網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范(試行)技術(shù)解讀

1、網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范（試行）技術(shù)解讀發(fā)表于2010-5-14為增強(qiáng)我國(guó)網(wǎng)上銀行安全管理，增進(jìn)網(wǎng)上銀行業(yè)務(wù)健康進(jìn)展，有效增強(qiáng)網(wǎng)上銀行系統(tǒng)信息安全防范能力，2010年1月19日中國(guó)人民銀行向銀行業(yè)金融機(jī)構(gòu)發(fā)布了網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范（試行）（以下簡(jiǎn)稱規(guī)范），本文將就規(guī)范的內(nèi)容和技術(shù)特點(diǎn)做重點(diǎn)解讀。一、規(guī)范出臺(tái)的背景自1998年招商銀行率先在國(guó)內(nèi)推出“一網(wǎng)通”領(lǐng)跑網(wǎng)上金融業(yè)以來(lái)，國(guó)內(nèi)已有近百家國(guó)有銀行和城市商業(yè)銀行加入了網(wǎng)上銀行行列，紛紛開(kāi)通網(wǎng)絡(luò)轉(zhuǎn)賬、付款、貸款和投資等業(yè)務(wù)。據(jù)中國(guó)銀行業(yè)協(xié)會(huì)發(fā)布的2009年度中國(guó)銀行業(yè)服務(wù)改進(jìn)情況報(bào)告數(shù)據(jù)顯示，截止2009年底，我國(guó)網(wǎng)上銀行注冊(cè)用戶數(shù)達(dá)

2、到億，網(wǎng)銀交易額達(dá)萬(wàn)億元。網(wǎng)上銀行交易快捷、方便和操作簡(jiǎn)單的特性，極大地滿足了網(wǎng)民的交易需求，因而倍受網(wǎng)民的青睞。但是，由于互聯(lián)網(wǎng)的開(kāi)放性，網(wǎng)上銀行系統(tǒng)的安全性問(wèn)題令人擔(dān)憂。目前,犯罪分子作案手段層出不窮，通過(guò)木馬、釣魚(yú)網(wǎng)站等威脅客戶資金安全，甚至對(duì)網(wǎng)銀系統(tǒng)進(jìn)行惡意滲透破壞和拒絕服務(wù)攻擊。網(wǎng)上銀行趨利性犯罪的高發(fā)態(tài)勢(shì),不僅會(huì)損害廣大用戶的經(jīng)濟(jì)利益，也將成為網(wǎng)上銀行業(yè)務(wù)進(jìn)一步發(fā)展的掣肘。因此，我國(guó)金融行業(yè)亟需出臺(tái)一項(xiàng)網(wǎng)上銀行系統(tǒng)安全方面的標(biāo)準(zhǔn)，從技術(shù)標(biāo)準(zhǔn)層面引導(dǎo)網(wǎng)銀業(yè)務(wù)的發(fā)展。二、規(guī)范的大體內(nèi)容眾所周知，網(wǎng)上銀行系統(tǒng)在客戶端、認(rèn)證介質(zhì)、網(wǎng)銀后臺(tái)三個(gè)主要安全點(diǎn)可能存在安全隱患,而將這三個(gè)安全點(diǎn)串聯(lián)

3、起來(lái)的交易傳輸網(wǎng)絡(luò)也可能存在必然的安全風(fēng)險(xiǎn)，由此組成了整個(gè)網(wǎng)上銀行系統(tǒng)的安全風(fēng)險(xiǎn)鏈。在信息安全技術(shù)網(wǎng)上銀行系統(tǒng)信息安全保障評(píng)估準(zhǔn)則(GB/T20983-2007)的基礎(chǔ)上，結(jié)合網(wǎng)上銀行系統(tǒng)的技術(shù)和業(yè)務(wù)特點(diǎn)，人民銀行及時(shí)出臺(tái)了該規(guī)范。該規(guī)范共分為安全技術(shù)、安全管理和業(yè)務(wù)運(yùn)作三部份，各部份又別離包括大體要求和增強(qiáng)要求兩個(gè)層次，大體要求為最低安全要求，增強(qiáng)要求為三年內(nèi)應(yīng)達(dá)到的安全要求。其中，安全技術(shù)規(guī)范內(nèi)容包括：客戶端安全、專用輔助設(shè)備安全、網(wǎng)絡(luò)通信安全、銀行服務(wù)器端安全四個(gè)方面；安全管理規(guī)范內(nèi)容包括:組織機(jī)構(gòu)、管理制度、安全策略、人員/文檔管理和系統(tǒng)運(yùn)行管理五個(gè)方面；業(yè)務(wù)運(yùn)作安全內(nèi)容包括：業(yè)務(wù)申請(qǐng)

