款授授权权后后，平平台台将将付付款款人人账账户户中中的的相相应应金金额额转转移移到到收收款款人人账账户户中中，并并要要求求其其发发货货。有有的的支支付付平平台台会会有有“担担保保业业务务，如如支支付付宝宝。担担保保业业务务是是指指将将付付款款人人将将要要支支付付的的金金额额暂暂时时存存放放于于支支付付平平台台的的账账户户中中，等等到到付付款款人人确确认认已已经经得得到到货货物物(或或者者效效劳劳)、或或在在某某段段时时间间内内没没有有提提出出拒拒绝绝付付款款的的要要求求，支支付付平平台台才才将将款款项项转转到收款人账户中。到收款人账户中。图 第三方支付平台结算支付流程 第三方平台结算支付模式的资金划拨是在平台内部进行的，此时划拨的是虚拟的资金。真正的实体资金还需要通过实际支付层来完成。图中各数字序号含义如下：(1)付款人将实体资金转移到支付平台的支付账户中。(2)付款人购置商品(或效劳)。(3)付款人发出支付授权，第三方平台将付款人账户中相应的资金转移到自己的账户中保管。(4)第三方平台告诉收款人已经收到货款，可以发货。(5)收款人完成发货许诺(或完成效劳)。(6)付款人确认可以付款。(7)第三方平台将临时保管的资金划拨到收款人账户中。(8)收款人可以将账户中的款项通过第三方平台和实际支付层的支付平台兑换成实体货币，也可以用于购置商品。3 第三方支付的优缺点第三方支付的优缺点第三方支付模式有如下优点：第三方支付模式有如下优点：(1)比比较较平平安安。信信用用卡卡信信息息或或账账户户信信息息仅仅需需要要告告知知第第三三方方支支付付机机构构，而而无无需需告告诉诉每每一一个个收收款款人人，大大大大减减少少了了信信用用卡卡信信息息和账户信息失密的风险。和账户信息失密的风险。(2)支支付付本本钱钱较较低低。第第三三方方支支付付机机构构集集中中了了大大量量的的电电子子小小额交易，形成规模效应，因而支付本钱较低。额交易，形成规模效应，因而支付本钱较低。(3)使用方便。对支付者而言，他所面对的是友好的界面，不必考虑背后复杂的技术操作过程。(4)第三方支付机构的支付担保业务可以在很大程度上保障付款人的利益。第三方支付模式同时也存在以下缺点：(1)这是一种虚拟支付层的支付模式，需要其他的“实际支付方式完成实际支付层的操作。(2)付款人的银行卡信息将暴露给第三方支付平台，如果这个第三方支付平台的信用度或者保密手段欠佳，将带给付款人相关风险。(3)第三方支付机构的法律地位尚缺乏规定，一旦该机构终结破产，消费者所购置的“电子货币可能成为破产债权，无法追回。(4)由于有大量资金存放在支付平台账户内，而第三方支付机构并非金融机构，所以存在资金存放的风险。6 加强引导，推动我国电子支付的快速开展加强引导，推动我国电子支付的快速开展 1.加强银行与客户之间关系的调整加强银行与客户之间关系的调整随随着着电电子子商商务务的的开开展展，作作为为银银行行向向客客户户提提供供的的新新型型金金融融效效劳劳产产品品，大大量量的的电电子子支支付付效效劳劳面面对对的的是是个个人人消消费费者者和和商商业业企企业业在在经经济济交交往往中中产产生生的的一一般般性性支支付付需需求求。这这类类电电子子支支付付参参与与主主体体众众多多，涉涉及及银银行行、客客户户、商商家家、系系统统开开发发商商、网网络络运运营营效效劳劳商商、认认证证效效劳劳提提供供机机构构等等。加加强强银银行行与与客客户户之之间间关关系系的的调调整整，才才能能营造电子支付应用的良好环境。营造电子支付应用的良好环境。2.高度重视电子支付的平安管理高度重视电子支付的平安管理平平安安性性是是电电子子支支付付的的重重中中之之重重。办办理理电电子子支支付付的的银银行行应应当当采取以下措施保证电子支付的平安：采取以下措施保证电子支付的平安：(1)采采用用符符合合有有关关规规定定的的信信息息平平安安标标准准、技技术术标标准准、业业务务标准。标准。(2)建建立立针针对对电电子子支支付付业业务务的的管管理理制制度度，采采取取适适当当的的内内部部制约机制。制约机制。(3)保保证证电电子子支支付付业业务务处处理理系系统统的的平平安安性性，以以及及数数据据信信息息资料的完整性、可靠性、平安性、不可抵赖性。资料的完整性、可靠性、平安性、不可抵赖性。(4)提倡银行和客户使用第三方认证，妥善保管密码、密钥等认证数据。(5)银行对客户的责任不因相关业务的外包关系而转移，并应与开展与电子支付业务相关的专业化效劳的机构签订协议，并确立综合性、持续性的程序，以管理其外包关系。(6)银行要建立电子支付业务运作重大事项报告制度，按有关法律法规披露电子支付交易信息，及时向有关部门报告电子支付业务经营过程中发生的危及平安的事项。3.加强电子支付信息的管理加强电子支付信息的管理电电子子支支付付是是通通过过开开放放的的网网络络来来实实现现的的，支支付付信信息息很很容容易易受受到到来来自自各各种种途途径径的的攻攻击击和和破破坏坏，信信息息的的泄泄露露和和受受损损直直接接威威胁胁到到企企业业和和用用户户的的切切身身利利益益，因因此此信信息息平平安安是是树树立立和和维维护护客客户户对对电电子交易信心的关键。