1、 双密码控制，并设定了密码安全强度 253.6 交易限额控制 273.7 信息提示，增加透明度 283.8 客户端密码安全检测 28第四章 对建行网上银行面临安全问题的建议 284.1 法律法规 284.2 网络安全 294.3 信用体制 294.4 人才培养 30致 谢 1参考文献 - 0 -摘 要网络银行作为21世纪一种新兴的金融业,其低廉的成本和广阔的前景,已越来越得到人们的重视。伴随着信息化、数字化和网络化的发展浪潮，网上银行不断地高速发展，功能不断地完善，业务量不断地迅速增加，我国越来越多的金融机构开始加快网上银行建设步伐。建设银行在这一过程中走在了全国各大银行的前面，发展较快。但是
2、网上银行的发展很大程度上受“安全”这个问题制约。本文试图全面分析建设银行网上银行存在的安全问题及对这些问题进行分析。本文首先分析了建设银行网上银行安全问题分析；其次对建设银行网上银行目前采用的安全措施进行了分析；最后对建行网上银行面临安全问题给出、法律法规、网络安全、信用体制、人才培养方面的建议。关键词：网上银行，安全策略，安全分析第一章 网上银行的概念与特点1.1 网上银行的概念网上银行，是指金融机构利用互联网技术向客户提供信息查询、网上支付、投资理财等金融服务，能够使客户不受时间和空间的限制，便捷地享受到金融机构提供的服务。网上银行有两个层次的含义：一个是机构概念，是指通过信息网络开办业务
3、的银行，也叫“虚拟银行”，它没有实际柜台作支持，没有分支机构和营业网点；另一个是业务概念，是指在现有传统银行基础上，通过互联网向客户提供金融服务，也就是银行服务在互联网上的延伸，这是目前网上银行主要存在方式，本文网上银行概念即是此类。20世纪90年代，网上银行凭借低成本、个性化的服务以及突破传统银行在时间和空间上限制等优点，在全球范围内掀起了一阵发展热潮。1.2 网上银行的特点网上银行的特征可概括为5W：实现为任何人（whoever）在任何时间（whenever）和任何地点（wherever）与任何账户（whomever）用任何方式（Run下创建：“svch0st.exe”=%System%s
4、vch0st.exetaskmgr.exe= ”。（3）窃取个人网上银行信息。病毒运行后检查IE窗口标题栏，判定当前窗口是否为网上银行的登录页面，涉及到国内多家银行的网上交易系统。一旦发现当前IE窗口为上述银行的登录页面，病毒立即开始记录键盘输入的所有键值，记录的键值几乎包括了所有可能的键盘录入。窃取的用户信息包括网上银行的账号、密码、验证码等。 （4）发送窃取信息到指定地址。病毒截获被感染计算机所输入的键盘值后，将其窃取到的信息发送到指定的地址。原理：木马程序 ，非主动传播，主要通过用户在浏览某些网页或点击一些不明连接及打开不明邮件附件等操作时，间接感染用户电脑。解决办法：终止病毒进程svc
5、h0st.exe 。注册表修复。删除病毒释放的文件配置防火墙和边界路由器 。2.4.2 客户端被黑客木马攻击有些网银客户习惯将数字证书保存在软、硬盘中，而一旦系统中了木马，黑客很容易将证书、银行账号和密码一起拷走，使客户蒙受经济损失。冰河，国产木马，有G_Client.exe，G_server.exe二个文件。客户端界面：具体功能：（1）自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入，即在同步被控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕（局域网适用）。（2）记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现过的口令信息。（3）获取系
6、统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据。（4）限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制。（5）远程文件操作：包括创建、上传、下载、复制、删除文件或目录、文件压缩、快速浏览文本文件、远程打开文件（提供了四中不同的打开方式正常方式、最大化、最小化和隐藏方式）等多项文件操作功能。（6）注册表操作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能。（7）发送信息：以四种常用图标向被控端发送简短信息。（8）点对点通讯：以聊天室形式同被控端进行在线交谈。2.
