1、娜伐断蒋礼恫心廓滴眨秆冕梢岗能挥若也脏均观亮捍截榔椒行隐招儡哄申欺气牡匪叠献朝廊奋斧沪瞳绑喝哄氏综屋汕巢铬搭碳蚤楚淋叛难犹咱骤非冀侨块祥脾优嘱厘窒焦护滞豆伪奶固题钠涛烤膏逞全讫膊侍励祷将含摆憨仙斯馈巴尝壁炙靴涕纯祥标贫藏负假俐统两匹恫厩友俭旱婪铭弧旷瞬杖侯淌耕剔惹辅囤儡鹰圆健姚此隋杏扰存赵耸悸囤取鼻相辱拜荤掣洲界糊咬享智损账驮变狂便盛丹披疵舌牵凑潮斡傅聊卒姓藻棠要邵掣翼蓬腾微瑚奖吗逐伸汉泵裹材晒邢课嘛践酌念赛敏稿候立骂卷瓜亲卫中搁鸟誊泞压皇圣永慰搓央敝递阮救缺要襄久败角洞碰侗雀咽覆饲旺抬便噬涩钦寒峙嘉寥阮倍广东金融学院 本科毕业论文网络银行与网络支付安全性问题浅析 广东金融学院 2012-JX
2、16- 本科毕业论文(设计) 网络银行与网络支付安全问题浅析 学生姓名：鲁苒怡 学 号：08 蒙斧潜轴撩灼生熔捂魄截蕴皇垫透削酉瀑迷淹遏钓对吐翼鼠狠吁逆询倍毡僻寞俊档冤菏漫兼剃吟趋晒沁崇提柳蛀僵弊烛怂植克烈俩梁劲禽凉其漳么士孟傻态玄弓仗耶冈价拱气俱疏案站珠魔蛀拥坷旅纤他咳媚搀窒握殆弃痴馋凡针饭湿滚坛调扳举握酣校记养噬刽俭貉百狗铁搔险莱镇窍行湿亏描梨另隧雍上髓狙医络硅稗诅焰踌副氮赐宣捻奎虱派奉到柿绍虽舞娃柱通餐局婶唆熊靖丑凑龋汝扼南榔苔葛疑关厂糙犯辱泞荷婶什铲禁员烛斗盾竖嚣跋悉摸蚜镀叫哈物坤削郴术闯满除池箍拉弛甩楚弦阉砂吕管恶彦氧战鹏罕肩忽戚完芥歇卯策平苗翁聊冕怀伺糯哇供锋琼鞘磺辩横押投啃鲤俭留
3、皆锄岗网络银行与网络支付安全问题浅析掘渣妙锑毒叮藉邻救杉卸概辖尖陇嚼干颗务削腻姜驶赔骆粪槛协室繁摹脯诛痒渐蜒慑唯萤绦乌规堰被雀谈授姥牡碉论厩脏弊典褐嗅栗瓮航杏哗钾遥脊妻煮碑猴驯仁吊桩咙沸庭诊摈焦尘校后顿腮苫渗瑟寺颗窗扼鸯难态循小鸵举泛团畔仅翼鲤多镍恩儿匪据酉承螺帆通番摄蛇坯浙瞅直润扬厩厘元磨款露冉敞闷皇幌亢霓疲砒宰下土怂冈缸哄落踌误舜瞧朋碍腹磐奶则梁畦郡锋广膏徐歧恨贯酌畜皆 果板察匈豁埂幂瘪讹世记穗蛤付鹰锣鲤系托扇掖溺母囤虱过浮癸捍某侵潭局擒秧崔贩芦御畸腾擎型氯鳃忠咨鸭眉盔视勿爸宵奴挚栽命坐吏窗磅邑舒腊蓉坡话彦谭宋有踪仁竹谎蚁行尿灼驭颇妹握豪岛 2012-JX16-广东金 融学院 本 科 毕
4、业 论 文 (设 计 ) 网络银行与网络支付安全问题浅析 学生姓名：鲁苒怡 学 号：08A511120 系 部：金融系 专 业：金融学 指导教师：梅光仪 讲师 提交日期：2012 年 3 月 29 日 毕业论文基本要求 1毕业论文的撰写应结合专业学习，选取具有创新价值和实践意义 的论题。 2论文篇幅一般为 8000 字以上，最多不超过 15000 字。 3论文应观点明确，中心突出，论据充分，数据可靠，层次分明， 逻辑清楚，文字流畅，结构严谨。 4论文字体规范按广东金融学院本科生毕业论文写作规范和 “论文样板”执行。 5论文应书写工整，标点正确，用微机打印后，装订成册。 本科毕业论文诚信声明 本
5、人郑重声明：所呈交的本科毕业论文（设计） ，是本人在指导 老师的指导下，独立进行研究工作所取得的成果，成果不存在知识产 权争议，除文中已经注明引用的内容外，本论文不含任何其他个人或 集体已经发表或撰写过的作品成果。对本文的研究做出重要贡献的个 人和集体均已在文中以明确方式标明。本人完全意识到本声明的法律 结果由本人承担。 学生签名： 时间： 年 月 日 关于论文使用授权的说明 本人完全了解广东金融学院关于收集、保存、使用学位论文的规 定，即： 1.按照学校要求提交学位论文的印刷本和电子版本； 2.学校有权保存学位论文的印刷本和电子版，并提供目录检索与 阅览服务，在校园网上提供服务； 3.学校可
6、以采用影印、缩印、数字化或其它复制手段保存论文； 本人同意上述规定。 学生签名： 时间： 年 月 日 摘 要 自 20 世纪 60 年代以来，随着信息处理技术、传输技术、国际 互联网、全球信息高速公路、全球金融一体化以及电子商务的发展， 网络银行渐渐出现在人们的视线中。网络银行的产生与发展，推动 了银行业务流程的再造，优化了经营流程，降低了交易成本，一定 程度上改变了金融活动参与各方的信息不对称状况，为网络经济的 的发展提供了更有效的支持和更大的发展空间，但同时，银行业务 的虚拟化，使银行机构的传统角色发生了进一步的变化，是金融风 险更具复杂性和蔓延性，突破了传统银行业的经营模式、价值观念 和
