案例回放：不能回避的安全隱患

國內(nèi)第一家正式運(yùn)行的網(wǎng)上銀行在1999年開通，至今已經(jīng)有10余年。林立峰表示：“這種新的業(yè)務(wù)模式自誕生之日起，針對它的攻擊行為就層出不窮，隨著網(wǎng)銀應(yīng)用的大量普及，現(xiàn)在，安全隱患已經(jīng)成為網(wǎng)銀應(yīng)用中不可回避的嚴(yán)重問題?！?P>2011年初，某中資銀行網(wǎng)銀系統(tǒng)被黑客惡意仿制，并利用短信通知形式制造網(wǎng)銀系統(tǒng)升級假象，誘導(dǎo)客戶進(jìn)入偽網(wǎng)站輸入賬號、密碼、動態(tài)口令等3項(xiàng)關(guān)鍵身份認(rèn)證信息，并借助中間人和網(wǎng)絡(luò)釣魚攻擊技術(shù)在幾分鐘內(nèi)轉(zhuǎn)移客戶資金。據(jù)360安全中心數(shù)據(jù)統(tǒng)計(jì)，2010年假冒銀行網(wǎng)銀的釣魚網(wǎng)站達(dá)1044家，而據(jù)中國互聯(lián)網(wǎng)信息舉報(bào)中心2011年1季度監(jiān)測數(shù)據(jù)顯示，假冒上述中資銀行的網(wǎng)站已達(dá)70多個。

握奇數(shù)據(jù)安全支付與可信計(jì)算產(chǎn)品線總監(jiān)林立峰分析道：“根據(jù)此類案件的犯罪手法，可以推斷，幾乎所有銀行的網(wǎng)銀以及網(wǎng)上金融服務(wù)都有可能成為不法分子的釣魚目標(biāo)。事實(shí)告訴我們，網(wǎng)銀數(shù)據(jù)安全的兩個關(guān)鍵點(diǎn)是交易可信和客戶可參與，我們考慮的是如何將這兩點(diǎn)通過USBKey的介質(zhì)實(shí)現(xiàn)，在當(dāng)前市場中，最大限度地保障客戶資金安全?！?P>

審視安全：從銀行端和客戶端深入分析

釣魚網(wǎng)站問題始終威脅著網(wǎng)銀產(chǎn)業(yè)的健康發(fā)展，甚至引發(fā)了業(yè)界關(guān)于“網(wǎng)銀系統(tǒng)脆弱性”的質(zhì)疑，這種脆弱性不僅僅包括系統(tǒng)自身的缺陷，還包含安全技術(shù)水平和操作流程上的不足。林立峰認(rèn)為，可以從銀行業(yè)和客戶端兩個角度檢視網(wǎng)銀是否安全。

一方面，從網(wǎng)銀自身安全角度，依據(jù)監(jiān)管部門出臺的規(guī)章審視本行網(wǎng)銀是否合規(guī)。比如，是否依據(jù)《電子銀行安全評估指引》要求的8個方面進(jìn)行了評估；是否按照《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范（試行）》建設(shè)或改良了網(wǎng)上銀行信息系統(tǒng)；是否對客戶端的保護(hù)盡到了相應(yīng)的義務(wù)。

另一方面，從客戶端角度審視網(wǎng)銀安全。林立峰認(rèn)為：“近年來，國內(nèi)網(wǎng)銀的大多數(shù)攻擊對象還是集中在客戶端，這是由攻擊成本、攻擊風(fēng)險(xiǎn)和攻擊收益幾個因素決定的?！惫粽呖梢岳镁W(wǎng)絡(luò)將木馬傳播到成千上萬的用戶計(jì)算機(jī)中，通過擊鍵記錄、截屏等方式獲得網(wǎng)上銀行的賬號口令，同時獲得軟證書，以此控制用戶賬戶；如果用戶使用的是動態(tài)令牌，不法分子則可以想辦法進(jìn)行社會工程學(xué)攻擊，即網(wǎng)絡(luò)釣魚或者中間人攻擊，或者利用動態(tài)令牌的脆弱性，讓“交易劫持”和“交易偽造”等威脅有可乘之機(jī)。