7、4.3 客户端进入仿冒网站不法分子以垃圾邮件的形式大量发送欺诈性邮件，这些邮件多以中奖、顾问、对账等内容，或是以银行账号被冻结、银行系统升级等各种理由，要求收件人点击邮件上的链接地址，登录一个酷似银行网页的界面，而用户一旦在这个指定的登录界面输入了自己的卡（账）号、密码等，这些信息就会被窃取。 近期建行发现，不法分子以所谓 “某银行网络安全科”的名义，向客户发送电子邮件，谎称持卡人账户被冻结，并要求客户到指定的网页修改密码。用户登录页面过程中很容易被“网络钓鱼”。黑客常常诱骗用户登录到酷似银行官网的虚假网站并输入认证信息，从而间接获取用户认证信息。2005年2月28日，网友小姚在一个名为“利好
8、交易网”的网站上，点击进入了某银行网上支付系统，他在输入了自己的卡号和密码后却无法登录。好在小姚及时地发现这个某银行网站和去年被媒体所曝光的那个假网站非常相似，并迅速赶往附近的工行，取出卡里的大部分钱，只留下71元。几个小时后，当小姚再次查询余额时，发现卡里除了仅有的1元钱外，其他的70元钱早已不翼而飞。不法分子克隆一个与银行网站一模一样的网页，并且使用的登录地址也与银行网站的地址非常接近，然后使用一些电脑病毒程序、垃圾软件等将假网站地址发送到客户的电脑上，或放在搜索网站上诱骗客户登录，以窃取客户卡号、密码等信息。 如某行曾经发现的“”、“”、“”等假网站，与某行网站地址“”、“”十分相似。第
9、三章 建设银行网上银行目前采用的安全措施分析各个银行硬件的结构及基于硬件的安全防范大同小异，为了让建设银行网上银行客户能安全、放心地使用网上银行，建设银行网上银行建行制定了八大安全策略，以全面保护客户权益及资金的安全。3.1 网上银行短信服务中国建设银行网上银行提供了从登陆、查询、交易、直到退出的每一个环节的短信提示服务，客户只要开通了短信服务，定制个性化的服务功能，就可以直接通过网上银行捆绑其手机，随时掌握网上银行使用情况，了解资金账户的信息。中国建设银行网上银行短信服务的开通过程：（1）登录网上银行后，进入“安全中心”菜单，选择“短信服务”下的“短信提示设置”。 （2）选择短信提示功能项；
10、 （3）选择“同意”后，点击“获取确认码”，建行将会把确认码发到您所输入的手机上； （4）输入确认码； （5）点击“确认”如果您的手机号码更换了，您需要进入“安全中心”下的“短信服务”中，选择“撤销短信服务”，输入您开通短信服务时建行发送给您的确认码。如果该确认码您已经忘记，可以点击“重发确认码”获取新的确认码，然后输入此新确认码。点击“确认”后，您的短信服务将撤销。更改手机号码必须凭身份证及账户介质（卡或折）到建行网点办理。建行网上银行提供了从登陆、查询、交易、直到退出的每一个环节的短信提醒服务，您可以直接通过网上银行捆绑其手机，随时掌握网上银行使用情况。3.2 加强证书存贮安全建设银行网上
11、银行系统支持网银盾证书功能。网银盾具有安全性、移动性、使用的方便性，在推广网银盾证书的时候，考虑到客户的需求，在网银盾款式、附加功能上进行了创新。网银盾是指建设银行向客户提供的类似于U盘的“电子证书存储器”。 网银盾是一个具备USB接口，具有一定的存储空间，用以存储用户（网上银行客户）数字证书，实现对用户身份认证和交易信息加密的硬件设备，常称USBkey（网银盾是建设银行USBkey品牌，工商银行的USBkey品牌叫U盾，农业银行叫K宝）。图1所示。图1 建行网银盾图例建行网上银行系统可支持USBkey网银盾证书功能。网银盾预先存储电子证书、无需专门安装驱动软件。由于网银盾能够确保网上交易的保
12、密性、真实性、完整性和不可否认性。因此，可以全面保护您的账户信息与网上资金交易的安全，是您进行网上银行业务的安全产品。3.2.1 网银盾的使用特点（1）无驱无软、预制证书，真正做到即插即用。（2）国内领先的安全保障，使您远 离黑客、木马病毒。（3）进行网上银行业务的最佳选择。（4）使用完毕后立即拔出，不要长期插在电脑上。3.2.2 网银盾的办理流程 客户携带本人有效身份证件、账户介质（龙卡、存折）到建设银行网点申请使用建行网银盾。网银盾的办理流程如图2所示。图2 网银盾的办理流程动态口令卡建行网上银行除了向客户提供证书保护模式外，还推出了动态口令卡，可以免除了您携带证书和使用证书的不便，动态口