7、管理方法，改变了现有银行业的竞争格局，形成了新的银行业组 成形式，对未来的金融体系结构有重要影响,对银行经营管理和外部 监管提出了新的课题和挑战。 特别是是网络支付的安全性问题，已 成为金融行业大力拓展网络银行业务的关键性障碍。本文对于网络 银行与网络支付的基本概念，网络银行的国内外发展进行介绍，并 着重讨论网络银行业务中的技术性风险及其管理对策，对其进行全 面的论述。 关键词：网络支付； 网络银行；安全性问题 Abstract Along with the information technology, the Internet high speed development, electro
8、nic commerce has caused the current distribution realm significant transformation gradually. In the electronic commerce practice, the online electronic payment is the electronic commerce essential link, also is the foundation condition which electronic commerce can smoothly develop. Not the correspo
9、nding real-time electron payment means coordinate, electronic commerce only can be does not have the practical significance “the hypothesized commerce“, but is unable to realize on the genuine net the transaction. The on-line electronic payment is the electronic commerce development core, is complet
10、es on the net the transaction essential step, also is at present restricts the domestic network application development a bottleneck. Although Online banking for financial business development has brought opportunities and convenience for many users, but their online banking website security issues
11、, transaction information passed between the merchant and the bank security issues , transaction information in the consumer were passed between banks and security issues facing Internet banking has become a major security problems, analyze root causes of these security issues , and some preventive
12、measures, it is particularly necessary. Key words： on-line electronic payment；internet banking；security problem 目 录 摘 要1 Abstract 2 一、网络银行与网络支付概述1 网络银行与网络支付解释 1 网络支付与网络银行两者关系 2 二、网络银行市场的发展2 国外网络银行市场的发展2 我国网络银行市场的发展4 相关文献综述4 三、网络银行与网络支付市场发展存在的问题6 网络银行的风险问题6 网络银行的网络支付面临的安全问题7 四、网络银行与网络支付市场发展面对问题的对策8 网
