网银U盾安全分析.ppt

网银U盾介绍及安全分析 一、什么是U盾 概念：U盾又俗称优盾，是网银安全的卫士。它是一种客户证书USBkey，是银行提供的办理网上银行业务的高级别安全工具，用于在网络环境里识别用户身份的数字证书，也是目前网上银行客户端级别最高的一种安全工具。 功能：它内置微型智能卡处理器，采用1024位非对称密钥算法对网上数据进行加密、解密和数字签名，确保网上交易的必威体育官网网址性、真实性、完整性和不可否认性，可以有效防范支付风险，确保客户网上支付资金安全，使用方便是一种办理网上银行业务的高级别安全工具。它外形酷似U盘，像一面盾牌，时刻保护着您的网上银行资金安全。 二、如何使用U盾 如果在网上购物时并没有插入U盾，是完成不了交易操作的，如下图： 三、U盾的工作原理 1、当你尝试进行网上交易时，银行会向你发送由时间字串，地址字串，交易信息字串，防重复攻击字串组合在一起的一组字串，以及该字串HASH算法摘要，它们都由你的公钥加密，这样就可以保证只有你能解密这个字串及其摘要 2、你计算该随机数的HASH摘要，并和用私钥解出的HASH摘要比对，两者相同后，便可确认银行的身份3、接下来，以一个只有你和银行知道的算法，利这个字串和一些其它信息，生成另外一个字串和相应的HASH摘要，再用私钥加密后发回银行。(此时银行也以相同的算法计算该“响应”) 3、银行用公钥解密，并验证HASH正确，接下来银行比较两个相应是否相同，相同的话客户的身份也确认了至于私钥的必威体育官网网址性由U盾来完成。U盾的控制芯片被设计为只能写入证书，不能读取证书，并且所有利用证书进行的运算都在U盾中进行。所以，只能从U盾读出运算结果。 四、U盾的安全措施 五、U盾存在的问题和解决的方法 问题一：交互操作存在漏洞 目前的大多数银行使用的U 盾的PIN 吗都是从电脑上输入的， 因此黑客可以通过木马程序直接拦截到U 盾的PIN 码，如果用户没有及时取走U 盾， 那么黑客还可以进一步通过PIN码来操作U 盾。一个非常极端的情况，当个人用户的电脑已经完全被黑客远程控制， 并且所有键盘和屏幕的操作都会被拦截的时候，目前的U 盾是否还能保证安全交易呢?我看未必，因为此时U 盾的PIN 码已经完全可能会被黑客拦截，当用户操作完一次U 盾后，假如没有立即拔出U 盾，那么黑客完全可能在这个间歇期伪造一次交易，而此时U 盾以及PIN 码都可以验证通过。 解决方法: 针对现有U 盾的键盘输入PIN 码的漏洞，可以使用生物技术（例如个人指纹）来替换键盘录入PIN 码，或者在U 盾上增加确认键。也就是说，交易时候接入U 盾，我们不需要再到键盘录入PIN 码来验证身份，我们只需要在U 盾的设备上按一下指纹，就能自动验证个人身份， 这种身份验证机制带来的安全性和实用性是一种跨时代的提高，用户不可能再忘记密码了，只需要验证指纹即可，指纹的验证实在外部设备上进行的，电脑即使被黑客完全控制也无法截取到用户的指纹， 从而保证了PIN 码的唯一性和安全性。或者在U 盾上增加一个确认键，也就是在输入PIN码后必须要用户按U 盾上的确认键才会被认证。 解决方法： 变更U 盾的硬件，在U 盾上增加一个显示屏，能够显示交易信息和数字，交易必须在用户核对显示屏上的信息和数字，并且按下U 盾上的确认键才能得到确认。也可以让交易金额从U 盾上录入，以防止数据在传入U盾之前被篡改，不过这样做需要增加数字键和确认键，这势必使得U 盾的体积增大，幸好现在有了小巧方便的触摸屏，可以将U盾的显示屏用为触摸屏，减小体积。 PS：前面哪张图就是第二代U盾，自带触摸屏的。 第五部分内容小结 当然，更加安全的U 盾必然会导致其成本的上升，不利于大规模的推广应用， 增加这些新的安全措施带来的成本还是相当大的；然而随着电子商务的普及，交易的安全性已经严重威胁到了每一个网民的每一笔交易，所以为了交易的安全，为了电子商务的普及，大规模的改进U 盾的安全措施还是有必要的。同时随着技术的进步， 很多原来高高在上的技术已经进入普通民众的生活，比如触摸屏技术，指纹识别设备等，也使得提高U 盾的安全性在成本和技术上具备了可行性。 六、潜在的威胁-摇摇欲坠的达摩克利斯之剑 谢谢欣赏！ * * * 一 、申请购买U盾。携带本人有效证件到某个银行任何一个网点申请开通你所持有的银行卡的网上银行业务，并在柜台购买U盾，然后由该工行营业点将U盾与银行卡挂钩。 二 、安装驱动程序。如果是第一次在电脑上使用个人网上银行，请参照银行个人网上银行系统设置指南首先调整您的计算机设置，然后安装U盾驱动程序。 三、 下载证书信息。申请U盾后，可以委托中国工商银行网点柜员协助下载个人证书信息到U盾体内。 四、 安全有效的使用U盾。在登录个人网上银行之后，如需办理转账、汇款、缴费等对外支付业务