网上银行系统安全问题及技术防范措施

      网上银行是利用互联网为其产品、服务和信息的业务渠道，向其零售和公司客户提供服务的银行。我国网上银行发展始于1996年，目前几乎所有银行都建立了自己的网上银行系统，由于网上银行与传统银行柜台服务相比突破了时间、空间限制，用户使用方便，近年来网上银行业务发展迅速，调查显示，2009年,全国城镇人口中,个人网银用户的比例为20.9％,2008年个人网银用户的比例为18.9％。全国企业网银用户的比例为40.5％。在网银用户量进一步攀升的同时,用户使用网银的活跃度也在迅速提升。2009年在个人用户方面,活动用户人均每月使用网银5.6次,2008年为5次; 企业用户方面的月使用频率则更高。2009年,平均每家活动用户使用网银的次数从10.3次增长到11.3次。在网银高速增长的同时,安全性一直是其发展的瓶颈和被关注的焦点。事实上，与传统的柜台银行相比，网上银行面临着更大的安全运行风险，遭受层出不穷的网上银行犯罪行为和网银攻击的困扰。安全性是影响网银用户体验的最重要因素之一。

一、     网上银行安全问题

虽然目前，各家商业银行对网银的安全保障措施手段逐步重视,并逐步增加投入,从公安部联合掌握的数据来看,这几年网银方面的案件正逐年下降。但是，可以说，到目前为止，还没有哪家网上银行敢宣称自己的网银系统已固若金汤，相反，随着互联网技术的发展，计算机病毒侵袭、网络诈骗、黑客攻击等手段日新月异不断发生改变，使网上银行信息安全面临着更严峻的考验。总的来看，网上银行面临的安全问题有：

1、          计算机病毒木马

调查发现，计算机病毒木马对信息网络安全的威胁越来越突出。未修补系统安全漏洞仍然是导致安全事件发生的最主要原因。根据国家计算机病毒应急处理中心病毒样本库的统计，2009年新增病毒样本299万个，是2008年新增病毒数的3.2倍，其中木马程序巨量增加。截至2009年底，木马样本共 330万多个，占病毒木马样本总数的72.9%，而2008年这一比例只有54%；2009年发现新增木马246万多个，是2008年新增木马的5.5 倍。同时，通过跟踪监测和研究分析表明，当前，计算机病毒木马本土化趋势加剧，变种速度更快、变化更多，潜伏性和隐蔽性增强、识别更难，与防病毒软件的对抗能力更强，攻击目标明确，趋利目的明显。因此，计算机用户账号密码被盗现象日益增多。

2、          网络黑客攻击

近年来，国内网上银行客户资金被窃事件屡屡发生。黑客们利用网页病毒、木马病毒、恶意代码等手段窃取客户账户信息，或通过网络支付、网上转账等形式窃取资金，成为了黑客敛财的新途径，也成为了网银交易的安全隐患。尤其是，当前众多的黑客工具与软件的出现，同时黑客培训的便利性，使得进入黑客的门槛大大降低，黑客不再是网络高手的代名词，发起网络攻击并不需要太高的技术含量，只要一些懂网络技术的人结合大量的资源联合起来便可发动，造成黑客攻击频度日益提升。

3、          网络诈骗

随着安全技术水平的不断提高，一些常见的网络黑客手段和计算机病毒木马越来越难以侵入网络系统，不法分子就采用技术水平要求较低的网络诈骗手段，骗取用户的账号、密码、盗取客户资金。美国联邦调查局指出，最近网上银行诈骗以及非法自动票据电子转账的数量激增，到去年年底这种犯罪已经导致中小型企业损失近一亿美元。目前常见的网上银行诈骗有：一是冒充银行网站，进行网上“钓鱼”，骗取用户账号密码；二是利用网友聊天、发短信等手段套取信息；三是冒充银行，以系统升级等名义诱骗不知情的用户的账号、网上银行登录密码、支付密码等敏感信息。

二、     网上银行的安全技术防范措施

为促进网上银行业务健康发展，有效增强网上银行系统的信息安全防范能力，日前，中国人民银行向银行业金融机构发布了《网上银行系统信息安全通用规范（试行）》。该规范涉及网上银行系统的技术、管理和业务运作三个方面，涵盖了网上银行的安全防范的主要措施，其中，安全技术主要包括客户端、网络通信和网上银行服务器端的安全；安全管理主要包括组织结构、管理制度、人员及文档管理和系统运行管理安全；业务运作安全主要涵盖网上银行业务开通、业务安全交易机制、用户安全教育。这三部分并不是孤立的，而是相互渗透、穿插，互为补充。在实际工作中，个人网上银行需要有效地将各个部分统筹考虑，使各相关部门能互相沟通、协调、配合，授权并落实故障点责任人，共同完成个人网上银行安全管理的目标。

限于篇幅，下面从客户端、通信网络和网上银行服务器端方面，仅描述安全技术防范措施：

1）网上银行系统客户端不具备或不完全具备专用金融交易设备的可信通讯能力、可信输出能力、可信存储能力和可信计算能力，因此需要辅助安全设备，通过接受、减轻、规避及其转移策略来应对交易风险。辅助安全设备主要有：数字证书、动态口令和静态密码三类。客户端安全涉及的技术有防恶意程序密码探测、安全客户端控件、多次重复提交控制、页面缓存控制等技术。

2）网上银行通信网络的最大特点是其开放性，开放性带来的优点是交易成本的降低和交易便利性的提高，但同时交易易受到安全威胁及通讯稳定性降低。网络安全要求保障交易数据安全，个人网上银行各业务的完成主要基于互联网的传输，互联网的开放性决定了其传输安全的脆弱性， 需要保证数据传输的机密性、完整性；其次保证系统强的抗攻击性。网络层安全手段包括安全区域的合理划分，为实现网络层安全而实施的防火墙、SSL通讯安全、入侵检测、流量检测、访问控制等安全技术。

3）网上银行服务器端用于提供网上银行应用服务和核心业务处理，充分利用各种先进的物理安全技术、主机安全技术、数据库安全技术、密码技术、系统漏洞检测技术以及黑客跟踪等技术，保护服务器上各种受用户信息、及系统资源。

需要指出的是，目前，由于网络层面通过加密、证书认证等可以有效地将窃听者和伪造者拒之门外，使得网络较少受到攻击。同时，近年来各家银行为了保证网银安全，服务器端的安全级别已经很高，不会轻易被直接攻破。当前客户端日益成为网银安全最薄弱的环节，成为网银大盗们青睐的攻击对象。