深入分析問題所在后，林立峰表示：“握奇公司沒有拋開USBKey的設(shè)計(jì)思路，以‘把簡單做到純粹’為研究主旨，有針對性地根據(jù)網(wǎng)銀業(yè)務(wù)系統(tǒng)特點(diǎn)設(shè)計(jì)適合客戶端安全的身份鑒別方法?！?P>網(wǎng)上銀行業(yè)務(wù)可以分為客戶端、傳輸線路和服務(wù)器3個環(huán)節(jié)，而在這三個環(huán)節(jié)中受威脅最大的是客戶端，其次是傳輸線路。

林立峰表示：“傳輸線路主要面臨信息監(jiān)聽、篡改和重放攻擊，而客戶端攻擊者可以利用植入木馬的方式，獲取網(wǎng)上銀行的賬號、口令和軟證書，從而完全控制客戶的網(wǎng)銀賬戶?！?P>為解決動態(tài)令牌在設(shè)計(jì)之初的自身脆弱性問題，握奇公司設(shè)計(jì)出了基于顯示屏和按鍵的二代USBKey產(chǎn)品，能夠有效防治客戶端和傳輸線路的數(shù)據(jù)安全。早在2005年，握奇公司就提出了一種數(shù)字簽名設(shè)備與其對端設(shè)備實(shí)現(xiàn)數(shù)據(jù)交互的方法，可以保證用戶從“被動防御”到“主動防御”，這個裝置最早叫OCL交易驗(yàn)證器。由于2010年網(wǎng)上銀行市場的安全問題暴露嚴(yán)重，握奇在兩個多月的時間里，將5項(xiàng)“主動防御”客戶端身份認(rèn)證USBKey專利經(jīng)研發(fā)形成產(chǎn)品，即二代USBKey----可視化的智能密碼鑰匙。將網(wǎng)銀身份鑒別技術(shù)提升到新的高度?！?P>

立足易用：注重客戶體驗(yàn)

動態(tài)口令具有兩個明顯弱點(diǎn)，一是不能確定銀行服務(wù)器端接受的交易數(shù)據(jù)是否是客戶本人發(fā)出的，是否為客戶真實(shí)意愿；二是客戶不能參與后臺數(shù)據(jù)的確認(rèn)過程?？梢暟存I產(chǎn)品很好地解決了這兩個問題。林立峰表示：“可視按鍵產(chǎn)品首先將用戶交易的關(guān)鍵數(shù)據(jù)信息，如銀行賬號、轉(zhuǎn)賬金額等，傳送到USBKey屏幕上，在客戶確認(rèn)無誤并進(jìn)行按鍵操作后，執(zhí)行數(shù)據(jù)簽名和數(shù)據(jù)加密，保證交易的內(nèi)容未被惡意修改，真正做到了‘所見即所簽’?！?P>握奇公司二代USBKey又名WatchKEYOCLITA(Identity&TransactionAuthentication)，簡稱OCLKey,它提出“基于可參與性的網(wǎng)絡(luò)可信交易”思想，并以此為基礎(chǔ)，針對具體工程實(shí)現(xiàn)，提出操作控制列表技術(shù)（OperationControlList，簡稱OCL技術(shù)）。它從硬件認(rèn)證設(shè)備端入手，注重用戶體驗(yàn)，同時充分考慮現(xiàn)有應(yīng)用環(huán)境的兼容性和便利性，避免對平臺及交易環(huán)境的改變，能夠解決終端交易環(huán)境不安全所帶來的“交易偽造”和“交易劫持”等一系列問題，將網(wǎng)銀業(yè)務(wù)的客戶端風(fēng)險(xiǎn)將到最低。

林立峰強(qiáng)調(diào)，“任何先進(jìn)的技術(shù)、產(chǎn)品、解決方案和服務(wù)，只有轉(zhuǎn)化為客戶的商業(yè)成功才能產(chǎn)生價(jià)值。在保證產(chǎn)品穩(wěn)定性、易用性的前提下，深入挖掘網(wǎng)銀個人用戶和企業(yè)用戶的需求，提供網(wǎng)銀供能應(yīng)用的解決方案是獲得競爭優(yōu)勢的關(guān)鍵策略。聚焦客戶關(guān)注的挑戰(zhàn)和壓力，移情換位，實(shí)現(xiàn)共贏。希望讓每個金融信息處理者都擁有自己可信的計(jì)算環(huán)境?！?P>