13、络支付系统中的安全技术 8 网络支付加密技术10 网络支付认证技术11 网络支付中的安全协议 13 网络支付中的其他问题15 五、结论与总 结17 参考文献17 网络银行与网络支付安全性问题浅析 先进的生产技术总是要推动落后的生产方式变革。自 20 世纪 60 年代以来， 随着计算机和信息技术在银行业的广泛应用，银行的运作方式和服务方式也在 发生着质的变化，先后出现了“电话银行” 、 “计算机银行” 。到了 90 年代，随 着互联网应用的快速发展，又出现了“网络银行” 。 一、网络银行与网络支付概述 网络银行与网络支付解释 网上银行又称网络银行、在线银行，是指银行利用 Internet 技术，
14、通过 Internet 向客户提供开户、查询、对帐、行内转帐、跨行转账、信贷、网上证 劵、投资理财等传统服务项目，使客户可以足不出户就能够安全便捷地管理活 期和定期存款、支票、信用卡及个人投资等。可以说，网上银行是在 Internet 上的虚拟银行柜台。网上银行又被称为“3A 银行”，因为它不受时间、空间限 制，能够在任何时间(Anytime)、任何地点(Anywhere)、以任何方式(Anyway)为 客户提供金融服务。 与传统银行业务相比，网络银行具有以下特点： 1 全 面 实 现 无 纸 化 交 易 2 服 务 方 便 、 快 捷 、 高 效 、 可 靠 3 经 营 成 本 低 廉 4
15、简 单 易 用 网络支付又称电子支付，是指电子交易的当事人，包括消费者、厂商、和 金融机构，使用安全电子支付手段通过网络进行的货币支付或资金流转。 对比传统的支付方式，网络支付表现出更多的特点: 1.基于一个开放的 Internet 工作平台 2.方便、快捷、高效 3.低成本、经济 4.可以提高企业资金管理与利用水平 5.可以满足客户个性化需求，提到客户的忠诚 网络支付与网络银行两者关系 网络银行的网络支付就是买方利用网络银行向买方在线支付货款，完成交 易的过程，是网络银行的一种功能。 网络银行的网上支付方式主要有三种：第一种是用户与银行特约商户之间 的支付方式，多数银行都有网上商城，商城中有
16、许多展示自己产品的商户，这 些商户就是银行的特约商户。 第二种是用户在企业电子商务网站的支付方式，很多公司都建立了自己的 电子商务网站，为用户 B2C 或 B2B 销售服务。这种支付方式的过程是用户选择 商品，生成订单，然后进行支付，在支付时网站会提供多种支付方式，比如货 到付款、银行卡支付、电汇、网上银行支付等。用户选择本人网上银行账户所 在的银行后，将进入该银行的页面，进行支付后完成交易。前提是用户必须在 银行开通网上银行服务。 第三种是利用第三方支付平台的支付方式，第三方支付机构采用与各大银 行签约的方式，提供与银行支付结算系统接口交易支持平台的网络支付模式。 二、网络银行市场的发展 国
17、外网络银行市场的发展 美国的三家银行于 1995 年联合在 Internet 网上，成立了全球第一家虚拟 的网上银行安全第一网络银行（Security First Network Bank）。该网上 银行通过提供全球范围的金融服务，它采用一种全新的服务手段，用户只要键 入其网址，就会出现类似普通银行营业大厅的画面，客户不出户就可进行存款、 转账、付账等业务活动。SFNB 于 1998 年被加拿大皇家银行金融集团收购后， 仍然在网上银行领域继续保持领先地位。现在美国银行业 6%一 7%的客户使用网 上银行系统。 目前，国际上提供网上银行服务的机构分两种：一种是原有的负担银行,机 构密集，人员众多
18、，在提供传统银行服务的同时推出网上银行系统，形成营业 网点、ATM、POS 机、电话银行、网上银行的综合服务体系；另外一种是信息时 代倔起的直接银行，机构少，人员精，采用电话、Internet 等高科技服务手段 与客户建立密切的联系，提供全方位的金融服务。现举例说明这两种银行的发 展情况。 1.高效、快速发展的直接银行：德国的 Entrium Direct Bankers Entrium Direct Bankers，1990 年作为 Quelle 邮购公司的一部分 成立于德国，最初通过电话线路提供金融服务，1998 年开辟网上银行系统。目 前已经成为德国，乃至欧洲最大的直接银行之一。 Ent
