网上银行安全支付问题探究



网上银行安全支付问题探究

关伟哲1，郭万春2

（1.长春金融高等专科学校计算机系，吉林长春130028；2.长春金融高等专科学校培训中心，吉林长春130028）

［摘要］社会经济的发展，特别是电子商务以及银行业务的不断拓展，对银行业务的快速、便捷、方便等方面都提出了新的要求。在传统的商业银行运营模式下，顾客到银行办理业务往往需要等待较长时间，银行需要投入大量的人力、财力进行网点建设，却又很难保证客户的整体满意度，所以网上银行逐渐成为人们办理金融业务的新选择。在这种大环境下，特别是伴随着互联网技术以及互联网终端设备的发展和普及，网上银行如同雨后春笋般发展起来，其业务覆盖范围和业务量也在逐日飙升。网上银行的发展为人们的日常生活提供了便利，但与此同时也出现了一系列问题，其中最关键的就是网上银行安全支付问题。因此，提出有针对性的安全措施，促进国内网上银行支付业务更为安全、有序、科学地开展，尤为重要。

［关键词］网上银行；电子商务；安全支付；流程；安全措施

一、网上银行的发展

网上银行的发展最早可以追溯到上世纪末，当时在美国出现了世界上第一家网上银行，这是一个里程碑式的起点。从1995年开始，网上银行伴随着互联网的发展在全世界逐渐普及开来。在网上银行创立的初期，网上银行因有着区别于传统银行的特点而被冠之以“3A银行”的名字。之所以如此称呼，是因为网上银行相对于一般传统银行有三大特点，同时也是传统银行所无法比拟的三大优势，即在任何时间、任何地点、任何形式都能够实现传统银行所能提供的大多数基本业务，特别是金融服务。

随着世界上第一家网上银行的出现，网上银行作为一种银行业务和金融服务的大趋势很快席卷全球，特别是网上银行的支付业务，为广大用户提供了更加方便、快捷的金融服务，无论是余额查询、存款、取款、转账、支付，还是信用卡还款、各种缴费等业务，网上银行都可以完成，并且支付的方法和手段也不复杂，因此迅速获得了很大的市场占有量和交易份额。但是，就在网上银行获得快速发展的同时，由于其业务实现的方式和媒介是日益广泛覆盖的互联网，因此，网上银行在为客户提供支付便利的同时也存在着难以避免的交易中的安全隐患。其原因在于网上银行的业务都是通过开放式互联网展开的，而开放式的特点，一方面用户可以自由利用，另一方面不法攻击者也可以利用开放式互联网对网上银行的各种交易活动进行不法攻击，或者通过在互联网上进行欺诈的方式达到自己的不法目的。近些年来，网上银行无论是覆盖范围还是交易额度都在与日俱增，网上银行的支付过程更是吸引了越来越多不法分子的关注，网上银行的安全问题，特别是支付安全的问题亟待解决。

二、网上银行安全支付问题分析

（一）网上支付系统的一般流程

网上银行支付分6个步骤：①用户进入网上银行官方网站、网址，访问网上银行；②输入用户名、密码，登陆网上银行；③开启转账业务，输入转账卡号、支付密码；④支付系统服务器接收转账信息，并根据具体交易方式制定反馈信息，要求用户确认；⑤用户核查信息属实，确认消息，支付系统执行交易；⑥支付系统将消息详情再次反馈给用户，用做交易凭证。

（二）支付系统的攻击手段

1.虚假网址访问欺骗

支付过程从一开始就存在安全隐患，首当其冲的是网上银行用户的银行卡账号和密码，这是最简单也是最直接造成损失的方式。更重要的是，这一阶段的安全防护是最难以完备的，因为除了应采取网上银行本身的安全措施，用户自身的安全意识也尤为重要，而这点恰恰是许多用户所欠缺的。用户访问网上银行时，也容易受到被称为“钓鱼网站”的网络欺诈。攻击者一般利用各种手段，如垃圾邮件攻击、跨站脚本攻击等方法，诱导用户点击仿冒真实网站的URL地址来骗取用户的银行或信用卡账号、密码等重要信息。［1］这种攻击方式非常简单，可以通过发送大量垃圾邮件如广告宣传、虚假中奖信息等实现。由于这种攻击的技术含量和实现代价均较低，因此成为现在网上银行产生安全问题最多的地方。通过这种攻击，攻击者可以掌握大量用户的登录名和密码，使用户的大量私人信息遭到泄漏。目前，网上银行一般采取的安全机制是首先强制用户将登录密码和交易密码设定为不同值，然后采取“预留信息验证”的方式，让用户在开通网上银行初期预设部分私有信息显示于登录成功的页面。若用户登陆了钓鱼网站，必然看不到预设的信息，此时用户可以立即登录合法网站修改登录密码或者致电银行暂时封锁账户。

