网银安全缺陷与预防策略

网络银行（以下称网银）是由各银行为方便用户进行余额查询、交易查询、转账以及付款等操作而开通的网站［１］。网络银行也被称为“移动的银行营业厅”。截至目前，很多银行都已经开通了网银业务。各个银行的网银所提供的业务大同小异，但是其使用的安全技术却存在较大差异。中国银行、中国建设银行、中国工商银行和中国农业银行并称为四大国有银行，它们采取了不同的安全机制来保证用户资金的安全和网银业务的顺利进行［２］。

１网络银行现在使用的安全技术

１.１中国银行

中国银行推出２种网银产品，即查询版网银产品和动态口令牌网银产品。查询版网银只可对关联的账户进行资金查询和交易查询操作，功能有限但是非常安全；动态口令牌网银产品支持涉及资金变动的操作。

１.１.１中国银行的主要安全技术

中国银行主要采用动态口令牌的安全技术。动态口令牌是一种内置电源、密码生成芯片和显示屏、根据专门的算法自动更新动态口令的硬件，每６０秒随机更新一个密码。其使用方法十分简单，在登录网银或者转账时，用户只要根据提示输入动态口令牌当前显示的动态口令即可。在其他安全措施上，中国银行采用了短信登录、安全控件防范、短信提醒、预留“欢迎信息”以及交易限额控制等方法。从资金变动业务来看，中国银行使用三道身份认证来保证用户网银中的资金安全［３］。

（１）第一道身份认证。登录中国银行网银时使用的用户名和密码构成了第一道身份认证。用户名（６～２０位数字和英文字母）和密码（８～２０位数字和英文字母）是只有用户才能掌握的信息，用户名和密码不匹配则无法登录。

（２）第二道身份认证。若用户进行涉及资金变动操作的业务，则需选择“动态口令登录”，此时动态口令牌所显示的动态密码构成第二道身份认证要件。

（３）第三道身份认证。在用户使用中国网银进行转账时，网银会再次要求用户输入动态口令密码和交易密码，动态口令密码是随机产生的，交易密码是用户在银行柜台设定的，这次身份验证构成了账户安全的最后一道重要屏障。

１.１.２中国银行网银安全小结

中国银行网银安全小结内容见表１。

１.２中国建设银行

中国建设银行提供两种网银产品，即动态口令卡（区别于动态口令牌）网银产品和Ｕ盾网银产品，２种产品都能够进行资金变动业务［４］。中国建设银行不提供单纯查询版的网银产品。

１.２.１动态口令卡技术的网银产品

动态口令卡是在办理业务时，银行交给用户的密码口令卡。每张卡覆盖有３０个不同的密码，每次转账使用一个，按照次序进行。比如用户按次序使用第１２个密码时，只需刮开使用即可。然后数字证书配合动态口令卡，即可完成转账等涉及资金变动的操作。需要注意的是，这个动态密码不是随机产生的，而是已经“固定”下来了。动态口令卡使用２道身份认证来保证支付账户的资金安全。

（１）第一道身份认证。中国建设银行的身份证号码和密码认证构成了第一道身份认证。相对于银行账户和密码的登录方式，该方式更有利于增强用户的安全性。同时，登录界面使用图形键盘的方式输入密码，在一定程度上能够防范键盘记录木马的盗取。