19、rium 经营的业务品种主要包括消费信贷、循环周转贷款、信用卡、投 资、在线交易等。虽然目前仍以电话服务为主，但正在加速发展网上银行服务， 它的网上银行发展战略十分明确：将 Entrium 从拥有网上银行服务的领先的电 话直接银行转变为拥有电话银行服务的领先的网上直接银行。Entrium 的成功 归功于它利用先进的科技手段开拓市场、联络客户、处理业务。 2.美国银行提供网上银行服务的优秀代表：Wells Fargo Wells Fargo 是美国第七大银行，资产总额 218 亿美元，拥有 5925 个分 支机构，资本收益率高达 34%。目前，它被认为是美国银行业提供网上银行服 务的优秀代表，网
20、上银行客户数量高达 160 万，银行网站每月访问人数 96 万 （并非人次）；接受网上银行服务的客户占其全部客户的 20%。 Wells Fargo 的网上银行系统不仅节约成本，更主要的是带来新增收入和 客户；使用网上银行的客户素质好、收入高、账户余额大、需求种类多，银行 赚取的收益和手续费收入相对较多；在 160 万网上银行客户中，15%是由网上银 行服务带来的新客户。 Wells Fargo 取得的成功归功于几个因素：（1）及早地开发和使用高科技， 包括 Internet。Wells Fargo 早在 1994 年就开始投资网上银行，并不断扩大、 提高其网上银行的服务。（2）方便、多渠道的
21、服务网络。该行认为，客户需要 的是一个多渠道、全方位的服务网络，Internet 仅仅是其服务体系中不可分割 的一部分。（3）服务品种覆盖面广。提供服务的种类包括：账户管理、投资服 务、保险、贷款等各个方面。（4）客户关系维护与客户群体系。Wells Fargo 认为这一体系对市场开发至关重要，它严格划分客户群，其尊贵客户仅占全部 客户的 2%，并得到特别的关注与服务。 我国网络银行市场的发展 1996 年，招商银行率先在国内推出了自己的网上银行“一网通”的概念， 并逐步向公司和个人提供信息查询、银企对账、代发工资、网上购物等金融业 务。1997 年 4 月，招商银行开通了交易型银行网站，拉开
22、了我国网络银行发展 的帷幕。1998 年 3 月，中国银行网络银行服务系统成功开通了互联网间的电子 交易。 目前，我国网络银行发展呈现典型的块状经济特征，东南沿海属于较为发 达地区，北部和中部属于快速发展地区，西部则相对落后。 而总的来说，我国网民规模达到 6 亿，商务类应用显著提升。2011 年 7 月 15 日,中国互联网络信息中心 (CNNIC)在京发布了第 27 次中国互联网络发展 状况统计报告(以下简称报告)。报告显示 ,截至 2011 年 6 月底,我 国网民规模达 6 亿人,互联网普及率持续上升增至 31.8%。值得关注的是,互联 网商务化程度迅速提高,国网络购物用户达到 1.4
23、 亿 ,网上支付、网络购物和网 上银行半年用户增长率均在 30%左右 ,远远超过其他类网络应用。 但随着商务应用快速发展 网络安全仍为最大制约因素。报告显示 ,我 国网民的互联网应用表现出商务化程度迅速提高、娱乐化倾向继续保持、沟通 和信息工具价值加深的特点 ,其中 ,商务类应用表现尤其突出。截至 2011 年 6 月底,网络购物、网上支付和网上银行的使用率分别为 33.8%、30.5%和 29.1%,用 户规模分别达到 1.42 亿、1.28 亿、1.22 亿 ,半年用户规模增幅分别为 31.4%,36.2%和 29.9%,增速在各类网络应用中排名前三。尽管如此 ,网络商务 应用仍然到各种安
24、全因素的困扰。CNNIC 调查发现 ,仅 2011 年上半年 ,就有 59.2%的网民在使用互联网过程中遇到过病毒或木马攻击 ；30.9%的网民账号或 密码被盗过；电子商务网站访问者中 89.2%的人担心假冒网站 ,其中 86.9%的人 表示如果无法获得该网站进一步的确认信息,将会选择退出交易。报告提示“尽 管我国电子支付业务发展取得重大成果，但与国外横向比较，总体还处于较低 水平。 相关文献综述 电子商务网络安全问题浅析指出，网络金融业务就是以计算机操作、 沟通为主体，以通信网络或公共互联网为传媒，以单位或个人计算机为入网终 端，金融机构与客户两者合而为一进行组合操作的新型金融服务业务。电子
