電子交易風險防控要多重認證

    作者：中國計算機報 高春燕

電子交易渠道正在成爲越來越多人的首選。2011年，電子交易渠道在浦發銀行全行交易渠道中的佔比保持在75%以上，網上銀行電子業務替代率達43.06%。 民生銀行2011年電子銀行交易額同比增長45 .22%，網上銀行交易替代率超80%，交易筆數相當於櫃面的4倍，已經成爲該行客戶交易的主要渠道。然而，當你離開銀行櫃檯，將繳費、轉賬、支付貨款等業務都放在網上時，交易的風險也正在上升。

多重認證保證賬戶安全

從ATM、POS機，到網上銀行，再到手機銀行，隨着智能手機、平板電腦等移動終端的迅速發展，銀行電子交易不斷拓寬，交易風險也不斷上升。去年，中國銀行網銀升級的詐騙短信，誘騙用戶點擊相應鏈接登錄賬戶，被黑客竊取賬號信息，造成個人財產損失；今年“3·15”晚會曝光招商銀行、工商銀行內部員工販賣客戶個人信息獲利的事件，一條盜取用戶隱私並獲利的黑色產業鏈呈現在公衆面前。儘管當前銀行系統的安全防護措施已經相當完善，但也並非萬無一失。

“當前，電子交易風險來自多個方面，網絡賬號盜用現象已經非常普遍，用戶因此而蒙受的財產損失巨大。另外，黑客利用木馬、蠕蟲病毒、惡意程序破壞用戶交易，篡改用戶轉賬的對象賬戶和轉賬金額，並從中獲利。”上海多特蒙德中文實業有限公司（以下簡稱上海多特蒙德中文）副總裁韓阿龍在接受本報記者採訪時表示，“現在的黑客將大額的惡意轉賬行爲劃分成上百個小額的轉賬，以此躲避公安機關的追捕和懲罰力度，給用戶追回損失造成了很大困難。”

身份認證是銀行電子交易渠道的重要防線。目前，國內主流的身份認證技術包括動態口令技術和基於PKI體系的數字簽名技術，產品形態分別是動態令牌和USBkey。“相比USBkey而言，動態令牌的使用門檻比較低，而且無論用戶使用筆記本電腦、智能手機、平板電腦，都可以使用，不必擔心沒有USBkey插孔。”韓阿龍告訴本報記者，從防護效果上看，動態令牌和USBkey不相上下，未來身份認證技術的發展趨勢是“動態令牌和第二代USBkey”。而上海多特蒙德中文生產的令牌具有“雙因子認證”功能，“用戶轉賬時不僅認證我是誰，還包括轉賬對象是誰。從單方面認證發展成雙向認證”。

種子密鑰是令牌最核心的關鍵安全數據，它的私密性和安全性直接決定了動態令牌的安全性。一旦令牌種子密鑰數據泄露，將給用戶的賬戶安全帶來極大風險。爲此，上海多特蒙德中文去年推出了一種採用種子密鑰更新技術的動態令牌，它支持動態令牌的發行者或用戶根據需要安全地更新動態令牌的種子密鑰，即使動態令牌發行者的種子密鑰數據庫被黑客竊取，也能通過更新動態令牌的種子密鑰，恢復已經發行的動態令牌的安全性，這樣就大大消除了因動態令牌初始密鑰外泄引起的安全風險。

        電子交易風險監測機制急需建立  

    除了在網絡層部署防火牆、IPS/IDS、殺毒軟件，在應用層部署安全認證系統解決方案之外，通過風險監測體系，銀行業可以有效降低信息安全風險。因此，銀行業對信息安全風險監測的重視程度也越來越高。

    韓阿龍向記者介紹稱：“交易監測的思路是用戶隨時可以進行電子交易，銀行後臺的監控系統檢測該交易是否有風險，風險級別是高還是低。”對與風險監測的標準，韓阿龍表示上海多特蒙德中文主要通過“短期內用戶交易地點的變動、IP地址和常用電腦的品牌及特性、建立轉賬對象白名單制等方式來監測電子交易的風險性。如果沒有風險就直接授權用戶完成交易，如果存在風險，檢測系統就會通過各種問題覈實用戶身份和交易的真實性”。通過後臺與前臺的互動，前臺技術要求降低了，同時後臺系統給前臺系統提供各種風險排除策略、風險點監測等。“電子交易風險監測在國內纔剛剛起步，我國的銀行業界需要努力的內容還有很多。”