從網(wǎng)絡(luò)安全角度剖析銀行卡的信息安全

智祥明 智少晨

（晉中職業(yè)技術(shù)學(xué)院 山西 030600）

0 引言

當(dāng)今高速網(wǎng)絡(luò)和無(wú)線網(wǎng)絡(luò)技術(shù)發(fā)展迅速，3G、4G網(wǎng)絡(luò)帶給人們更快更寬更方便的網(wǎng)絡(luò)連接，信息的傳輸更為快捷。每個(gè)流動(dòng)者著的人都在“保持連接”著，或用電話，或用短信，QQ或微信，網(wǎng)絡(luò)成為現(xiàn)代人離不開(kāi)的交流平臺(tái)。利用網(wǎng)絡(luò)人們可以相互快捷的發(fā)送各種形式的文件，可以使用銀行卡相互間快捷的付款或轉(zhuǎn)賬，但銀行卡的信息的安全問(wèn)題日益突出，樹(shù)立防范意識(shí)是解決問(wèn)題的關(guān)鍵。雖然信息在傳輸過(guò)程中采取了強(qiáng)度很高的加密手段，在措施制度上也進(jìn)行了規(guī)范和約束，但一旦出現(xiàn)問(wèn)題，會(huì)給我們普通人帶來(lái)很大的麻煩和不必要的損失。

1 設(shè)置安全密碼，并且常變常新

無(wú)論是網(wǎng)站注冊(cè)，還是使用銀行卡等，都需要設(shè)置密碼，密碼成為我們生活中非常重要的一個(gè)信息，同時(shí)他也代表我們的身份。但密碼的安全無(wú)時(shí)無(wú)刻不讓我們擔(dān)憂，一是怕密碼泄漏，二是怕忘記密碼。因此設(shè)置較為安全的密碼是我們每天要思考的問(wèn)題。

無(wú)論有線還是無(wú)線，傳送數(shù)據(jù)的安全方法就是加密。加密的方法很早就有。我國(guó)古代也早有用藏頭詩(shī)、藏尾詩(shī)、漏格詩(shī)及繪畫等形式的“密語(yǔ)”隱藏在詩(shī)文或畫卷中特定位置來(lái)表達(dá)的真正意思的記載，普通人只注意詩(shī)或畫的表面意境，而不去注意或很難發(fā)現(xiàn)隱藏其中的“話外之音”。比如：我畫藍(lán)江水悠悠，愛(ài)上晚亭楓葉愁。秋月溶溶照佛寺，香煙裊裊繞輕樓。這是明代唐伯虎的一首藏頭詩(shī)，意思是“我愛(ài)秋香”。這本身就是一種用加密的方法表達(dá)情感的例子。公元前51年初，羅馬共和國(guó)高盧行省長(zhǎng)叫儒略.凱撒，他發(fā)明了一種密表，在密碼學(xué)上稱為“凱撒密表”。實(shí)際是一種相當(dāng)簡(jiǎn)單的加密變換，就是把明文中的每一個(gè)字母用它在字母表上位置后面的第三個(gè)字母代替。這種方法簡(jiǎn)單實(shí)用，現(xiàn)在也可以用在我們的銀行卡等密碼的設(shè)置中。如黑客及一些不法分子很容易獲取我們的電話號(hào)碼及身份證號(hào)碼，而我們一般人喜歡用自己的這些相關(guān)信息作為密碼，因?yàn)檫@樣好記，可以減少因密碼忘記帶來(lái)的麻煩，但這樣又會(huì)帶來(lái)風(fēng)險(xiǎn)而失去了設(shè)置密碼的意義。因此，我們可以這樣做，如在我們的電話號(hào)碼上每一位都加上5或8。如出生年月為198003，每位加5取個(gè)位，就變成了643558，但完全沒(méi)有了出生年月的痕跡，而自己又很容易推出，這樣用來(lái)設(shè)置我們的密碼，好記又安全。這種方法能夠變化萬(wàn)千?？梢杂眉訙p乘除、指數(shù)對(duì)數(shù)三角函數(shù)、高等數(shù)學(xué)運(yùn)算或邏輯運(yùn)算等；還可以使用替代法，如1用23替代，2用89替代；再一種是順序置換，如按3157置換，將第三位變?yōu)榈谝晃?，第一位變?yōu)榈诙?；還可以用在網(wǎng)絡(luò)加密中使用的比較復(fù)雜柵欄矩陣加密技術(shù)等使得密碼更加難以猜測(cè)。