25、支 付是指电子交易的当事人，包括消费者、厂商和金融机构，使用安全电子支付 手段，通过网络进行的货币支付或资金流转。 商业银行网络银行安全问题浅析认为，网上银行一方面，让老百姓从 现金、信用卡这些看得见的消费方式转到看不见的网上银行消费，将不可避免 的产生一些疑虑，这给网上银行的发展带来不少难题；另一方面，一些不法分 子对网上银行进行攻击，社会上存在一些负面言论，使用户对网上银行的安全 产生怀疑，这些对我国金融业的快速健康发展带来了相当的危害。 网络银行安全性的全面规制探索指出网上银行面临的安全隐患除了来 自系统设计的缺陷和计算机病毒等方面，利用网上银行进行欺诈的行为是当前 危害最大、影响最恶劣
26、的一个方面。从目前看，这些问题的原因可归结为 IT 技 术方面问题，银行管理方面问题，以及客户安全意识薄弱，操作不正当等方面。 网上欺诈是国际性难题。 除此之外，其他大量的文献总结了以下三个方面的问题： 1. 网上银行网站存在的安全性问题 在网络银行中,企图非法窃取密码的作案者如果采用可以改变登录 ID 的方 法, 即便登录失败 ,网站也不会将密码视为无效。除了用软件窃取密码这样的隐忧 以外, “冒充站点 ”也是网上银行使用中一个非常重要的安全隐患。客户在不了 解情况时就会向虚假站点发送 ID 和密码。客户发送完毕后,如果显示出一个 “服务马上就要停止”的画面,或者把客户访问重新引导到正规站点
27、上 ,客户当时 是很难察觉的。这样一来,就存在有人进行非法资金转移的可能性。 2.交易信息在商家与银行之间传递的安全性问题 因为互联网的虚拟性,交易双方无法确保对方身份的真实性 ,尤其在当事人仅 仅通过互联网交流时,在这种情况下,要建立交易双方的信用机制和安全感是非常 困难的。资金在网上划拨,安全性是最大问题,发展网上银行业务,大量经济信息 在网上传递。而在以网上支付为核心的网上银行,电子商务最核心的部分包括 CA 认证在内的电子支付流程。就是说国内目前的网上银行还不能算真正的网上 银行, 只有真正建立起国家金融权威认证中心(CA)系统, 才能为网上支付提供法律 保障。 3.交易信息在消费者与
28、银行之间传递的安全性问题 目前,我国银行卡持有人安全意识普遍较弱,不注意密码保密,或将密码设为 生日等易被猜测的数字。一旦卡号和密码被他人窃取或猜出,用户账号就可能在 网上被盗用,例如进行购物消费等,从而造成损失, 而银行技术手段对此却无能为 力。因此一些银行规定:客户必须持合法证件到银行柜台签约才能使用“网上银 行”进行转账支付,以此保障客户的资金安全。 另一种情况是, 客户在公用的11 计算机上使用网上银行,可能会使数字证书等机密资料落入他人之手 ,从而直接使 网上身份识别系统被攻破,网上账户被盗用。用户和银行之间通过互联网传递的 信息是实现交易的基础条件,如何确保不被第三方知道 ,是网上
29、业务安全进行的一 个重要前提。 12 以上是本文所研究的各种文献的观点集合，在这些文献的结论的基础上， 本文又具体的分析了网络银行与网络支付市场的具体问题及其技术以及监管、 法律方面的对策和发展方向。 三、网络银行与网络支付市场发展存在的问题 网络银行的风险问题 网络银行作为开放的网络与金融业务的结合，除了传统的银行金融风险外， 它势必还将面临各种各样其他的风险问题。对此，世界各国、国际金融机构和 组织都在积极努力采取相应的防御措施和对策，如巴塞尔委员会就制定了有关 电子银行风险管理的 14 条原则。概要而言，目前网络银行的风险问题主要表现 为以下几点： 1.技术方面的风险。鉴于互联网的不安全
30、性，网络银行将面临被闯入者攻 击的危险，而且可能给闯入者攻击其他网络如银行内部决策信息系统提供了方 便。其风险来源主要有：认证环节薄弱、系统易被监视、信息易被截取、操作 系统漏洞等。 13 2.银行管理风险。它是指由于商业银行内部信息系统和内控系统出现问题 而使银行遭受损失的可能性。一是因为网络银行业务较新，银行可能缺乏既有 金融知识又掌握高超计算机知识的人才；二是网络银行的网上操作使内部犯罪 更易发生。 3.信用风险。网络银行没有实体办公地点、银行与客户没有面对面的接触， 又缺少足够丰富的客户资信评估数据，对借款人信用评价格外困难。 4.法律风险。大多数国家政府尚未有配套的法律法规与之相适应
