摘要：針對網上交易安全內容及電子交易系統身份認證方式，提出客戶端網上交易安全防范策略，借此提高網上交易安全性，保護大眾客戶的財產不受損失。

關鍵詞：網上交易；安全；風險防范

中圖分類號：TP393文獻標識碼：A文章編號：1009-3044(2008)12-20ppp-0c

It is Essential for Ordinary People to Avoid the Risks of Doing Business over the Internet

WANG Xiu-ying

(Vocational Technology Academy， Liaoning Technical University， Fuxin 123000， China)

Abstract: When doing internet trading and electronic ID authentication， it is necessary to take precautions and protective measures to assure client computer security， in order to improve the safety of internet trading and guard the assets of ordinary people.

Key words: internet trading; security; beware the risks

1 引言

隨著中國股市的崛起，極大地激發(fā)了人們的投資熱情。目前，中國股民開戶數已達1.4億多戶。中國股市的繁榮直接帶動了網上交易的蓬勃發(fā)展，它以其方便、快捷等特點受到廣大股民的喜愛。同時，隨著銀行業(yè)、保險業(yè)電子化進程不斷深化和完善，網上交易已悄然走進千家萬戶。然而網上交易在給人們帶來方便的同時，也給大家?guī)砹税踩[患，網上交易犯罪數量不斷攀升，給國家及個人財富帶來極大的風險。有鑒于此，本文從分析網上交易過程入手，幫助大眾用戶防范其交易風險。

2 網上交易安全內容

網上交易安全問題主要包括三方面的內容：Web服務器及其數據的安全、Web服務器和用戶之間傳遞的信息的安全以及終端用戶的計算機及其他連入Internet的設備的安全。Web服務器及其數據的安全問題主要包括：保證服務器能夠持續(xù)穩(wěn)定運行；保證只有經過授權才能修改服務器上的信息；保證能夠把數據發(fā)送給指定的接受者。Web服務器和用戶之間傳遞的信息的安全問題主要包括：確保用戶提供給Web服務器的信息如用戶名、密碼、財務信息、訪問的網頁名等不被第三方所閱讀、修改和破壞；保護用戶和服務器之間的鏈路，使得攻擊者不能輕易地破壞該鏈路。終端用戶的計算機及其他連入Internet的設備的安全問題主要包括：用戶需要使用Web瀏覽器和安全計算平臺上的軟件，必須保證這種平臺不會被病毒感染或被惡意程序破壞；用戶需要保護自己的私人信息，確保它們無論是在自己的計算機上還是通過在線服務時都不會遭到破壞。

通過對網上交易攻擊難度的評估，以及對近年來網上電子交易案件分析，可發(fā)現直接攻擊Web服務器端或Web服務器和用戶之間連接的案例并不多見，技術難度也較高。因此，攻擊者往往把目光盯上了疏于保護的用戶的桌面電腦上，通過種植木馬病毒等方式，竊取用戶的用戶名、口令、賬號及數字證書，進而冒充用戶進行電子交易，達到竊取資金的目的。下圖為網上交易攻擊手段難易度評估圖，從圖中可以看出網上交易安全防范最薄弱的環(huán)節(jié)——客戶端的攻擊。在此就客戶端對網上攻擊的防范手段做以分析，寄予幫助大眾客戶能夠安全的使用網上交易，真正享受到網上交易帶來的好處。

3 電子交易系統身份認證方式

電子交易系統身份認證方式主要分為靜態(tài)口令、動態(tài)口令、數字證書、生物認證等四種主要方式。

靜態(tài)口令是由用戶自行設定的口令，一般情況下，用戶不會在一個相對短的時間間隔內頻繁地更換自己的口令，因此這種口令基本上是靜態(tài)方式；動態(tài)口令是由特定手持終端設備生成的，根據某種加密算法，產生一個隨某一個不斷變化的參數（例如時間，事件等）不停地、沒有重復變化的一種口令。動態(tài)口令令牌是用戶每隔一分鐘變換一次口令，攻擊者沒有辦法推測出用戶的下一次登錄口令；數字證書則是由證書認證機構（CA）對證書申請者真實身份驗證之后，用CA的根證書對申請人的一些基本信息以及申請人的公鑰進行簽名（相當于加蓋發(fā)證書機構的公章）后形成的一個數字文件，能夠保證用戶在網上傳送信息的安全，防止其他人對信息的竊取或篡改；生物認證是通過人體的唯一生物特征對身份進行識別的方法，如指紋認證、掌紋認證、面容認證、聲音認證、虹膜認證、視網膜認證等，目前指紋認證運用最為廣泛。

靜態(tài)口令、動態(tài)口令、數字證書、生物認證四種認證方式的安全程度是有差異的，通常情況下，生物認證安全性最高，數字證書、動態(tài)口令次之，靜態(tài)口令安全性最差。然而靜態(tài)口令對軟、硬件環(huán)境要求不高，管理和使用也比較方便和容易，因此，在我國大部分客戶都使用靜態(tài)口令。

4 客戶端網上交易安全防范手段

（1）妥善保管好相應的認證信息。不要在網吧等公共場所使用網銀等敏感的網上交易系統，不要輕易相信陌生的電話或者短信、郵件，泄漏個人資料。靜態(tài)口令應牢記腦中，動態(tài)口令要謹慎保管，以免丟失特定的動態(tài)口令令牌。數字證書不要存儲在硬盤文件夾上，而應存儲在IC卡或USBKey中，一旦使用完畢立即從電腦上拔除。

（2）及時升級操作系統安全補丁和更新防病毒軟件。避免攻擊者利用操作系統相關漏洞進行攻擊，并在網上交易時打開防毒軟件和個人防火墻，保護個人資料。

（3）謹防進入釣魚網站。在登錄網上交易系統時應留意核對所登錄的網址是否相符，謹防攻擊者惡意模仿相應網站，騙取賬戶和密碼等信息。

（4）選擇好的密碼。好的密碼很難被猜出，應注意字符、數字及標點符號、控制符號組合，大小寫組合，并且避免使用如生日、電話號碼等容易猜測的組合，同時將網上銀行登錄密碼和對外支付的密碼設置成不同的密碼并定期更新。

（5）不隨意下載網上可執(zhí)行程序和圖片。原則上只下載和使用經過代碼簽名的可執(zhí)行程序，以免被木馬病毒感染。

（6）充分利用銀行提供的增值服務。現在大多數銀行都提供了交易的短信和郵件提醒，可以充分利用銀行的貼心服務，及時掌握自己的賬戶變動情況。

5 結束語

安全是相對的安全，沒有絕對的安全，是系統就一定有漏洞，對于銀行系統來說也是如此。只要我們不斷加強自身的防范意識，努力做好桌面客戶端認證信息保密工作，再加上銀行不斷升級的安全服務，就會把損失降到最低，從而真正享受到網上交易給你帶來的實惠。

參考文獻：

[1]孟祥瑞. 網上支付與電子銀行[M]. 華東理工大學出版社，2005.

[2]James Stanger. 安全專家全息教程[M]. 電子工業(yè)出版社，2003.

[3]石志國. 計算機網絡安全[M]. 清華大學出版社，2006.

收稿日期：2008-02-25

作者簡介：王秀英（1965-），女，遼寧建平人，講師，碩士，主要從事計算機技術的研究。