2.键盘输入记录风险

网上银行在确定用户交易信息时，会要求用户输入用户名和密码，不法分子可利用这一输入步骤，通过键盘记忆程序窃取用户按键信息，获得用户相关交易信息。对键盘记录程序进行分析可知，该程序的主要攻击点在用户密码输入、支付密码确认两部分，利用日志、消息、键盘等选项，过滤、窃取键盘录入信息。由此可见，键盘输入记录风险很大，一旦键盘程序被攻破，攻击者会很容易窃取到用户的密码。目前，大部分网上银行已认识到这一风险，并改用了“软键盘输入”程序，随时、及时过滤键盘输入记录，以减少攻击者进入键盘程序的机会。但是，由于这种“防盗”技术仍不完善，网上银行对用户安全信息的保护能力普遍低下，用户的支付安全依旧很难保证。

3.篡改签名数据

密码是决定交易安全的核心要素。然而，在网上银行支付系统中，密码信号传输的交易环境却并不安全，客户端、服务器端都能利用通信系统窃取密码，即便密码拥有保障机制保护，也很难实现安全传输。［2］攻击者会利用数字证书、数字签名机制，将密码信息保存、隐藏起来，通过智能处理，篡改签名数据，使密码在用户未同意的情况下发生改变。如此一来，攻击者便可自行设置用户密码，擅自执行交易行为。篡改签名数据在以智能卡为核心密钥的网上银行客户端交易系统中极为常见，因为每个用户的私钥都藏在智能卡中，所以，一旦攻击者了解了智能卡的数字签证模式，便可进入设备硬件，任意更改用户密码。同时，网上银行的安全问题还是影响网上银行业务的进行和拓展的一个重要指标和因素。无论网上银行多么便捷，但是它毕竟属于新兴业务，相对于传统银行面对面的现金交易，网上银行的支付方式不能不让用户担心其安全问题，因此，安全问题的保证也是用户选择不同商业银行网上银行的一个标准。

三、网上银行支付的安全措施分析

（一）识别虚假网站

在互联网时代，虚假网站、钓鱼网站比比皆是，对此如果仅仅依靠网络管理和网上银行自身的安全措施显然是不够的。特别是本身并没有很强的攻击性，但是一旦陷入其中就容易上当受骗的虚假网站和钓鱼网站来说，更需要广大用户自身有足够的辨识力，才能够有效地避免可以避免的损失。［3］最简单也最直接的办法就是用户通过设置黑白名单以达到“御敌于国门之外”的效果。这种办法几乎所有的用户都能够轻松操作。但是这种方法也存在着局限性，即由于现在不法网站多如牛毛，黑名单的辨识能力不能保证无懈可击，甚至会出现一些错误的辨识，而白名单的辨识能力更是有限，有时可能会出现不必要的交易误会。所以，还需要用辅助性办法达到对不法网站的有效识别，例如：基于网址单词意义与形状，自动从目标字符串中生成一组与之类似的字符串，作为用户黑名单中的记录。因此，可将钓鱼网站的网址分为前缀＋关键字＋后缀的组合，利用软件模拟生成一系列可能是钓鱼网站网址的字符串。这种方法可以减少对黑名单的收集工作。此外，还可以利用“编辑距离算法”判断两个域名地址字符串之间的距离，以该原理为技术核心，系统可轻松过滤、检验出存在安全风险的虚假网站和危险网址。同时，“编辑距离算法”还能总结、分析出网址在区域环境下的字符串变化，如果网站被植入病毒，那么用户在访问时便会出现一连串不规则的“字符变化”，依靠现有网络安全技术，可轻松筛选出“不规则”的字符序列，发出警示信号，提醒用户已进入了危险网站。

（二）抵抗部分键盘记录的设计

针对攻击者通过将木马注入客户端记录用户键盘输入的攻击方式，网络设计人员可以设置与之相配合的驱动程序，利用“派遣函数”解决插入病毒的影响。例如：创建与用户按键程序相关联的扫描码，使其可以将用户密码信息直接传送到网上银行的ActiveX控件上，再由网上银行驱动程序翻译用户密码，最后生成最终的密码信息。如此一来，用户键盘输入的信息在攻击者眼里便成了一堆“乱码”，无任何窃取价值，不能在网上银行正常使用，而网上银行认定的信息会随着随机生成的扫描码，传达给网络银行的ActiveX控件。此外，即便攻击者利用键盘过滤驱动插件，找到了用户密码的“扫描码”，网上银行依然可以通过秘密口令，证实“密码交易”请求是否出自用户本意。如果攻击者不完全了解用户交易习惯、交易方式，就很难成功盗取用户密码信息，促成隐匿交易行为。