目前，“OCL技術(shù)”已經(jīng)成為中國網(wǎng)絡(luò)銀行高端安全設(shè)備的事實(shí)標(biāo)準(zhǔn)，成為幾乎每個主流商業(yè)銀行“高端USBKey”的招標(biāo)要求促進(jìn)了中國網(wǎng)絡(luò)銀行安全性的提升，并成為中國密碼管理行業(yè)標(biāo)準(zhǔn)“智能密碼鑰匙應(yīng)用接口規(guī)范”的一部分。網(wǎng)銀安全的技術(shù)革命即將掀起……

握奇金融大事跡：

1997年握奇完成了中國銀行的“長城卡網(wǎng)絡(luò)授權(quán)系統(tǒng)”的開發(fā)與實(shí)施，獲得中國人民銀行金融科技進(jìn)步一等獎；

1999年推出符合《中國金融集成電路（IC）卡規(guī)范》的卡TimeCOSV2.0；

2001握奇通過了中國金融認(rèn)證中心（CFCA）的測試；

2002握奇獲準(zhǔn)加入Visa組織的低成本智能卡計(jì)劃--(GlobalPlatform)國際平臺卡片系列，成為該計(jì)劃的首家中國銷售代理商；

2003中國銀聯(lián)邀請握奇參與修訂《中國金融集成電路（IC）卡規(guī)范》；

2003握奇中標(biāo)中國銀行企業(yè)網(wǎng)上銀行項(xiàng)目；

2004握奇中標(biāo)中國農(nóng)業(yè)銀行人民幣結(jié)算密押系統(tǒng)；

2005握奇首批通過銀行卡檢測中心關(guān)于PBOC2.0借貸記卡片的資格檢測；

2007握奇中標(biāo)中國銀行網(wǎng)銀新平臺項(xiàng)目，并成為中國銀行網(wǎng)銀新平臺USBKey唯一外觀設(shè)計(jì)單位；

2007握奇中標(biāo)中國建設(shè)銀行網(wǎng)上銀行項(xiàng)目，標(biāo)志著握奇在網(wǎng)銀領(lǐng)域取得了重大突破；

2008握奇中標(biāo)光大銀行、中國農(nóng)業(yè)銀行、韓亞銀行網(wǎng)上銀行項(xiàng)目；

2009握奇中標(biāo)農(nóng)信銀網(wǎng)銀結(jié)算中心USBKey項(xiàng)目，提供普通USBKey、按鍵USBKey、液晶顯示USBKey(OCL)；

2010-1握奇雙界面CPU卡TimecosPayWing通過MasterCard國際信用卡組織檢測中心測試，獲得MasterCard產(chǎn)品資質(zhì)證書

2010-5握奇獨(dú)家向中國農(nóng)業(yè)銀行遠(yuǎn)程提供帶有TF卡的USBkey安全設(shè)備；

2010-7握奇為北京建行網(wǎng)上銀行業(yè)務(wù)推廣開發(fā)的電子商務(wù)類營銷平臺正式上線，標(biāo)志著握奇從提供網(wǎng)銀產(chǎn)品到提供差異化營銷服務(wù)上的創(chuàng)新；

2010-10握奇為江蘇銀行提供的網(wǎng)銀客戶端在線升級系統(tǒng)正式上線，江蘇銀行成為國內(nèi)首個實(shí)現(xiàn)網(wǎng)銀客戶端自動升級的銀行；

2010-10握奇正式為中國建設(shè)銀行股份有限公司寧波市分行、浙江移動寧波分公司供貨“移動龍卡”；

2010-11握奇獨(dú)家向中國銀行、中國電信提供集手機(jī)SIM卡與芯片銀行卡于一體的手機(jī)銀行卡——銀聯(lián)標(biāo)準(zhǔn)“天翼長城卡”；

2011-12握奇通過銀聯(lián)生產(chǎn)資質(zhì)審核，獲得銀聯(lián)卡生產(chǎn)資質(zhì)；

2011-2握奇獨(dú)家入圍銀河證券互聯(lián)網(wǎng)安全接入系統(tǒng)之USBkey設(shè)備；

2001-3握奇成功入圍浦發(fā)銀行二代USBkey；

2011-4握奇入圍宇信數(shù)據(jù)金牌USBkey合作伙伴（握奇和宇信數(shù)據(jù)達(dá)成戰(zhàn)略合作伙伴）

2011-4中國銀聯(lián)邀請握奇參與制定《中國移動支付辦法》；