13、令卡样式轻小、安全性高。建行网上银行除了向客户提供“网银盾”外，还推出了动态口令卡。动态口令是一种动态密码技术，简单地说，就是客户每次在网上银行进行资金交易时使用不同的密码，进行交易确认。动态口令卡可以免除了您携带证书和使用证书的不便，动态口令卡样式轻小、安全性高。建设银行推出的网上银行动态口令卡是一种大小、形状与银行卡一样的卡片（如图4-5-10所示），俗称刮刮卡。每张卡片覆盖有30个不同的密码，客户在使用网上银行办理账务类交易时，需要输入交易密码时，只需按顺序输入刮刮卡上的密码即可，每个密码只可以使用一次。3.3.1 动态口令卡的使用特点（1）一次一密、安全可靠。长期以来，客户为自己设置的
14、银行账户或其他密码均为静态密码，且进行密码设置时存在一种惯性。为了便于记忆，经常使用位数少、简单，或有规律的静态密码，这样的密码容易被犯罪分子破解，而设置位数多、复杂的静态密码并经常更换，又很容易造成密码混乱或遗忘的情况。相比之下，动态口令一次一密的方法，克服了静态密码的上述缺点，不需客户设置、记忆，每次都使用新的密码，彻底解决了一些不法分子利用“木马”病毒窃取网上银行密码的问题，客户从此可以放心无忧地使用网上银行。（2）操作简单、方便快捷。动态口令的生成与客户电脑无关，不需要在客户的电脑上安装任何程序，无需记忆复杂的口令。客户只需要使用银行提供的刮刮卡，并按照提示进行操作即可，过程简单，使用
15、方便。（3）技术成熟、应用广泛。动态口令技术经过二十多年的发展，已经相当成熟，在国外网上银行的使用也有六年多的时间，尤其是在网上银行业务较发达的北欧地区，动态口令的使用十分普及。建行此次首推的动态口令应用于网上银行后，必将在国内掀起新一轮网上应用快速发展的浪潮。（4）量身定做、便于携带。建设银行率先在国内银行业推出的刮刮卡，是专门针对网上银行个人客户的需要设计开发的，外表和银行卡一样大小，便于客户携带。每张刮刮卡上印有30个密码，按照客户平均每月办理2-3次网上银行资金交易计算，一张卡可以满足客户一年的使用需求。今后，建设银行还将陆续为客户推出其它载体形式的动态口令，给客户以更多、更好的选择。
16、3.3.2 动态口令卡的证书下载（1）签约后首次登录建设银行网上银行时，系统提示下载证书，见下图，输入手机接收的短信验证码，证书存储介质栏中选择“本机硬盘（中级加密）”，然后点击“下一步”按钮，如图4-5-11所示。图4-5-11 （2）弹出确认是否下载证书的提示，点击“是（Y）”即可。 （3）提示证书安装成功，点击“完成”，然后可以进行正常的登录操作。3.3.3 动态口令卡的使用当您第一次购买动态口令卡后，登录网上银行，进入“安全中心” 菜单，选择 “动态口令”，系统会显示动态口令卡登记页面。请输入两次动态口令卡号、卡的第一道动态口令密码及您的交易密码，点击 “确认”，即登记成功。以后每次登
17、录网银做交易时依次使用卡上的密码。动态口令卡的操作如下：（1）登录网上银行后，进入活期转账汇款页面，输入转账信息，点击“下一步”，如图4-5-12所示。图4-5-12（2）确认转账信息无误后，按提示输入动态口令密码，点击“确认” （3）选择证书 （4）系统将返回“交易成功”页面。（1）您的动态口令卡一旦登记成功，原交易密码将不能使用。您若想重新使用交易密码，需使用网上银行中的恢复静态密码功能切换； （2）动态口令卡的最后一道口令只能在换卡和恢复静态交易密码时使用，不能作为资金交易使用。（3）若用动态口令卡最后一端密码换卡失败，此时您的网上银行交易功能已被冻结，请到建行营业网点办理换卡。3.3.
