打开电子银行安全大门的钥匙.docx

ESS 打开电子银行安全大门的钥匙

安全体系建设是电子银行快速发展的奠基石
随着电子银行的快速发展，国内外银行都在思考核心竞争力问题，如何打造以客户为中心的强大服务体系。如何以客户为中心实现业务的创新、如何以客户为中心实现精准营销、如何以客户为中心提升用户体验、以及如何以客户为中心保障交易安全等问题。尤其是现阶段安全问题的频频出现，导致客户对电子银行的可信赖度下降。
电子银行安全体系的建设要考虑到随需应变、前后台一体化建设方针。要针对电子银行安全现状问题、渠道安全劣势、客户安全意识程度、以及认证设备安全性等多方面综合分析，制定出具有完整性、问题针对性，并能够以客户为一个中心、面向全渠道安全服务、面向统一集中管理控制的安全体系建设方案。

电子银行即将面临的问题
现阶段银行为提高电子渠道交易安全，综合客户的使用习惯、认证设备操作复杂程度、认证设备的安全性、渠道应用的适用性，所以必然要采用多种认证设备解决不同层面的交易安全问题。例如动态口令虽然方便易用，适合多渠道应用，但相对比UKEY操作要复杂，UKEY随相对安全，但只适合网上银行渠道应用。目前大多数银行都已支持主流的短信口令、动态口令、UKEY、文件证书等认证设备，并且绝大多数银行的认证设备由多家厂商提供。这就带来一些问题：
1. 哪些渠道、哪些交易、哪些人群采用哪些认证设备，认证设备交易限额策略如何定义等一系列问题，需要具有专家团队咨询规划。
2. 如何支持多种认证设备、多厂商不同标准的认证设备集成。
3. 同一个人开通了动态令牌，又开通了高额度短信告警提示，那么认证系统又如何支持统一签约管理、认证系统又如何判断在何时采取何种认证设备，来支持客户安全策略。
4. 认证服务如何满足多渠道应用的需要，支持多种协议、多种接口。
5. 电子银行客户的迅速发展，上千万用户、高性能、高稳定性的技术需求如何满足。

宏基恒信统一认证平台产品特性
1. 认证扩展集成标准
各认证设备厂商可以基于此标准集成时间令牌、事件令牌、刮刮卡、软件令牌、矩阵卡、挑战应答令牌、短信口令、文件证书、UKEY等多种认证
2. 支持多渠道多协议接入
支持网上银行、手机银行、电话银行、ATM、自助等渠道的HTTP、Socket、Soap等多种通讯协议的接入。
3. 认证设备统一签约管理
支持认证设备的绑定、解绑、注销统一签约管理。也可以基于银行统一签约管理实现用户令牌认证、用户令牌同步、用户令牌挂失、用户令牌激活、用户交易验签等功能。避免渠道系统首先到统一签约看用户与认证设备绑定关系，再去认证系统去做认证的复杂业务逻辑，从而降低渠道系统集成的难度。
4. 灵活的安全服务扩展能力
不仅仅是提供认证设备的安全服务，也可以提供密码输入控件服务、渠道密码认证服务、短信交易内容鉴别等扩展服务。
5. 高性能处理能力
每秒钟>3000笔交易、每笔<100ms响应时间的高性能处理能力。支持Windows、Linux、Aix、HpUx操作系统，Oracle、DB2、Postgre数据库，WebLogic、WebSphere、Tomcat中间件。
6. 可结合交易风险监控实现风险控制策略
可根据交易风险监控系统计算的风险结果制定多种风险控制策略，例如阻断交易、挂起交易（电话沟通核实交易内容）、组合加强认证手段、告警等。

钓鱼网站问题如何解决、宏基恒信能帮您做些什么
为什么钓鱼网站喜欢国内银行，根本原因是国内用户认知度问题。换个角度来说，世界上没有绝对最安全的概念，认证设备也同样如此，只有在最合适的交易情况下采取最合理的认证设备才是更安全的解决方案。因为一代UKEY也存在交易内容篡改的危险，信用卡支付无需密码、认证设备进行交易也存在被钓鱼的风险。所以动态口令不是钓鱼的罪魁祸首，关键取决于银行如何去使用它。那么银行应该如何去防范钓鱼网站呢？
我们认为问题的关键在于电子银行交易安全规划的问题：
1. 我们建议采用动态令牌和渠道密码组合认证的情况下，交易额度应适当控制到最低，比如日累计交易额为5千元。但此类客户群需要明确，比如30岁以下对网络安全有一定认知度的年轻人。例如工商银行针对指定范围的客户群下发口令卡认证设备。
2. 为加强交易的安全可采用动态口令、短信交易内容鉴别和渠道密码组合认证方式，或一代UKEY、短信交易内容鉴别和渠道密码组合认证方式，采用此方案的交易额度可以控制在10万元左右。
3. 如果为满足更高交易额度的安全需求、以及用户体验需求，可以采用二代UKEY或挑战应答令牌认证设备。
从防钓鱼技术上手段上，宏基恒信统一认证平台也可以提供与用户计算机绑定方式、或通过用户敲击键盘的行为特征匹配方式来辅助加强用户身份识别。
我们不只是做的认证平台这个系统，我们做的是电子银行安全体系的完整解决方案，针对银行渠道业务规划合理的认证策略。

为什么选择宏基恒信统一认证平台
第一、我们的出发点统一平台，支持时间令牌、事件令牌、刮刮卡、软件令牌、矩阵卡、挑战应答令牌、短信口令、文件证书、UKEY等多类型认证设备，多家厂商认证设备集成，能够为全渠道提供安全服务。
第二、我们专注于银行业电子银行安全体系建设，具有国内中国银行、交通银行、光大银行等多家大型银行成功案例。中国银行案例能够支撑5千万用户规模，每秒钟>3000笔交易的高性能系统处理能力，光大银行案例能够支撑500万用户规模，为网上银行、手机银行、电话银行等多渠道提供安全服务。
第三、我们具备资深电子银行安全专家实施团队，包括电子银行业务专家、安全密码博士、资深安全咨询顾问。我们认为确保项目成功更重要的因素是人。
这三点也是我们与其他厂商的不同之处。

总结
宏基恒信统一认证平台更适合电子银行安全体系的发展趋势，良好的认证设备扩展能力，良好的多渠道集成能力。国内最早的认证系统，多年的成功经验告诉合作伙伴，选择认证系统宏基恒信最专业。