網(wǎng)銀客戶賬號高級認證分析

賴瑞龍

?

網(wǎng)銀客戶賬號高級認證分析

賴瑞龍

福建省經(jīng)濟信息中心

如何保障客戶的帳號安全是網(wǎng)銀系統(tǒng)面臨的一個重點技術(shù)課題，鑒于目前網(wǎng)絡(luò)不法分子所采用的各種竊取網(wǎng)銀賬號信息的手段進行分析，行業(yè)專家認為只有增加輔助認證設(shè)備，如手機短信、動態(tài)密碼鎖、USB Key等硬件認證才可以真正保證網(wǎng)銀帳號的安全，該文就此對當前主流網(wǎng)銀帳號的高級安全認證技術(shù)進行討論。

網(wǎng)絡(luò)銀行 帳號安全 認證分析

中國的網(wǎng)銀自起步以來，這種全新的銀行服務(wù)使客戶可以不受時空的限制，只要能夠上網(wǎng)，都可以安全便捷地管理自己的資產(chǎn)和享受到銀行的服務(wù)，受到了普遍的歡迎，并且普及率不斷提高。但多年以來，關(guān)于網(wǎng)銀發(fā)生騙盜的事件時有發(fā)生，不法分子通過竊取客戶的卡號和密碼，大量盜竊資金和冒用消費，使得銀行在推廣網(wǎng)銀上面臨非常巨大的風險，解決問題的根本是提高網(wǎng)銀的安全性能。目前網(wǎng)銀出現(xiàn)的安全問題一部分是由于客戶本身的安全意識不強造成，這里暫不做此類討論，本文的假設(shè)是所有不帶有身份認證令牌硬件設(shè)備的網(wǎng)銀系統(tǒng)都是不安全的。這些系統(tǒng)包括各種無證書的網(wǎng)銀，以及一些所謂的軟證書“專業(yè)版”，因為他們從本質(zhì)上來講，所有的運行代碼都是在電腦內(nèi)存中運行的，客戶所有的操作都有可能被木馬所截獲，從理論上講，黑客完全可以偽造客戶進行系統(tǒng)登錄。因此，真正意義上只有脫離客戶的電腦系統(tǒng)，使用獨立的身份認證硬件設(shè)備，才能構(gòu)造出安全的網(wǎng)銀系統(tǒng)。下面就如何構(gòu)造這種高級的安全認證的網(wǎng)銀系統(tǒng)來分類討論：

1 手機網(wǎng)銀短信驗證碼

手機網(wǎng)銀短信驗證碼服務(wù)是網(wǎng)銀登錄時服務(wù)器通過借助現(xiàn)在移動通訊服務(wù)商的平臺，通過協(xié)商的接口生成一次性的驗證碼，然后借助移動通迅服務(wù)商以短信形式發(fā)送的一次性驗證碼給客戶認證。

手機短信驗證碼，在各大電子商務(wù)平臺上已經(jīng)得到廣泛的使用，只有持有手機終端的合法客戶才能看到本驗證碼，所以只要密碼驗證通過，系統(tǒng)就可以認為該客戶的身份是可靠的。而客戶每次使用的密碼都不相同，即使黑客截獲了一次密碼，也無法利用這個密碼來仿冒合法客戶的身份，因為下一次登錄必須使用重新獲取一個短信驗證碼。

黑客要想破解客戶密碼，要從物理上獲得客戶的手機終端，這種竊取手機方式風險高，針對普通客戶還是相當適用的，這完全區(qū)別于普通網(wǎng)絡(luò)平臺的木馬竊取技術(shù)，在網(wǎng)銀實際應(yīng)用還要考慮成本，目前手機是比較普及的，這一方面的硬件成本幾乎可以省略，只需要銀行和移動通訊服務(wù)商做好接口協(xié)議即可，因此，通過手機短信驗證碼技術(shù)在各行各業(yè)都得到了越來越多的實際應(yīng)用。手機短信認證存在的一個缺點是，手機短信無線信號還是祼露未加密的，如果黑客潛入客戶附近，采用監(jiān)聽無線信號監(jiān)聽器方式捕獲，仍然是不安全的。