18、4动态口令卡的更换补办 动态口令卡的密码用完后，可在网上银行自助更换一张新的动态口令卡。（1）自助更换流程 进入“安全中心”菜单，选择“动态口令”； 点击“用户自助换卡”； 输入新卡卡号、新卡的第一道动态口令卡密码、旧卡的当前口令卡密码；点击“确认”。如图4-5-15所示。图4-5-15 建行动态口令卡自助更换流程 （2）在柜台更换补办流程 如果动态口令卡丢失、损坏或由于其他原因无法在网上银行自助换卡，可携带本人有效身份证件、一张已签约网上银行的账户资料（龙卡、存折），到建设银行储蓄网点申请更换补办。3. 4 先进技术的保障 中国建设银行网上银行系统采用了严格的安全性设计，通过密码校验、CA证
19、书、SSL（加密套接字层协议）加密和服务器方的反黑客软件等多种方式来保证客户信息安全。 双密码控制，并设定了密码安全强度网上银行系统采取登录密码和交易密码两种控制，并对密码错误次数进行了限制，超出限制次数，使用者当日即无法进行登录。在您首次登录网上银行时，系统将引导您设置交易密码，并对密码强度进行了检测，拒绝使用简单密码，有利于提高您使用账户的安全性。在系统登录时，建们为您提供了附加码和密码小键盘等服务，避免泄露您的信息。 为进一步增强网上银行交易的安全性，提升客户体验，建行近期推出了个人网上银行新版动态口令卡。新版动态口令卡重新设计了卡样，选取以建行蓝为标志的图案，美观醒目；制卡工艺由创新技
20、术的低碳纸代替了旧版的PVC材料，起到了环保效应，并增强了柔韧性，从而使动态口令卡客户可以更便捷地使用网上银行。3.5.1 动态口令建设银行推出的网上银行动态口令卡是一种大小、形状与银行卡一样的卡片，俗称刮刮卡。每张卡片覆盖有100个不同的密码，客户在使用网上银行的过程中，需要输入交易密码时，只需按顺序输入动态口令卡上的密码即可，每个密码只可以成功使用一次。3.5.2 动态口令业务特色（1）一次一密、安全可靠新版动态口令卡重点针对大众客户（如学生、工薪青年等），具有一次一密、成本低廉、易用性强等多种优势，具有较大的市场推广空间。动态口令一次一密的方法，克服了静态密码简单、有规律的缺点，无需客户
21、设置、记忆，每次都使用新的密码，安全可靠。（2）操作简单、方便快捷客户无需记忆复杂的静态密码，只需要使用建行提供的动态口令卡，并按照提示进行操作即可，过程简单，使用方便。（3）技术成熟、应用广泛动态口令技术经过多年的发展，已非常成熟，在国内外的网上银行业务应用中已十分普及。（4）量身定做、便于携带建行使用的动态口令卡，是专门针对客户的需要设计开发的，外表和银行卡一样大小，便于客户携带。每张动态口令卡上印有100个密码，按照客户平均每月办理3-5次网上银行资金交易计算，一张卡最长可以满足客户将近三年的使用需求。3.5.3 动态口令客户操作流程（一）动态口令卡客户首次登录个人网银1、如果您已在建行
22、办理个人网上银行业务签约，预留手机号码，并申领动态口令卡的客户。请您：登录个人网上银行，点击首次登录的“第一步：设置网上银行登录密码”。如图：2、输入在柜台开通网银时的“证件号码”和“ ”，点击登录。3、输入您在柜台开通网银所使用的“账户取款密码”，点击下一步。4、设置网银登录密码并进行确认。5、登录密码设置成功，点击下一步下载证书。6、输入签约手机时接收到的短信验证码，选择证书存储介质和证书设置。系统默认私钥不可导出，您也可以选择私钥可导出，点击下一步。7、证书下载完毕，您需要记录证书编号用于网银资金交易，证书超过有效期需要更换证书。点击“关闭”可关闭网页，点击“登录网银”可直接链接到网银登
23、录页面。3.5.4 动态口令卡客户进行网银资金交易（以活期转账为例）1、登录个人网银，选择“转账汇款”项下的“活期转账汇款”，输入收款人 、收款人账号和转账金额，点击下一步。2、输入系统提示的动态口令卡口令，输入5位红色数字附加码，点击确定，并在弹出的对话框中选择正确的证书。3、活期转账交易成功。3.5.5 动态口令卡补办及更换操作流程动态口令卡的密码用完后，用户可选择在柜台补办新的动态口令卡，或选择根据网银提示在网上银行自助更换一张新的动态口令卡。（1）在柜台申领及补办新的动态口令卡如果动态口令卡丢失、损坏或由于其他原因无法在网上银行自助换卡，可携带本人有效身份证件、一张已签约网上银行的账户
