完整版建设银行网上银行安全策略方案的分析毕业设计.docx

1、完整版建设银行网上银行安全策略方案的分析毕业设计目 录第一章 网上银行的概念与特点 11.1 网上银行的概念 11.2 网上银行的特点 11.3 发展电子银行业务的意义 21.4 网上银行的发展趋势 31.4.1 国外网上银行的发展状况 31.4.2 中国网上银行发展状况 41.4.3 中国商业银行电子银行业务的发展特点 51.4.4 中国各个银行网上银行发展情况介绍 7第二章 建设银行网上银行安全问题分析 82.1 系统构架缺陷 82.2 银行交易系统的安全性 92.3 网络通讯的安全性 122.4 网银防火墙受到的安全威胁 132.4 网上银行个人认证介质（安全工具）的安全 142.4 客

2、户端主要受到的威胁 152.4.1 客户端的漏洞 152.4.2 客户端被黑客木马攻击 172.4.3 客户端进入仿冒网站 18第三章 建设银行网上银行目前采用的安全措施分析 193.1 网上银行短信服务 193.2 加强证书存贮安全 193.3 动态口令卡 213. 4 先进技术的保障 243.5 双密码控制，并设定了密码安全强度 253.6 交易限额控制 273.7 信息提示，增加透明度 283.8 客户端密码安全检测 28第四章 对建行网上银行面临安全问题的建议 284.1 法律法规 284.2 网络安全 294.3 信用体制 294.4 人才培养 30致 谢 1参考文献 - 0 -摘

3、要网络银行作为21世纪一种新兴的金融业,其低廉的成本和广阔的前景,已越来越得到人们的重视。伴随着信息化、数字化和网络化的发展浪潮，网上银行不断地高速发展，功能不断地完善，业务量不断地迅速增加，我国越来越多的金融机构开始加快网上银行建设步伐。建设银行在这一过程中走在了全国各大银行的前面，发展较快。但是网上银行的发展很大程度上受“安全”这个问题制约。本文试图全面分析建设银行网上银行存在的安全问题及对这些问题进行分析。本文首先分析了建设银行网上银行安全问题分析；其次对建设银行网上银行目前采用的安全措施进行了分析；最后对建行网上银行面临安全问题给出、法律法规、网络安全、信用体制、人才培养方面的建议。关

4、键词：网上银行，安全策略，安全分析第一章 网上银行的概念与特点1.1 网上银行的概念网上银行，是指金融机构利用互联网技术向客户提供信息查询、网上支付、投资理财等金融服务，能够使客户不受时间和空间的限制，便捷地享受到金融机构提供的服务。网上银行有两个层次的含义：一个是机构概念，是指通过信息网络开办业务的银行，也叫“虚拟银行”，它没有实际柜台作支持，没有分支机构和营业网点；另一个是业务概念，是指在现有传统银行基础上，通过互联网向客户提供金融服务，也就是银行服务在互联网上的延伸，这是目前网上银行主要存在方式，本文网上银行概念即是此类。20世纪90年代，网上银行凭借低成本、个性化的服务以及突破传统银行

5、在时间和空间上限制等优点，在全球范围内掀起了一阵发展热潮。1.2 网上银行的特点网上银行的特征可概括为5W：实现为任何人（whoever）在任何时间（whenever）和任何地点（wherever）与任何账户（whomever）用任何方式（Run下创建：“svch0st.exe”=%System%svch0st.exetaskmgr.exe=%System%svch0st.exe ”。（3）窃取个人网上银行信息。病毒运行后检查IE窗口标题栏，判定当前窗口是否为网上银行的登录页面，涉及到国内多家银行的网上交易系统。一旦发现当前IE窗口为上述银行的登录页面，病毒立即开始记录键盘输入的所有键值，记录