無(wú)論是哪一種加密算法，都是為了防止信息的泄漏，但有些算法現(xiàn)在己經(jīng)不是很安全，而且不法分子可以從其它渠道獲取密碼和其他的信息。如有許多的網(wǎng)站屬于釣魚網(wǎng)站，專門通過(guò)注冊(cè)來(lái)收集人們的密碼，所以在網(wǎng)站注冊(cè)設(shè)置密碼時(shí)還要注意，使用的密碼一般不要用在銀行卡等密碼的設(shè)置中。

2 加密方法在網(wǎng)絡(luò)中的應(yīng)用

網(wǎng)絡(luò)中傳輸數(shù)據(jù)時(shí)為了保證信息的安全，最重要的方法就是加密。我們使用的銀行卡密碼在網(wǎng)絡(luò)傳輸和認(rèn)證時(shí)是非常重要的一個(gè)元素，它會(huì)和銀行卡信息一起產(chǎn)生不同的網(wǎng)絡(luò)密鑰，所以我們有必要了解一些網(wǎng)絡(luò)加密的手段。如今由快速電子計(jì)算機(jī)和現(xiàn)代數(shù)學(xué)方法為加密技術(shù)提供了較為安全的方法和手段，可以使信息更加安全，如MD5加密方法、sha、aes、對(duì)稱和非對(duì)稱加密體制、安全認(rèn)證等都是為了保證我們的信息安全。

我們從最基本的 MD5加密了解一下加密的原理。在互聯(lián)網(wǎng)上下載文件時(shí)，我們看到有的下載提供 MD5校驗(yàn)碼。MD5是報(bào)文摘要算法，大家都知道，任何人都有自己獨(dú)一無(wú)二的指紋，與之類似，MD5就可以為任何文件（不管其大小、格式、數(shù)量）產(chǎn)生一個(gè)同樣獨(dú)一無(wú)二的“數(shù)字指紋”，無(wú)論什么原因?qū)ξ募隽巳魏胃膭?dòng)，其MD5值也就是對(duì)應(yīng)的“數(shù)字指紋”都會(huì)發(fā)生變化。MD5的加密過(guò)程是這樣的：將數(shù)據(jù)報(bào)文加以填充和報(bào)文長(zhǎng)度一起組合成為512的整數(shù)倍，每一個(gè)512位數(shù)據(jù)段和上一段運(yùn)算出的 128位結(jié)果進(jìn)行運(yùn)算，最后得出一個(gè) 128位的MD5值。第一個(gè)512位的數(shù)據(jù)段和4個(gè)32位共128位的初始向量進(jìn)行運(yùn)算。初始向量為四個(gè) 32位的字，分別是A=0x67452301UL；B=0xEFCDAB89UL；C=0x98BADCFEUL；D=0x10325476UL。因?yàn)閳?bào)文數(shù)據(jù)的每一位參加運(yùn)算，所以只要有一位發(fā)生改變，最后的值就會(huì)不同，因此可以有效地對(duì)數(shù)據(jù)的傳輸結(jié)果進(jìn)行驗(yàn)證。md5的主要用途是對(duì)報(bào)文的完整性檢測(cè)和數(shù)據(jù)發(fā)送者的身份驗(yàn)證。你可以將一個(gè)文件傳播給別人，文件在傳輸過(guò)程中一旦有任何內(nèi)容發(fā)生修改，接收者對(duì)這個(gè)文件重新計(jì)算MD5時(shí)就會(huì)發(fā)現(xiàn)（兩個(gè)MD5值不相同）。如果再有一個(gè)第三方的認(rèn)證機(jī)構(gòu)，用MD5還可以防止文件作者的“抵賴”，這就是所謂的數(shù)字簽名應(yīng)用。MD5的運(yùn)算可以說(shuō)是相當(dāng)復(fù)雜的，每一個(gè)512位數(shù)據(jù)段在和前一段128結(jié)果進(jìn)行運(yùn)算時(shí)，會(huì)再分成4個(gè)128位進(jìn)行四級(jí)共4*16次運(yùn)算，應(yīng)該講是相當(dāng)安全了。MD5在網(wǎng)絡(luò)上應(yīng)用相當(dāng)?shù)膹V泛，常用于操作系統(tǒng)的登陸認(rèn)證上，如Unix、各類 BSD系統(tǒng)登錄密碼、數(shù)字簽名等諸多方面，我們?cè)诰W(wǎng)站注冊(cè)使用的密碼在網(wǎng)站數(shù)據(jù)庫(kù)中保存時(shí)一般都是用MD5來(lái)加密的。除MD5以外，還有一種是sha-1，和md5很相似，都叫Hash算法，只不過(guò)運(yùn)算更加復(fù)雜。但目前這兩種算法都不是很安全，早在2004年我國(guó)山東大學(xué)的王小云教授就對(duì)包括MD5等加密算法進(jìn)行了破譯，2005年2月，王小云教授又破解了另一國(guó)際密碼SHA－1?，F(xiàn)在網(wǎng)上有許多MD5的破解工具，如果攻擊了數(shù)據(jù)庫(kù)，或網(wǎng)站管理員看到 MD5加密后的密文，就可以知道你的明文密碼。