2 動態(tài)密碼鎖認證技術(shù)

動態(tài)密碼通常稱為一次性密碼，指客戶的密碼按照時間或使用次數(shù)不斷動態(tài)變化，每個密碼只使用一次。動態(tài)密碼采用一種稱之為動態(tài)令牌的專用硬件，內(nèi)置電源、密碼生成芯片和顯示屏，其中數(shù)字鍵用于輸入客戶PIN碼，顯示屏用于顯示一次性密碼。每次輸入正確的PIN碼，都可以得到一個當前可用的一次性動態(tài)密碼。

這種產(chǎn)品的密碼生成芯片運行專門的密碼算法，根據(jù)當前時間以及使用次數(shù)生成當前密碼并顯示在顯示屏上。認證服務(wù)器采用相同的算法計算當前的有效密碼。由于每次使用的密碼必須由動態(tài)令牌來產(chǎn)生，只有合法客戶才持有該硬件，所以只要密碼驗證通過，系統(tǒng)就可以認為該客戶的身份是可靠的。而客戶每次使用的密碼都不相同，即使黑客截獲了一次密碼，也無法利用這個密碼來仿冒合法客戶的身份，因為下一次登錄必須使用另外一個動態(tài)密碼。動態(tài)密碼鎖系統(tǒng)需要兩個密碼要素，一個要素是靜態(tài)PIN碼，由客戶自行設(shè)置、保管。另一個要素是動態(tài)密碼，由密碼令牌動態(tài)生成，不可預(yù)測，并且與后臺服務(wù)器的接入控制保持同步，由后臺服務(wù)器進行檢驗。因此，客戶必需輸入正確的靜態(tài)PIN碼和動態(tài)密碼，才能通過身份認證。

動態(tài)密碼技術(shù)可以完美解決客戶端客戶的安全性問題，因為黑客無論使用什么方法，也無法方便地竊取客戶的密碼，即使黑客竊取了一次密碼也無法登錄使用。從技術(shù)上講，動態(tài)密碼技術(shù)是比較完美的方案，然而可惜的是，動態(tài)密碼鎖的成本過高，大部分成本都高于100元，不利于大規(guī)模使用。中國目前有一些銀行采用了此法的變形，如中國工商銀行推出的使用一種文字卡片類型的所謂動態(tài)密碼卡，也是用來實現(xiàn)較為原始的動態(tài)密碼技術(shù)。實際上，這種低成本的卡片具有的缺陷是非常明顯的，卡片內(nèi)容極易被復(fù)制，且沒有保護PIN碼，別人偷盜或者復(fù)制這張卡片即可冒名登錄，其安全性遠不及真正的動態(tài)密碼鎖身份認證系統(tǒng)。另外，動態(tài)密碼技術(shù)也有一個安全隱患，就是服務(wù)器端的安全性。動態(tài)密碼的本質(zhì)是單鑰加密，密鑰只有一個。在服務(wù)器端的認證系統(tǒng)里，可以計算出所有動態(tài)密碼，因此黑客如果將精力放在破解銀行認證服務(wù)器系統(tǒng)，那么還是有可能對銀行系統(tǒng)造成一定安全威脅，另外這個系統(tǒng)也依賴于網(wǎng)銀的管理員，網(wǎng)銀的管理員可以在服務(wù)器端修改動態(tài)密碼鎖的規(guī)則，也具有一定的安全隱患。

