保障网银安全：需解决五大威胁

“如果银行不改变，我们就改变银行”。2012年，阿里巴巴集团董事长马云几年前讲的这句话突然在互联网广泛流传。紧接着，阿里巴巴推出“余额宝”，“阿 里小贷”等业务，让中国的银行业经历了一次不大不小的地震。而腾讯、百度、新浪等互联网巨头紧追其后，先后推出了自己的金融业务，更让中国的银行业感受到 从所未有的冲击与压力。很多银行纷纷开始做出行动，建设银行推出“善融商务”平台，招商银行推出“微信银行”，光大银行推出“融e贷”线上实时贷款服务……中国的银行似乎真的开始 “改变”了。纵观这些改变，都围绕着“互联网”和“金融”两大主题，说明互联网技术的发展已经逐渐渗透到银行的各项主营业务，并产生一系列深刻的影响。网 上银行作为银行互联网业务的主要渠道和入口，被提到了前所未有的战略高度。

另一方面，互联网的威胁也在迅速的发展，庞大的黑色产业链，掌握精湛渗透技术的黑客、复杂高明的病毒木马以及无所不在的钓鱼网站和欺诈，都对网上银行的安 全提出了挑战。而年初的斯诺登“棱镜门事件”更为国人的信息安全意识敲响警钟。面对复杂的网络环境，各大银行网上银行的安全建设水平怎样？监管政策的符合程度如何？这些安全防御系统在资深的安全专家面前，是牢靠如传说中“宙斯盾”，还是根本脆弱的不堪一击？这些问题，无论是网银用户还是网上银行的管理者都 非常迫切的想知道答案。

2013年初，绿盟科技的安全专家们根据2012年末标准普尔发布的《中国50大银行》报告，对这50大银行的个人网上银行登录进行了调查、分析和深入研究，并于近期发布了《个人网上银行登录安全研究报告》。报告站在个人用户、渗透专家、监管机构以及安全架构专家几个不同视角，对当前中国50大银行的网上 银行登录安全给出了一个较为全面的比较、分析和评判。

1、个人用户：安全措施日益多样，且细节丰富

安全会话、身份鉴别、输入保护、验证码、失败处理、浏览器功能屏蔽、预留信息、登录提醒及限制策略……从用户角度看，网上银行的安全防护策略真的是层出不穷，让人眼花缭乱。彷佛对于银行机构来讲策略越多就越安全。但对中国50大银行网上银行登录安全策略进行研究后发现了新的观点，例如：验证码是登录过程中负面体验、预留信息的安全作用并不明显、与登录限制相关的策略虽然百花齐放，但效果并不很好等等，这些观点都可以为银行网上银行安全策略的调整提供参考。

2、攻与防：解决突出的五大威胁是保障网上银行登录安全的关键

从渗透专家的视角来看：网络钓鱼、恶意代码攻击、暴力破解密码、登录的恶意滥用及用户身份假冒仍然是目前网上银行登录的五大威胁。而对抗这些威胁，银行所采取的措施起到了明显的作用，但登录的恶意滥用和用户身份假冒依然让人头疼，无法有效解决。

3、监管机构：合规不是终点，而是起点，不要输在起跑线上

2012年，中国人民银行陆续下发红头文件提醒银行机构注意提升信息安全，并将《网上银行信息安全通用规范》再次修订并发布，银监会也陆续做出一系列的行动，监管机构的良苦用心可见一斑。而从安全的防护角度来讲，合规是最基本的驱动力，满足法规的要求也是信息安全建设的基础。然而通过对50大银行机构的调查发现，从网络通信、安全控件和软键盘三个方面，银行机构的信息安全建设都不容乐观，尚有较大的提升空间。合规不是终点而是起点，似乎银行机构们还没有为互联网金融业务的起跑做好充分的准备。

4、局限性： 技术也有不足，得失都要自己承担

最后，绿盟科技的安全顾问指出，每一项安全技术都有不足和局限，如何使用多种不同的安全技术相互弥补，达到最佳的防御效果是网上银行安全防护的难题。毕竟，银行机构要为网上银行安全的结果负责，而不是其中的过程。

报告从四个不同的视角对网上银行登录的安全进行重新审视，希望可以为建设较为完善的银行机构提供一点启发，找到进一步提升网上银行登录安全的思路或灵感。为安全建设尚不完善的机构明晰不足，对其后续网上银行信息建设提供一些建议。正如绿盟科技资深安全顾问白雷所讲：

“信息安全的实践告诉我们一个事实，没有100%的安全，网上银行的安全也同样如此，因此建议各网上银行应当提高网银自身的抗打击能力，最大限度的提高攻击的成本和实施攻击的难度，对网银客户端应当综合采取防护、管理、控制与审核等多层次、协调一致的安全措施”。

网上银行的安全之路漫长修远，而绿盟科技将与银行同仁们一起努力，在提升网上银行登录安全的路上不断探索发现，共同捍卫网银用户的资金安全。