子交易信心的关键。(1)银银行行在在物物理理上上保保证证电电子子支支付付业业务务处处理理系系统统的的设设计计和和运运行行能能够够防防止止电电子子支支付付交交易易数数据据在在传传送送、处处理理、存存储储、使使用用和和修修改正程中被泄露和篡改。改正程中被泄露和篡改。(2)银行应采取有效的内部控制措施为交易数据保密。(3)在法律法规许可和客户授权的范围内妥善保管和使用各种信息和交易资料。(4)必须按照会计档案要求保管电子支付交易数据。(5)提倡由合法的第三方认证机构提供认证效劳，以保证认证的公正性。(6)及时在境内完成境内发生的人民币电子支付交易信息处理及资金清算。网上银行平安保障安全网上银行安全网上银行公网局部公网局部内网局部内网局部平安风险分析网络窃听：在传输中获取银行卡号和密码网络钓鱼：登录到虚假的银行网站，在效劳器端丧失木马窃取：在终端丧失机密信息终端保护技术防病毒：各种木马，蠕虫等可能窃取你的银行帐号等秘密信息。口令保护：需要复杂的口令。动态软键盘采用动态软键盘技术初看确实能使攻击者无法截获密码，但是截取密码不仅仅只有接截获键盘记录一种方法，黑客们还可以通过IE的COM获取密码。对于中国建设银行和中国银行，通过IE的COM接口获取的密码框里的内容就是密码，其他大局部采用软键盘技术的网站大都也是这样。中国农业银行曾经也使用过这种平安方式，不过现在已经升级为Active X平安控件。终端保护技术Active X平安控件平安控件 防止了键盘防止了键盘/消息钩子，而且使通过消息钩子，而且使通过IE的的COM接接口获取密码的方法也无能为力，当控件安装完成口获取密码的方法也无能为力，当控件安装完成后用户才能见到网上银行的登陆界面。后用户才能见到网上银行的登陆界面。数字证书和数字证书和USB key 银行依用户的有效证件，如银行卡号、身份证号银行依用户的有效证件，如银行卡号、身份证号码等为依据，生成一个数字证书文件，配合用户码等为依据，生成一个数字证书文件，配合用户自定义的用户名和密码使用以提高平安性。自定义的用户名和密码使用以提高平安性。USB Key证书就是一种证书就是一种USB接口形式的硬件设接口形式的硬件设备，内置微型智能卡处理器，采用备，内置微型智能卡处理器，采用1024位非对位非对称密钥算法对网上数据进行加密、解密和数字签称密钥算法对网上数据进行加密、解密和数字签名，确保网上交易的保密性、真实性、完整性和名，确保网上交易的保密性、真实性、完整性和不可否认性。不可否认性。线路保护技术使用SSL传输层平安协议保障用户到银行的通信平安。效劳器端认证确保登录的网站是真正的网站，非假冒。URL地址输入正确：1cbc ,与中国工商银行网站,也只是1和I一字之差SSL连接时检查证书是否属实要一致双击翻开证书在支付的时候需要通过口令卡，或者USBkey认证才能进行支付，保障支付平安。定期查询详细交易 做好自己的交易日志，保证对自己的每一项有记录的交易印象深刻 银行业网络平安建议第一招：客户应核对网址。客户在登录网上银行时，最好要留意核对自己所登录的网址与自己和银行签订的协议书中的法定网址是否一致。第二招：客户应妥善保管好自己的密码。客户切不要把自己的出生日期、家庭 号码以及自己的身份证号码等作为密码，建议选择有代表性的数字和字母混合的方式设定密码，以提高密码破解的难度。第三招：客户应做好交易的记录。客户应对自己在网上银行办理的每一笔转账和支付交易等业务做好详细的记录，并定期查看自己的“历史交易明细和定期打印自己的网上交易业务对账单。第四招：客户应管好数字证书。客户应防止在公用的计算机上使用网络银行交易，以防止自己的数字证书等相关机密资料落入不法分子的手中，从而让自己的网上身份识别系统遭到不法分子的蓄意破坏，使自己的网上账户被他人盗用。银行业网络平安建议第五招：客户应对异常的动态提高警惕。假设客户不小心把自己的银行卡卡号和密码输入了陌生的网址上，并出现了类似于“系统维护等提示语，客户应立即拨打银行的客服热线进行确认，一旦发现自己的资料已经被盗，必须马上修改自己的相关密码并去银行进行银行卡挂失。第六招：客户应安装防病毒软件。银行客户应为自己使用的电脑安装防火墙和防病毒软件，并经常为自己的电脑升级。第七招：客户应堵住软件漏洞。为了能够更好地防止不法分子利用软件中的漏洞进入自己的计算机窃取资料，在使用网络银行、网络游戏时必须开启杀毒软件的实时监控，并启用个人防火墙，且杀毒软件必须经常升级，下载补丁程序。第八招：每次使用网上银行个人效劳后，请选择“退出登录选项退出，以防数字证书等机密资料落入他人之手。考试说明时间2021.6.16 15:30-17:10地点 7218 共 6道题类型简答题，分析题，论述题，名词解释考试内容包括病毒知识，漏洞分析，平安扫描，系统平安设置身份认证，网上银行密码学