3 USB Key認證技術(shù)

USB Key是當前銀行業(yè)推出網(wǎng)銀主流的認證技術(shù)，和單鑰的動態(tài)密碼鎖不同的是，USB Key采用雙鑰加密的認證模式，USB Key是一種USB接口的硬件設(shè)備，外形如同U盤。它內(nèi)置單片機或智能卡芯片，有一定的存儲空間，可以存儲客戶的私鑰以及數(shù)字證書，利用USB Key內(nèi)置的非對稱算法實現(xiàn)對客戶身份的認證。由于客戶私鑰保存在密碼鎖中，理論上使用任何方式都無法讀取，因此保證了客戶認證的安全性。

USB Key的硬件和PIN碼構(gòu)成了可以使用證書的兩個必要因素。如果客戶PIN碼被泄漏，只要USB Key本身不被盜用即安全。黑客如果想要通過破解加密狗的方法破解USB Key，除非能先得到客戶手中USB Key的物理硬件。另外，USB Key的一個最重要的優(yōu)點就是成本低廉，很利于大規(guī)模普及應(yīng)用。USB Key目前在網(wǎng)上銀行應(yīng)用十分廣泛，例如大家看到工行的U盾、還有其它銀行優(yōu)KEY等都是這種產(chǎn)品。另外，為了增加銀行與客戶雙方的相互信任程度，有的引入第三方的CA認證機制又是原有USB Key技術(shù)的一個提升，如興業(yè)銀行推出的興業(yè)網(wǎng)盾，采用基于PKI體系第三方數(shù)字證書認證獨立于交易雙方的任何一方，因此更具有權(quán)威性和公正性，能有效保障網(wǎng)上交易雙方身份的真實性、交易的私密性和不可否認性。

USB Key的使用方法是，當?shù)卿浘W(wǎng)銀系統(tǒng)的時候，在電腦上插入USB Key，然后輸入PIN碼，如果驗證通過，則可以進行相關(guān)交易。這種加密方式使用了雙鑰加密，私鑰安全地保存在Key中，在網(wǎng)絡(luò)應(yīng)用的環(huán)境下，可以更安全，彌補了動態(tài)密碼鎖單鑰加密的一些缺陷。然而，USB Key雖然在一些地方優(yōu)于動態(tài)密碼技術(shù)，但是實際使用中卻有一些動態(tài)密碼所沒有的安全性問題，這個安全問題主要在于客戶端而不是服務(wù)器，由于PIN碼是在客戶電腦上輸入的，因此黑客依然可以通過程序截獲客戶PIN碼，如果客戶不及時取走USB Key，那么黑客可以通過截獲的PIN碼來取得虛假認證，仍然存在安全隱患。而動態(tài)密碼鎖使用隨機的一次性密碼，不存在這樣的問題。

4 綜述

對于上述三種硬件輔助的認證方法的改進就是采用各項技術(shù)結(jié)合于一體的認證技術(shù)，優(yōu)勢互補，如動態(tài)密碼卡加上短信驗證碼結(jié)合技術(shù)，還有改造現(xiàn)有的USB Key，增加輸入鍵，使其PIN碼可以在USB Key上輸入，這樣就不會被電腦上的木馬攔截，或通過手機驗證碼動態(tài)生成其PIN碼等。還有一種更理想的安全模式，是將這兩種加密方式結(jié)合在一起，USB Key的PIN碼使用動態(tài)密碼生成，這樣兩種加密鎖結(jié)合在一起，服務(wù)器端和客戶端的安全性就都得到了保障。黑客截取的PIN碼是一次性的，而網(wǎng)銀管理員無法獲得USB Key的客戶密碼進行身份驗證。這樣的網(wǎng)銀帳號系統(tǒng)，其安全性就非常高了。

[1] 帥青紅. 電子支付結(jié)算系統(tǒng)[M]. 成都: 西南財經(jīng)大學出版社，2006.

[2] 張峰. 網(wǎng)絡(luò)銀行[M]. 北京: 清華大學出版社，2008.

[3] 周虹. 電子支付與網(wǎng)絡(luò)銀行[M]. 北京: 中國人民大學出版社，2006.