24、资料（龙卡、存折），到建设银行储蓄网点申请更换。更换成功后可登录个人网银办理业务。（2）在线更换动态口令卡3.6 交易限额控制网上银行系统对各类资金交易均设定了交易限额，以进一步保证您账户资金的安全。网上银行系统对各类资金交易均设定了交易限额，以进一步保证客户资金的安全。如表1，为中国建设银行网上银行交易限额表：3.7 信息提示，增加透明度在网上银行操作过程中，您提交的交易信息及各类出错信息都会清晰地显示在浏览器屏幕上，让您清楚地了解该笔交易的详细信息。 在转账交易要求您输入转账交易附加码，并提示您核实转账信息。3.8 客户端密码安全检测建行网上银行系统提供了对您的客户端密码安全检测，能自动评
25、估您设置的网上银行密码安全程度，并给予您必要的风险警告，有助于提高您在使用网上银行时的安全性。第四章 对建行网上银行面临安全问题的建议目前，绝大部分开通了网上银行业务的商业银行都采用了由权威统一的信息安全认证机构中国金融认证中心（CFCA）发放的数字证书，中国建设银行网上银行也已具备。这种合法的、由第三方CFCA提供的安全认证，对于保障网上银行安全、保障交易各方的合法权益起到至关重要的重要。同时，建设银行也要着力防范电子银行系统的安全风险，要对可能产生系统风险的各种环境及技术条件严格监管，特别是对使用的系统软件和应用软件要进行严格测试、审核，确保网络银行支付系统的安全运行。近年来中国互联网业务
26、有较快的发展，但总的来说还很薄弱，建行网上银行的发展主要存在法律法规不健全、网络安全隐患多、信用体制缺失和网络人才匮乏等问题。银行电子商务的长期发展需要加快基础社会环境建设，这就需要政府的引导和全社会努力的双重作用来完成。4.1 法律法规首先，有必要建立规范完善的一整套电子商务的法律体系以及从中央到地方的银行电子商务法规条例，专门规范高新电子技术、网络技术，传统生产、销售等商务和金融资金流动的结合环节的经济行为，内容应涉及认证中心，数字签名、电子合同的法律效力、电子票据的合法性、信息安全、网上企业管理、隐私权与知识产权保护、电子银行业务的市场准入，及网上交易的经济纠纷处理规程等法律问题，另外,
27、国家还应逐步完善票据法、银行卡业务管理办法等其他金融相关立法，为电子商务和电子银行业务的发展创造良好的法律环境11。4.2 网络安全建立和规范安全认证体系。资金在网上划拨，安全性是最大问题，发展网上银行业务，大量经济信息在网上传递。而在以网上支付为核心的网络银行，电子商务最核心的部分包括ca认证在内的电子支付流程。国内不少银行都在做网络银行业务，但都因为法律、管理等方面的原因，最后只能实行局限交易，也就是说国内目前的网络银行还不能算真正的网络银行，只有真正建立起国家金融权威认证中心（ca）系统，才能为网上支付提供法律保障。目前中国金融ca工程已正式启动，商业银行及有关金融机构进行电子商务的网上
28、相关法规必须研究制度，逐步为网络银行的发展创造一个良好的法律环境。建立统一的支付网络体系，解决跨行结算体系。支付网关连接消费者、商家和银行，是商业银行系统与公共网络联系的桥梁，由于历史的原因，建国国有银行资金平衡能力脆弱，超负荷经营态势严重，直接制约了银行内控机制的建立和资产负债比例管理的实施，而这一问题的症结，在于银行系统内不同行之间结算资金和资金收付而引起的债权债务的清算方式，为了彻底改革这种传统的联行业务体制，必须尽快建立资金汇划清算系统的高速公路，而建立这种支付网关，需要选择与各商业银行既紧密联系又权威性、公正性，又可按市场化运作的第三方机构进行建设，可由中国人民银行牵头，建立会员制机
29、构。建立健全自身的网络安全系统。随着网上银行业务发展，必然出现很多金融业务创新，也必将涉及到现行金融管理体制和政策的空白点或禁区。同时计算机及计算机网络系统极易遭受黑客和病毒的袭击，内部技术和操作故障都难以避免，而由此产生的损失则因涉及到网络交易方面的条款还不健全，各方的合法权益难以得到保障。在网络环境下，银行业一些传统业务的风险将被放大，使银行面临的风险更大。因此，银行应尽快建立计算机网络的安全体系，不仅包括防范计算机犯罪、防病毒、防黑客，还应包括各类电脑识别系统的防护系统。以及防止自然灾害恶意侵入，人为破坏，金融诈骗等各类因素。4.3 信用体制大力推进信息化、网络化建设。扩大网上银行的生存空间，电子商务与网上银行的发展空间取决于信息基础设施的规模的水平，信息终端以及信息知识的普及程度。因此，要加强网络信息基础建设，尽快普及计算机及网络知识。现阶段必须提高认识，增强紧迫感，如果落后三五年，今后可能差之千里，必须进一步推广应用网上银行成果，使国民通过感性认识，感觉到网上银行发展对建国信息化、自动化、现代化的优势，感受到网上银行对于促进国民经济发展的重大作用，感知到网上银行迅速发展没商量，通过教育、培训等方式提高国民素质，更新理财观念，大力发展互联网业务，提高银行体系网络化水平，这是推动网上银行发展的前提，也是当务之急。结合信贷登记系统和存款实名制，建立和完善社会信用体系。要