6、的键值几乎包括了所有可能的键盘录入。窃取的用户信息包括网上银行的账号、密码、验证码等。 （4）发送窃取信息到指定地址。病毒截获被感染计算机所输入的键盘值后，将其窃取到的信息发送到指定的地址。原理：木马程序 ，非主动传播，主要通过用户在浏览某些网页或点击一些不明连接及打开不明邮件附件等操作时，间接感染用户电脑。解决办法：终止病毒进程svch0st.exe 。注册表修复。删除病毒释放的文件svch0st.exe 。配置防火墙和边界路由器 。2.4.2 客户端被黑客木马攻击有些网银客户习惯将数字证书保存在软、硬盘中，而一旦系统中了木马，黑客很容易将证书、银行账号和密码一起拷走，使客户蒙受经济损失。冰

7、河，国产木马，有G_Client.exe，G_server.exe二个文件。客户端界面：具体功能：（1）自动跟踪目标机屏幕变化，同时可以完全模拟键盘及鼠标输入，即在同步被控端屏幕变化的同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕(局域网适用)。（2）记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现过的口令信息。（3）获取系统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据。（4）限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制。（5）远程文件操作：

8、包括创建、上传、下载、复制、删除文件或目录、文件压缩、快速浏览文本文件、远程打开文件（提供了四中不同的打开方式正常方式、最大化、最小化和隐藏方式）等多项文件操作功能。（6）注册表操作：包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能。（7）发送信息：以四种常用图标向被控端发送简短信息。（8）点对点通讯：以聊天室形式同被控端进行在线交谈。2.4.3 客户端进入仿冒网站不法分子以垃圾邮件的形式大量发送欺诈性邮件，这些邮件多以中奖、顾问、对账等内容，或是以银行账号被冻结、银行系统升级等各种理由，要求收件人点击邮件上的链接地址，登录一个酷似银行网页的界面，而用户一旦在这个指定的登

9、录界面输入了自己的卡（账）号、密码等，这些信息就会被窃取。 近期建行发现，不法分子以所谓 “某银行网络安全科”的名义，向客户发送电子邮件，谎称持卡人账户被冻结，并要求客户到指定的网页修改密码。用户登录页面过程中很容易被“网络钓鱼”。黑客常常诱骗用户登录到酷似银行官网的虚假网站并输入认证信息，从而间接获取用户认证信息。2005年2月28日，网友小姚在一个名为“利好交易网”的网站上，点击进入了某银行网上支付系统，他在输入了自己的卡号和密码后却无法登录。好在小姚及时地发现这个某银行网站和去年被媒体所曝光的那个假网站非常相似，并迅速赶往附近的工行，取出卡里的大部分钱，只留下71元。几个小时后，当小姚再

10、次查询余额时，发现卡里除了仅有的1元钱外，其他的70元钱早已不翼而飞。不法分子克隆一个与银行网站一模一样的网页，并且使用的登录地址也与银行网站的地址非常接近，然后使用一些电脑病毒程序、垃圾软件等将假网站地址发送到客户的电脑上，或放在搜索网站上诱骗客户登录，以窃取客户卡号、密码等信息。 如某行曾经发现的“”、“”、“”等假网站，与某行网站地址“”、“”十分相似。第三章 建设银行网上银行目前采用的安全措施分析各个银行硬件的结构及基于硬件的安全防范大同小异，为了让建设银行网上银行客户能安全、放心地使用网上银行，建设银行网上银行建行制定了八大安全策略，以全面保护客户权益及资金的安全。3.1 网上银行短

11、信服务中国建设银行网上银行提供了从登陆、查询、交易、直到退出的每一个环节的短信提示服务，客户只要开通了短信服务，定制个性化的服务功能，就可以直接通过网上银行捆绑其手机，随时掌握网上银行使用情况，了解资金账户的信息。中国建设银行网上银行短信服务的开通过程：（1）登录网上银行后，进入“安全中心”菜单，选择“短信服务”下的“短信提示设置”。 （2）选择短信提示功能项； （3）选择“同意”后，点击“获取确认码”，建行将会把确认码发到您所输入的手机上； （4）输入确认码； （5）点击“确认”如果您的手机号码更换了，您需要进入“安全中心”下的“短信服务”中，选择“撤销短信服务”，输入您开通短信服务时建行发