3 銀行卡的安全機(jī)制

對(duì)于銀行卡密碼，由于種種原因，一般只采用6位純數(shù)字表示。但它在傳輸過(guò)程中不是單獨(dú)加密的，而是要和其他信息一起進(jìn)行hash運(yùn)算后再進(jìn)行加密后傳輸。但需要注意的是，銀行密碼即使 hash 或者 salt（所謂加Salt，就是加點(diǎn)“佐料”。其基本想法是這樣的——當(dāng)用戶首次提供密碼時(shí)，通常是注冊(cè)時(shí)，由系統(tǒng)自動(dòng)往這個(gè)密碼里撒一些“佐料”，然后再散列。）過(guò)，其安全程度也不是很高。銀行卡上的任何信息的泄漏都會(huì)給我們的資金帶來(lái)安全方面的隱患。特別是在網(wǎng)絡(luò)消費(fèi)和轉(zhuǎn)帳中，參與運(yùn)算的除密碼外，主要還有銀行卡的帳號(hào)以及有效期和背面數(shù)字串中的最后3位數(shù)字，這些信息只要接觸到銀行卡的人都可以看到。雖然數(shù)據(jù)在傳輸過(guò)程中，要用hash算法對(duì)信息進(jìn)行摘要并進(jìn)行更加復(fù)雜的加密，如采用三重DES、AES、公開(kāi)密鑰加密算法（RSA以及 Diffie-Hellman）等加密方法，但無(wú)論加密方法有多復(fù)雜，但根據(jù)Kerckhooff’s的原則，所有加密、解密的算法都是公開(kāi)的，保密的只是密鑰，所以密鑰的安全性才是非常重要的，因此銀行卡上的每一個(gè)信息我們都要特別注意保護(hù)。當(dāng)然銀行在數(shù)據(jù)傳輸時(shí)除通過(guò)算法的安全性來(lái)保密外，還要通過(guò)保密制度來(lái)提高安全性。

（1）銀行中只有極少數(shù)人能直接接觸到儲(chǔ)戶密碼（密文），而這些人的身份和操作全部會(huì)被記錄在案，就算離職，這些信息也不會(huì)被清除。

（2）涉及存儲(chǔ)及使用這些信息的電腦與網(wǎng)絡(luò)采取物理隔離，操作終端攝像頭全程監(jiān)控，操作者不可能抄下來(lái)向外透露出去。

（3）攻擊銀行或者金融機(jī)構(gòu)是屬于犯罪行為，所以公安會(huì)介入，刑罰上不封頂，最高死刑。

（4）銀行內(nèi)部預(yù)留部分資金以避免一但被竊無(wú)法追回后賠償儲(chǔ)戶。

（5）在使用銀行卡消費(fèi)時(shí)，如果輸入3次密碼都不對(duì)，銀行卡當(dāng)天就會(huì)被鎖住，不能繼續(xù)消費(fèi)，那么3次中能猜中一次的概率是1-（1-0.000001）3≈0.000003，就是百萬(wàn)分之3。