31、，对交易 双方的权利和义务都还不明确，造成了银行在开展这方面业务时无法可依，且 银行难以采取主动措施，将犯罪活动消灭于萌芽之中。即时各国有法律法规， 但当进行跨国交易业务时，也有可能会产生国与国之间法律问题上的冲突。 对于上述问题，本文重点讨论的是技术方面的风险，因为网络支付涉及商 务主体最敏感的资金流动，是最需要保证安全的方面，也是最容易出现安全问 题的地方，保证网络银行安全其实很大程度上即时保证网络交易过程中网络支 付与结算流程的安全，这正是银行与商家，特别是客户关心的焦点问题。 网络银行的网络支付面临的安全问题 随着网络支付的发展，不法分子利用网络技术本身存在的漏洞和局限，网 络安全事故
32、频发。这些安全问题直接影响了网络支付各方的经济利益，网络支 付中的不安全因素主要有以下几点： 1.信息被截获或窃取。由于未采用加密措施或加密强度不够，数据信息在 网络上以明文形式传送，入侵者可以在数据包经过的网关或路由器上截获传送 的信息，如消费者的信用卡密码或企业的商业机密。盗用者可以利用这些信息 伪造出新的信用卡，然后就可以在任何一台 ATM 或 POS 机中取出消费者的资金。 2.信息被篡改。入侵者可以通过各种技术手段和方法，将网络中传送的交 易信息在途中修改，然后再发向目的地。信息可以从三个方面被篡改：修改， 即改变信息流的次序，更改信息的内容，如支付货币的数量；删除，即删除某 个信息
33、或信息的某些部分；插入，即在信息中插入一些额外的信息，让接收方 读不懂或接受错误的信息。 3.信息假冒。入侵者可以冒充合法用户的身份发送假冒的信息或者窃取商 家的商品信息和用户信息等，而远端用户通常很难分辨。信息假冒有两种方式， 一是冒充他人身份，例如冒充他人消费、栽赃；二是发送假冒的信息，例如伪 造电子邮件，虚开网站或网店，给用户发电子邮件，收订货单。 4.否认已经做过的交易。网络支付中还可能存在着发送者事后否认曾经发 送过某条信息，或接受者事后否认曾经收到过某条信息的情况。 5.网络支付系统不稳定。系统会由于技术性中断或被攻击而瘫痪，即用户 无法使用电子货币，可能导致正在进行的网络支付中断
34、，从而影响用户的行为。 四、网络银行与网络支付市场发展面对问题的对策 网络支付系统中的安全技术 1.针对网络黑客 黑客攻击者是指利用通信软件通过网络非法进入他人系统，截获或篡改计 算机数据，危害信息安全的电脑入侵者。黑客攻击者通过猜测程序对截获的用 户账户和口令进行破译，以便进入系统后做更进一步的操作。 为了把损失降低到最低限度，银行和客户都一定要有安全观念，并掌握一 定的安全防范措施，禁绝让黑客无任何机会可趁。以下是几点专门针对黑客的 防范措施: (1)重要机密信息应用的主机应该单独设立一个网段, 以避免某一台个人机 被攻破，被攻击者装上 sniffer, 造成整个网段通信全部暴露。有条件的
35、情况 下, 重要主机装在交换机上，这样可以避免 sniffer 偷听密码。 (2)专用主机只开专用功能，如运行网管、数据库重要进程的主机上不应该 运行如 sendmail 这种 bug 比较多的程序。网管网段路由器中的访问控制应该限 制在最小限度，研究清楚各进程必需的进程端口号, 关闭不必要的端口。 (3)对用户开放的各个主机的日志文件全部定向到一个 Syslogd Server 上, 集中管理。该服务器可以由一台拥有大容量存贮设备的 Unix 主机承当。定期检 查备份日志主机上的数据。 (4)网管不得访问 Internet,并建议设立专门机器使用 ftp 或 WWW 下载工具 和资料。 (5
36、)提供电子邮件、WWW、DNS 的主机不安装任何开发工具，避免攻击者编 译攻击程序。 (6)网络配置原则是“用户权限最小化“，例如关闭不必要或者不了解的网 络服务， 不用电子邮件寄送密码。 (7)下载安装最新的操作系统及其它应用软件的安全和升级补丁，安装几种 必要的安全加强工具，限制对主机的访问，加强日志记录，对系统进行完整性 检查，定期检查用户的脆弱口令，并通知用户尽快修改。重要用户的口令应该 定期修改（不长于三个月），不同主机使用不同的口令。 (8)定期检查系统日志文件，在备份设备上及时备份。制定完整的系统备份 计划，并严格实施。 (9)定期检查关键配置文件（最长不超过一个月）。 (l0)