（三）抵抗交易劫持

为了抵抗交易劫持的攻击模式，很多网上银行的安全机制设定用户在输入密码时使用软键盘或在客户端强制安装防木马的键盘驱动软件扫描程序等。部分在线交易在确认信息中加入了多因子认证技术，如将交易密码设置成动态密码（包括电子口令卡、手机动态密码、安全密码器等）。这些技术均在一定程度上保护了网上银行的安全，其原理均是加入人工干预。为保证用户在网上银行的支付行为能够安全、可靠、高效地进行，网上银行创设了诸多“安全机制”来抵御攻击。［4］上文提到，与网络安全技术相当，“网络犯罪技术”也在“与时俱进”地发展着，所以，要想从根本上杜绝风险交易，降低攻击者非法侵入网上银行支付系统的犯罪几率，必须不断完善安全系统，以先进安全技术为核心，组建无漏洞、无风险、无间接伤害的安全系统模型，具体内容包括：1.用户交易密码安全。不要以明文形式构建密码，用户的交易密码需由网上银行支付系统的智能卡的按键端输入，解除用户键盘输入对用户密码编辑、传输、处理的主导功能，如此，出现在客户端设备的用户密码将会更加安全、完整地保存在网上银行的数据库中，免除窃取、盗用风险。2.增设随机算子。用户的交易行为在网络银行支付系统中是动态变化的，为迎合这一交易环境，可在安全设计方案中增设随机算子，以其为交易指标、凭据，随机校验、核查用户名、密码等重要信息。每次交易时，随机算子的参与模式、内容都会不同，这样可使得用户在输入用户名、密码等信息时，拥有了“随机应变”的权利，其信息安全得以有效保护。3.改变交易信息确认方式。服务器向用户客户端发送的确认信息很容易被盗取、滥用，这也是“手机认证”、“短信诈骗”等交易安全事故频发的根本原因。为此，网上银行支付系统需增加人工干预程序，以人工管理、控制、确认模式，提高信息确认交易步骤的安全性。

综上所述，作为传统银行业务的发展和延伸，网上银行业务在互联网时代无疑有着强大的生命力和发展前景。特别是网上银行支付业务的范围和领域不断增加，对于网上银行的发展有很强的促进作用。我们在充分享受网上银行所带来的便利的同时，也需要充分意识到网上银行的安全性问题，要想真正获得安全，唯一的办法就是将安全意识与安全保障完美结合，才能真正实现网上银行支付业务的安全保障。

参考文献：

［1］陈少湧，张晓光，王东宇.网上银行安全、银行责任与法律监管制度的问题研究［J］.法制与社会，2013，（1）：188－189.

［2］张丽娜，阎文斌.网上银行安全支付问题研究［J］.计算机工程与科学，2013，（6）：72－77.

［3］陈廷勇，戚爽.我国网上银行安全问题分析与对策探讨［J］.长春金融高等专科学校学报，2013，（3）：58－60.

［4］唐祯祯.网上银行的安全保障义务研究［J］.河北大学学报（社会科学版），2014，（23）：109－122.

［责任编辑：王帅］

Research on Online Payment Security

GUAN Wei-zhe1,GUO Wan-chun2

(1.Department of Computer，Changchun Finance College, Changchun 130028,China; 2. Department of Training Center, Changchun Finance College, Changchun 130028, China)

Abstract：With the social economic development, especially the electronic commerce and the expanding of the banking business, the characteristics of the banking business fast, convenient, convenient and has put forward the new requirements. In the traditional commercial banking operation mode, the customer to the bank for business often have to wait a long time, the banks on the one hand, need to invest a lot of manpower, financial resources for network construction, on the other hand, it is difficult to guarantee the overall customer satisfaction, so the bank on the net has gradually become a new choice for the financial business people. In this environment, especially with the development of internet technology, the internet and the popularization of terminal equipment, internet banking development business coverage and business volume has soared in the daily. So it should put forward safety measures to make the domestic internet bank payment business for safer, orderly, scientific promotion.

Key words：internet banking; electronic commerce; safe payment process; procedure; safety measures

［作者简介］关伟哲（1980－），女，满族，辽宁沈阳人，长春金融高等专科学校计算机系讲师。

［文章编号］1671－6671（2015）01－0033－04

［收稿日期］2014－10－25

［文献标识码］A

［中图分类号］F830.49