DBS银行的网银双重验证系统概览

近日我看到了一份新闻报道，内容是某个小企业主的网银账号被黑，损失达50万美元，我忽然意识到，原来还有那么多的银行没有采用双重认证系统。随着越来越多针对金融领域的恶意软件的出现，各个金融机构绝对不能再忽视双重认证这种能够大幅提升网络交易安全性的系统了。

以下就是我对新加坡DBS银行如何建立网络银行服务架构的一些观点。该银行通过一个安全钥匙链(类似于中国某些银行的U盾)实现登录网银以及后续网银操作的双重认证机制。在本文中我无法对DBS银行的多种互联网银行业务进行全面而且详细的描述，不过可以摘出其中几个关键性的业务组件，向大家说明双重认证是如何实现以及其效果。

转账

在资金转账到对方账号前，网银用户首先要填写对方账号的相关信息，这些信息都是必须要填写的，包括对方账号的开户人名字，银行代码，账号。另外，网银系统还会给网银用户的手机上发送一次性验证码，用户在网银转账界面输入并提交该验证码后，网银才正式接受其转账申请。接下来，用户的安全钥匙链上会生成一个代码，用户输入该代码后，资金才会被转出。同时，用户的手机和邮箱中都会收到本次转账操作的通知。

支付

在支付操作中涉及的安全步骤最少，因为接受支付的企业和机构都是已经在DBS银行注册和审核过的机构。虽然有些支付行为只是一次性的，但是也有不少网银用户会对某些商家或机构有固定周期的支付行为，比如公共事业费用，某些金融机构的定投或保险费用等，因此用户需要创建一个支付机构的列表来保存这些常用的支付对象。当用户修改自己的支付对象列表时，手机和邮箱都会收到此次操作的提醒，但是这种操作并不需要用户使用安全钥匙链。

通知

DBS银行有一套综合性的通知系统，可以通过电邮和短信的方式实现用户提示功能(Alerts功能)。为了防止黑客篡改用户接收通知的手机号码或邮箱地址，改功能区的每一项内容的改动都需要提交安全钥匙链生成的随机码，同时系统还会将改动信息以邮件和短信的形式发送给客户。作为额外的安全参考内容，系统还会将上次修改记录保存。

令人印象深刻的系统

DBS银行建立的这一系列多层次的安全系统令我印象深刻，这种系统可以很好的避免流行的自动化代理攻击。为了盗窃资金，黑客必须首先获得安全钥匙链中生成的两套代码：一套用于登录网络银行，一套用于确认转账。而在这中间，黑客还必须要截获发送到用户手机上的转账验证码。而就算黑客进入了网银用户的账户，当在转账列表中添加黑客自己的账户时，以及修改接受通知的手机号码和邮箱地址时，也会有各种提醒邮件和短信发送给用户。

结论

就算用户的电脑和手机均被恶意软件入侵，上述系统也能较为有效的阻止黑客盗用资金的行为。在这种情况下，黑客往往会倾向于寻找那些更容易下手的目标，也就是安全防范水平没有这么高的网络银行下手。