4、及開(kāi)通、業(yè)務(wù)安全交易機(jī)制和客戶宣布道育三個(gè)方面。規(guī)范要求銀行業(yè)金融機(jī)構(gòu)現(xiàn)階段要遵照?qǐng)?zhí)行基本要求，同時(shí)積極采取改進(jìn)措施，在規(guī)定期限內(nèi)達(dá)到增強(qiáng)要求。三、規(guī)范的技術(shù)特點(diǎn)規(guī)范對(duì)目前已知的網(wǎng)上銀行犯罪案例、網(wǎng)上銀行常見(jiàn)交易認(rèn)證機(jī)制存在的問(wèn)題進(jìn)行挖掘和分析，通過(guò)對(duì)商業(yè)銀行網(wǎng)上銀行安全檢查進(jìn)行深入分析和總結(jié)，從正面提出規(guī)范性要求，具有較強(qiáng)的針對(duì)性和可操作性；不僅針對(duì)網(wǎng)上銀行現(xiàn)實(shí)問(wèn)題，而且針對(duì)潛在風(fēng)險(xiǎn)點(diǎn)均提出了應(yīng)對(duì)措施，具有前瞻性；同時(shí)內(nèi)容涵蓋了網(wǎng)上銀行系統(tǒng)各個(gè)部分、交易的全過(guò)程，具有全面性。規(guī)范的主要技術(shù)特點(diǎn)包括：(1)明確規(guī)定禁止僅使用文件證書(shū)或文件證書(shū)加靜態(tài)密碼的方式進(jìn)行轉(zhuǎn)賬類操作目前，用戶使用文件證書(shū)

5、作為認(rèn)證方式時(shí)，其私鑰保存在客戶端計(jì)算機(jī)內(nèi)，而且簽名等涉及私鑰的敏感操作也在客戶的計(jì)算機(jī)上進(jìn)行。大部分對(duì)于文件證書(shū)的保護(hù)機(jī)制都依賴于瀏覽器，而瀏覽器對(duì)于文件證書(shū)的保護(hù)機(jī)制已經(jīng)不足以抵御目前的各種攻擊。因此，規(guī)范明確禁止僅使用文件證書(shū)進(jìn)行轉(zhuǎn)賬類操作，從而能夠有效規(guī)避不法分子對(duì)客戶資金安全的直接威脅，約束金融機(jī)構(gòu)更好地保護(hù)客戶利益。(2)強(qiáng)調(diào)客戶端的安全性目前，絕大多數(shù)網(wǎng)上銀行安全事件源于客戶端安全隱患。由于客戶端受到網(wǎng)上銀行木馬程序、網(wǎng)上釣魚(yú)等黑客技術(shù)的侵害，且客戶端程序基于通用瀏覽器開(kāi)發(fā)，這會(huì)存在利用通用瀏覽器的漏洞獲取客戶的網(wǎng)上銀行登錄信息的風(fēng)險(xiǎn)，另外客戶端采用的安全控件防護(hù)強(qiáng)度較弱等問(wèn)題都

6、有可能導(dǎo)致其無(wú)法抵御一些常見(jiàn)攻擊，因此對(duì)客戶端程序的檢測(cè)就顯得十分重要。規(guī)范要求在客戶端程序上線前要進(jìn)行嚴(yán)格的代碼測(cè)試，并關(guān)注最新的安全技術(shù)和安全漏洞，定期對(duì)客戶端程序進(jìn)行檢查，從而能夠及時(shí)發(fā)現(xiàn)客戶端程序存在的漏洞并采取相應(yīng)的規(guī)避措施。同時(shí)，金融機(jī)構(gòu)應(yīng)通過(guò)專業(yè)的第三方測(cè)試機(jī)構(gòu)對(duì)客戶端程序進(jìn)行安全檢測(cè)，目的是通過(guò)內(nèi)部和外部的檢測(cè)，能夠公正、及時(shí)、全面地反映客戶端程序存在的問(wèn)題，從而盡可能地保證其防范常見(jiàn)的針對(duì)網(wǎng)上銀行客戶端的攻擊，例如防范采用掛鉤Windows鍵盤(pán)消息等方式進(jìn)行鍵盤(pán)竊聽(tīng)。(3)對(duì)硬件數(shù)字證書(shū)的應(yīng)用提出規(guī)范要求USBKey作為專用輔助安全設(shè)備的主流產(chǎn)品，其相關(guān)安全測(cè)試和準(zhǔn)入機(jī)制還不