12、送给您的确认码。如果该确认码您已经忘记，可以点击“重发确认码”获取新的确认码，然后输入此新确认码。点击“确认”后，您的短信服务将撤销。更改手机号码必须凭身份证及账户介质（卡或折）到建行网点办理。建行网上银行提供了从登陆、查询、交易、直到退出的每一个环节的短信提醒服务，您可以直接通过网上银行捆绑其手机，随时掌握网上银行使用情况。3.2 加强证书存贮安全建设银行网上银行系统支持网银盾证书功能。网银盾具有安全性、移动性、使用的方便性，在推广网银盾证书的时候，考虑到客户的需求，在网银盾款式、附加功能上进行了创新。 网银盾是指建设银行向客户提供的类似于U盘的“电子证书存储器”。 网银盾是一个具备USB接

13、口，具有一定的存储空间，用以存储用户（网上银行客户）数字证书，实现对用户身份认证和交易信息加密的硬件设备，常称USBkey（网银盾是建设银行USBkey品牌，工商银行的USBkey品牌叫U盾，农业银行叫K宝）。图1所示。图1 建行网银盾图例建行网上银行系统可支持USBkey网银盾证书功能。网银盾预先存储电子证书、无需专门安装驱动软件。由于网银盾能够确保网上交易的保密性、真实性、完整性和不可否认性。因此，可以全面保护您的账户信息与网上资金交易的安全，是您进行网上银行业务的安全产品。3.2.1 网银盾的使用特点（1）无驱无软、预制证书，真正做到即插即用。（2）国内领先的安全保障，使您远 离黑客、木

14、马病毒。（3）进行网上银行业务的最佳选择。（4）使用完毕后立即拔出，不要长期插在电脑上。3.2.2 网银盾的办理流程 客户携带本人有效身份证件、账户介质（龙卡、存折）到建设银行网点申请使用建行网银盾。网银盾的办理流程如图2所示。图2 网银盾的办理流程3.3 动态口令卡建行网上银行除了向客户提供证书保护模式外，还推出了动态口令卡，可以免除了您携带证书和使用证书的不便，动态口令卡样式轻小、安全性高。 建行网上银行除了向客户提供“网银盾”外，还推出了动态口令卡。动态口令是一种动态密码技术，简单地说，就是客户每次在网上银行进行资金交易时使用不同的密码，进行交易确认。动态口令卡可以免除了您携带证书和使用

15、证书的不便，动态口令卡样式轻小、安全性高。建设银行推出的网上银行动态口令卡是一种大小、形状与银行卡一样的卡片（如图4-5-10所示），俗称刮刮卡。每张卡片覆盖有30个不同的密码，客户在使用网上银行办理账务类交易时，需要输入交易密码时，只需按顺序输入刮刮卡上的密码即可，每个密码只可以使用一次。3.3.1 动态口令卡的使用特点（1）一次一密、安全可靠。长期以来，客户为自己设置的银行账户或其他密码均为静态密码，且进行密码设置时存在一种惯性。为了便于记忆，经常使用位数少、简单，或有规律的静态密码，这样的密码容易被犯罪分子破解，而设置位数多、复杂的静态密码并经常更换，又很容易造成密码混乱或遗忘的情况。相比之下，动态口令一次一密的方法，克服了静态密码的上述缺点，不需客户设置、记忆，每次都使用新的密码，彻底解决了一些不法分子利用“木马”病毒窃取网上银行密码的问题，客户从此可以放心无忧地使用网上银行。（2）操作简单、方便快捷。动态口令的生成与客户电脑无关，不需要在客户的电脑上安装任何程序，无需记忆复杂的口令。客户只需要使用银行提供的刮刮卡，并按照提示进行操作即可，过程简单，使用方便。（3）技术成熟、应用广泛。动态口令技术经过二十多年的发展，已经相当成熟，在国外网上银行的使用也有六