打印本文 
关闭窗口 目前，我国的法律包括了国家有关主管部门对网上银行、网上电子支付所做的法律与规范。已颁布的《中国电子签名法》于2005年4月1日开始执行，它确定电子签名与手工签名和印章具有同等法律效力；人民银行发布的“电子支付指引（一）”指明，在网上银行的支付中不使用数字证书的客户每次一笔交易只限1000元；而银监会发布的“网上银行管理办法”规定了开通网上银行必须经过有效的评估和银监会的批准；此外，“证书认证管理规范”（CSP）规定了认证机构CA与其证书用户之间的责任和义务，是法律的补充、是CA管理运行的规范。但是，在数字化经济大发展、网上在线支付已成为电子商务发展瓶颈的今天，上述这些法律法规还远远不能满足客观的需求。如电子交易法的制定、会计法的修改、票据法的修改以及合同法的修改等等。
在技术保障方面，网络层安全防范具体措施规定了在网银的网络组成中，应在有关网段设置异构的多道防火墙，以防止外部的黑客攻击。不同的防火墙，具有不同安全阻断、过滤非授权攻击的防范机制，黑客即使攻破第一道防火墙，不一定能攻破第二道，不同的防火墙要合理地开放不同的接口，能有效地防止黑客程序的攻击；在设置安全路由器，以过滤辅助防火墙防止外部黑客程序的攻击；设置入侵检测装置IDS。IDS可以自动扫描系统的漏洞，扫描来自网络外部的攻击，并能自动杀毒或阻断某些攻击，它还可以对于某些黑客攻击程序提出报警，用户可以及时断开系统或启动杀毒程序；设置防黑客软件系统。现在，防止黑客攻击网站的程序已有很多，需要选择功能较强的产品，安置于网站服务器。它在一定程度上阻止了某些黑客程序的攻击和侵入。在网络层实施安全机制是网上银行安全防范的重点之一。
在网上银行的开办初期面向普通大众方便上网之时，这种简单的登录方式是一种较好的方式。但是，黑客们很快就摸清了银行的这种简单认证机制，黑客的“假冒通知”、“网上钓鱼”、“木马程序”、“快乐的耳朵”等等，其目标只有一个，即在网上窃取用户的口令，而且制造起来极为方便。为此，《金融时报》在2005年4月发表了题为《网上银行应取蒂大众版》、国家信息安全测评认证杂志2005年5月号发表了《加强网上银行的安全防范》——《向“大众版”说不》的文章。其目的就是要提醒银行和客户，不要再推出和使用不安全的“大众版”和“普通版”。
基于安全考虑，多家银行都采取了动态口令，以保证网上银行的交易安全。动态口令与传统的静态口令相比具有以下优势：一是动态性。用户的动态口令随设定的时间或事件等变量自动变化，无须人工干预，某一时刻产生的动态口令不能在其他时刻使用。二是一次性。任一时刻产生的动态口令在其失效前只能被用户使用一次，否则，系统将视其为非法行为而报警。三是随机性。动态口令是随机生成、无规律的。即使本次口令被窃听成功，也难以由此猜出下次的口令。四是多重安全性。用户的动态口令令牌产生的动态口令与用户名、静态口令等多因素结合实现多重认证。即使电子令牌丢失，用户仍可在应急状态下利用用户名和静态口令进行用户身份认证。而其他非法持有者，单靠令牌无法实现登录及认证。五是通用性。用户操作的客户端无需增加任何软件，只需在提示输入动态口令时键入当时令牌上显示的口令。在认证服务器端，采用PPP、RADIUS等标准协议实现被访问对象与认证服务器之间信息交换，可方便地在网络环境下实现身份认证。六是可管理性。（刮刮卡除外）统一的身份认证方式和动态口令生成方式，能大大减小在分发密码、支持服务、密码丢失、密码更改及身份管理等各个方面的开销和成本。基于以上静态密码的缺陷和动态口令的优势，银行在重要的网上银行系统的“大众版”应取消静态口令。
USBKey近几年有很大的进步和发展，有人称USBKey是对PKI的有力发展，它已基本做到了“傻瓜型”。如果想成为某商业银行的客户，只要登录银行网站，就会自动地将数字证书下载到客户的USBKey中。当客户进行网上银行时，只要将其插入USB口，输入PIN码，通过操作证书后进行网上认证和签名。其优点在于：一是安全可靠。证书和私钥不可被拷贝，加密签名在Key中进行，不暴露在内存中，黑客无法窃取客户私钥。二是签名。《电子签名法》规定，特别是对那些B2B大型企业的大额交易，必须使用USBKey证书的介质，以确保网上交易的安全。三是USBKey的价格与Token令牌相比稍贵，但寿命周期长，物理电气性能稳定。四是可实现交易的数字签名，具抵否认性和数据保密。虽然数字证书是网上身份的证明，但并不能作为“文件证书”存放在PC机的硬盘中，由此避免被黑客用木马程序窃取，即用即插，用完收存。
PKI是在网上银行系统的应用层进行的安全防范，是目前网上银行交易安全防范最有力的措施保证。PKI的核心执行机构是认证中心CA，核心元素是数字证书。它由第三方CA所签发，其作用是实现网络中数据加密的传输，负责交易数据的数字签名以及网上身份的证明，是虚拟世界的身份证。
证书的存放介质在国家GB/T《信息安全技术公钥基础设施 签名生成应用程序的安全要求》中明确规定：证书只能存放在USB Key、IC卡以及PCMCIA令牌中，否则以文件证书形式存放是不安全的，更不能存放在硬、软盘中。这种证书的存放方式，已引起多起交易安全的欺诈事件。银行在推荐证书介质时，特别是对那些企业大客户和VIP客户，一定要推荐USBKEY 或IC卡，只有这样才能确保证书使用安全，才能符合《电子签名法》规定。那些交易量小的、按银监会和人民银行规定的小额（每次不超过1000元）的用户，可以考虑使用或不使用文件证书，也可以使用如OTP令牌等一次性口令。
正确使用数字签名，确实能保障网上银行交易双方的安全，特别是对客户方的安全有较高的保证。数字签名的作用主要是提供在网络上传输、处理、交易实体的身份，保障数据的完整性、保密性和不可抵赖性。如果接收方数字签名验证成功，就符合国家《电子签名法》中第十三条可靠电子签名的条件。规定中要求，制作电子签名时，签名私钥必须由电子签名人自己控制，不能被他人窃取并利用；签署后对电子签名的任何改动能够被发现。也就是说，原文一旦做了签名，是不能做任何改动的。在网上银行的交易中，接收方一旦对交易数据和信息进行了签名，如果改动是会被发现的。特别是针对B2B或VIP客户的大额交易，必须采用数字证书，以确保交易安全可靠性。当然，此时的证书介质一定要安装在USBKEY中。即插即用，以防“伪造”和“劫持”签名。在网上银行的认证和交易中只要做到可靠的数字签名，才能使电子签名具有与手写签名或者盖章同等的效力。
打印本文 关闭窗口