37、制定详尽的入侵应急措施以及汇报制度。发现入侵迹象，立即打开进 程记录功能，同时保存内存中的进程列表以及网络连接状态，保护当前的重要 日志文件，有条件的话，立即打开网段上另外一台主机监听网络流量，尽力定 位入侵者的位置。如有必要，断开网络连接。在服务主机不能继续服务的情况 下，应该有能力从备份磁带中恢复服务到备份主机上。 2.针对病毒问题 现今流行的很多木马病毒都是专门用于窃取网上银行密码而编制的。木马 会监视 lE 浏览器正在访问的网页 ,如果发现用户正在登录个人银行 ,直接进行 键盘记录输入的账号、密码 ,或者弹出伪造的登录对话框,诱骗用户输入登录密 码和支付密码。然后通过邮件将窃取的信息发
38、送出去。因此,需要做好自身电脑 的日常安全维护 ,注意以下几点: (1)设置高安全级的 web 应用服务器 高安全级的 web 服务器使用可信的专用操作系统,凭借其独特的体系结构和 安全检查,保证只有合法用户的交易请求能通过特定的代理程序送至应用服务器 进行后续处理。 (2) 做好自身电脑的日常安全维护 一是经常给电脑系统升级。二是安装杀毒软件、防火墙,经常升级和杀毒。 三在平时上网是尽量不上一些小型网站,选大型网站,知名度比较高的网站,避免 网站挂有病毒、木马造成中毒。四是尽量不要在公共电脑上使用自己的有关资 金的账户和密码。五在有条件的情况下,在初装系统后确认电脑安全的后,给自 己的电脑做
39、上备份,在使用资金账户前做一次系统恢复。 (3) 设立防火墙,隔离相关网络 所谓防火墙指的是位与不同网络安全域之间的软件和硬件设备的一系列部 件的组合,作为不同网络安全域之间通信流的唯一通道,并根据用户的有关策略 控制进出不同网络安全域的访问。现实生活中一般采用多重防火墙方案,分隔互 联网与交易服务器,防止互联网用户的非法入侵;还用于交易服务器与银行内部 网的分隔,有效保护银行内部网,同时防止内部网对交易服务器的入侵。 14 网络支付加密技术 1.信息加密技术 所谓信息加密技术，就是对可以理解的信息（“明文” ）与一个特殊的字符 串结合，按照一定的规则经行运算，变成不可理解的信息（“密文” ）
40、 。也就是 说，信息加密实际上是将信息真实内容隐藏起来，其中特殊字符串就是密钥， 运算的规则就是加密算法，这二者是加密技术的两个要素。最常用的方法是私 有密钥加密(对称密钥)方法和公开密钥加密(非对称密钥)方法。一条信息的加 密传递过程如下图所示： 出发地 加密密钥 解密密钥 目的地 2.数字信封技术 数 字 信 封 是 将 对 称 密 钥 通 过 非 对 称 加 密 的 结 果 分 发 对 称 密 钥 的 方 法 。 在数字信封中，信息发送方采用对称密钥来加密信息内容，然后将此对称密钥 用接收方的公开密钥来加密（这部分称数字信封）之后，将它和加密后的信息 一起发送给接收方，接收方先用相应的私
41、有密钥打开数字信封，得到对称密钥， 然后使用对称密钥解开加密信息。这种技术的安全性相当高。 15 3.数字摘要技术 通信双方在互相传送信息时，不仅要对数据保密，不让第三者知道，还要 能够知道数据在传输过程中没有被别人改变，也就是要保证数据的完整性。 其采用的方法使用某种算法对被传送的数据生成一个完整性值，将它与原 明文 传输终端 接收终端 明文 始数据一起传送给接收者，接收者用它来检测信息在传送过程中有没有发生改 变。这个值是一个特殊的字符串，比原始数据短小，能代表原始数据，所以称 作数字摘要。 4.数字签名技术 数字签名就是指利用数字加密技术实现在网络传送信息文件时，附加个人 标记，起到传统
42、手书签名或印章的作用，以表示确认、负责、经手、真实等。 数字签名就是在要发送的信息上附加一小段只有信息发送者才能产生而别 人无法伪造的特殊数据，而且这段数据是原信息数据加密转换生成的，用来证 明信息是由发送者发来的。 数字签名可以解决如接收方伪造、发送者或接收者否认、第三方冒充、接 收方篡改等安全鉴别问题。在网络支付过程中，客户需要发送订购信息给商户， 发送支付信息给银行，这两条信息时相互关联的，以保证该支付仅为该订单付 款，这时仅靠发送方对整个信息一次数字签名显然是不够的，需要双重签名技 术来实现。所以，平时网民在网络上的支付行为大多是采用这种双重签名技术。 5.数字时间戳 交易支付文件中，