7、完善，黑客可能利用USBKey設(shè)計(jì)上存在的缺陷獲得對(duì)Key的控制權(quán)。規(guī)范要求USBKey能夠防范常見(jiàn)的物理攻擊和邏輯攻擊，進(jìn)行PIN碼加密傳輸,并在進(jìn)行敏感操作時(shí)具有提示功能。同時(shí)規(guī)范要求對(duì)網(wǎng)上銀行上經(jīng)常使用的USBKey、OTP令牌、動(dòng)態(tài)口令卡和其他專用輔助安全設(shè)笛進(jìn)行安全性檢測(cè)，從源頭上解決專用輔助安全設(shè)得的安全缺陷所導(dǎo)致的網(wǎng)上銀行安全問(wèn)題，有效防范應(yīng)用中的漏洞隱患。(4)交易機(jī)制的規(guī)范化基于客戶計(jì)算機(jī)終端不安全的假定規(guī)范要求網(wǎng)上銀行系統(tǒng)應(yīng)具有防范客戶端數(shù)據(jù)被篡改的機(jī)制，校驗(yàn)客戶提交的數(shù)據(jù)之間的隸屬關(guān)系，并由客戶確認(rèn)轉(zhuǎn)賬交易關(guān)鍵數(shù)據(jù)，以確保交易數(shù)據(jù)的真實(shí)有效。在進(jìn)行確認(rèn)時(shí)，推薦使用手機(jī)短信

8、或電話等第二通信渠道請(qǐng)求客戶反憒確認(rèn)交易信息。同時(shí)，為了使客戶能夠及時(shí)獲取資金變化的信息并發(fā)現(xiàn)可疑交易，規(guī)范規(guī)定了轉(zhuǎn)賬交易中，金融機(jī)構(gòu)應(yīng)提供及時(shí)通知客戶資金變化的服務(wù)，通過(guò)采取有效措施，最大限度地保障客戶信息和資金安全。(5)關(guān)注Web應(yīng)用安全大部分網(wǎng)上銀行系統(tǒng)都通過(guò)*cb向用戶提供服務(wù)，在正cb應(yīng)用中，規(guī)范要求應(yīng)注意防范SQL注入、跨站腳本攻擊、拒絕服務(wù)攻擊等，保障網(wǎng)上銀行系統(tǒng)能夠經(jīng)受黑客等不法分子的攻擊，從而保證系統(tǒng)持續(xù)、安全運(yùn)行。四、規(guī)范出臺(tái)的意義規(guī)范是人民銀行多年來(lái)對(duì)銀行業(yè)網(wǎng)上銀行信息安全管理工作實(shí)踐與經(jīng)驗(yàn)總結(jié)的提升，是對(duì)金融信息安全認(rèn)識(shí)不斷深化的重要成果，也是有效降低金融網(wǎng)絡(luò)案件、維護(hù)金融穩(wěn)定的重要舉措。規(guī)范為金融機(jī)構(gòu)開(kāi)展網(wǎng)上銀行系統(tǒng)建設(shè)，內(nèi)部安全檢測(cè)和合規(guī)性審計(jì)提供了規(guī)范性依據(jù)，為行業(yè)主管部門(mén)、評(píng)估測(cè)試機(jī)構(gòu)進(jìn)行檢查、檢測(cè)提供了標(biāo)準(zhǔn)化依據(jù)。規(guī)范實(shí)施后，必將明顯提高網(wǎng)上銀行整體安全水平，特別是認(rèn)證機(jī)制、交易機(jī)制安全性的完善提