（6）再一種保證銀行卡安全的方法就是采用手機(jī)短信或密鑰動(dòng)態(tài)口令卡或者用U盾來(lái)保證安全。

即便如此，還是有不法分子可以得手?，F(xiàn)在儲(chǔ)蓄卡、信用卡都可以在網(wǎng)上消費(fèi)，pos機(jī)上消費(fèi)以及在ATM機(jī)上進(jìn)行轉(zhuǎn)帳，犯罪分子通過(guò)自制的刷卡設(shè)備可以盜取銀行卡信息，制出偽造卡，再通過(guò)攝像頭等手段盜取密碼，就可以盜刷銀行卡。所以我們?cè)谑褂勉y行卡消費(fèi)時(shí)要特別加心，不要在不正當(dāng)?shù)膱?chǎng)合使用銀行卡，刷卡不要讓銀行卡（包括信用卡）離開(kāi)視線，更不要隨便借于別人或讓別人保管；再一個(gè)就是必須經(jīng)常的更換密碼，才能保證卡的安全。

還有一個(gè)非常重要的設(shè)備是手機(jī)。現(xiàn)在銀行卡都綁定手機(jī)，但如果手機(jī)被別人拿上或遺失被別人撿到，特別是身邊的“有心人”，如果他知道你的銀行卡或身份證號(hào)碼，就可以通過(guò)電話修改銀行卡的密碼，如果取得銀行卡就可以進(jìn)行消費(fèi)。雖然最后公安機(jī)關(guān)可能會(huì)查實(shí)，但會(huì)給主人帶來(lái)很大的麻煩和不必要的損失。所以手機(jī)一定要隨身攜帶，不亂放，也不要隨意借人，一旦遺失，要立刻注銷手機(jī)帳號(hào)，并和相關(guān)銀行取得聯(lián)系，關(guān)閉卡的消費(fèi)。

現(xiàn)在網(wǎng)上支付還有一種快捷支付的方法，這種支付方法不需要核對(duì)銀行卡持有者的密碼，這些網(wǎng)站和機(jī)構(gòu)與銀行之間達(dá)成一種默契，會(huì)通過(guò)記錄持有者銀行帳號(hào)、身份證號(hào)以及卡的有效期、背后的3位數(shù)字來(lái)達(dá)到快捷支付的目的。雖然這種支付方式快捷方便，但因網(wǎng)站數(shù)據(jù)庫(kù)會(huì)記錄你的信息，而且可以達(dá)到支付的目的，實(shí)際上增加了銀行卡的安全風(fēng)險(xiǎn)。

4 通過(guò)無(wú)線設(shè)備使用銀行卡的安全防范

無(wú)線技術(shù)迅猛發(fā)展，人們采用手機(jī)或無(wú)線設(shè)備都可以進(jìn)行消費(fèi)或轉(zhuǎn)帳。但實(shí)際上無(wú)線網(wǎng)絡(luò)是最不安全的。在使用自己的無(wú)線Ap時(shí)一定要進(jìn)行安全設(shè)置。

（1）不要使用WEP密鑰，因?yàn)閃EP己經(jīng)證實(shí)很不安全，而WPA是繼承了WEP基本原理而又解決了WEP缺點(diǎn)的一種新技術(shù)。采用了更加安全的加密機(jī)制。

（2）不要在公開(kāi)場(chǎng)合的無(wú)線 Ap上使用銀行卡，因?yàn)檫@些Ap可能沒(méi)有加密，別人的無(wú)線設(shè)備很容易訪問(wèn)到你的無(wú)線設(shè)備，從而威脅你的信息安全。

銀行卡的信息安全與每一人息息相關(guān)，所以我們必須加倍小心，從各個(gè)渠道堵住漏洞，才能使我們的生活更加美好。

[1]沈鑫剡，計(jì)算機(jī)網(wǎng)絡(luò)安全[M].清華大學(xué)出版社，2009.

[2]段鋼，加密與解密[M].電子工業(yè)出版社，2008.

[3]周靖，安全技術(shù)大系[M].電子工業(yè)出版社，2004.

[4]閣明俊，銀行卡使用常識(shí)[M].中國(guó)財(cái)政經(jīng)濟(jì)出版社，2010.