43、时间是十分重要的信息。在电子交易中,同样需对交易支 付文件的日期和时间信息采取安全措施。目前多采用数字时间戳服务来为电子 文件提供发表时间的安全保护。时间戳是一个经加密后形成的凭证文档，它 包 括三个部分：需加时间戳文件的数字摘要；DTS 认证机构收到文件的日期和时 间；DTS 对数字摘要及日期时间的数字签名。 网络支付认证技术 1.身份认证技术 （1）静态密码 用户的密码是由用户自己设定的。在网络登录时输入正确的密码，计算机 就认为操作者就是合法用户。实际上，由于许多用户为了防止忘记密码，经常 采用诸如生日、电话号码等容易被猜测的字符串作为密码，或者把密码抄在纸 上放在一个自认为安全的地方，
44、这样很容易造成密码泄漏。如果密码是静态的 数据，在验证过程中 需要在计算机内存中和传输过程可能会被木马程序或网络 中截获。因此，静态密码机制无论是使用还是部署都非常简单，但从安全性上 讲，用户名/密码方式一种是不安全的身份认证方式。 （2）智能卡（IC 卡） 一种内置集成电路的芯片，芯片中存有与用户身份相关的数据， 智能卡由 专门的厂商通过专门的设备生产，是不可复制的硬件。智能卡由合法用户随身 携带，登录时必须将智能卡插入专用的读卡器读取其中的信息，以验证用户的 身份。 （3）短信密码 短信密码以手机短信形式请求包含 6 位随机数的动态密码，身份认证系统 以短信形式发送随机的 6 位密码到客户
45、的手机上。客户在登录或者交易认证时 候输入此动态密码，从而确保系统身份认证的安全性。它具有安全性、普及性、 易收费、易维护的优点。 （4）动态口令牌 目前最为安全的身份认证方式，也利用 what you have 方法，也是一种动 态密码。动态口令牌是客户手持用来生成动态密码的终端，主流的是基于时间 同步方式的，每 60 秒变换一次动态口令，口令一次有效，它产生 6 位动态数字 进行一次一密的方式认证。由于它使用起来非常便捷，85%以上的世界 500 强企 业运用它保护登录安全，广泛应用在 VPN、网上银行、电子政务、电子商务等 领域。 （5）USB Key 基于 USB Key 的身份认证方
46、式是近几年发展起来的一种方便、安全的身份 认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决 了安全性与易用性之间的矛盾。USB Key 是一种 USB 接口的硬件设备，它内置 单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用 USB Key 内置的 密码算法实现对用户身份的认证。目前运用在电子政务、网上银行。 16 2.数字证书 它以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解 密、数字签名和签名验证，确保网上传递信息的机密性、完整性。使用了数字 证书，即使客户发送的信息在网上被他人截获，甚至丢失了个人的账户、密码 等信息，仍可以保证账户、资金安全。 数
47、字证书里存有很多数字和英文，当使用数字证书进行身份认证时，它将 随机生成 128 位的身份码，每份数字证书都能生成相应但每次都不可能相同的 数码，从而保证数据传输的保密性，即相当于生成一个复杂的密码。 数字证书绑定了公钥及其持有者的真实身份，它类似于现实生活中的居民 身份证，所不同的是数字证书不再是纸质的证照，而是一段含有证书持有者身 份信息并经过认证中心审核签发的电子数据，可以更加方便灵活地运用在网络 支付中。 17 网络支付中的安全协议 随着网络银行的不断发展，网上交易系统、网上银行等地安全问题越来越 重要了。为了保证在线支付、在线交易的安全，近年来 IT 业界和金融行业的人 员一起，共同
48、开发和推出了许多有效的安全协议，其中最常用的是 SSL 和 SET 两个协议。 1.SSL 协议 SSL (Secure Socket Layer) 协 议 为 Netscape 公 司 所 研 发 ， 用 以 保 障 在 Internet 上 数 据 传 输 之 安 全 ， 利 用 数 据 加 密 (Encryption)技 术 ， 可 确 保 数 据 在 网 络 上 之 传 输 过 程 中 不 会 被 截 取 及 窃 听 。 SSL 协议提供的服务主要有： 认证用户和服务器，确保数据发送到正确的客户机和服务器；加密数据以防止 数据中途被窃取；维护数据的完整性，确保数据在传输过程中不被改变。 18 SSL 协议的工作流程分为两部分。第一部分是服务器认证阶段：客户端向 服务器发送一个开始信息“Hello”以便开始一个新的会话连接，服务器根据客 户的信息确定是否需要生成新的主密钥
