以下是我的一点儿体会,可能有误,请楼下的前辈和同仁指正:
一、背景
使用第一代USBKEY的网银,曾被认为是万无一失,现在,这个神话已经破灭了:
1.1、破解方法–终端篡改:
1)、前提:用户电脑中了相关木马程序;
2)、过程&原理:
合法用户使用key登陆网银后,进行转账交易;
交易信息和交易口令输入后,木马程序将数据篡改;
篡改后的数据进入USBKEY中进行签名;
将篡改后的数据和错误的签名,送入加密传输信道;
。。。。。。。。。。。。。。。。
1.2、失窃案例:
姓名:XXX 城市:福建省厦门市 损失金额:146454.54元 事情经过:
本人持有一张工商银行卡:6222024100XXXXXXXXXXXX开通了网上银行并在工商银行购买了U盾使用,本人是公司的出纳经常使用U盾进行网银行转账。所以我的网银账户(单笔转账汇款)-(我的收款人)里面已经存有我的收款方资料。
2007年9月18日下午5点半左右我进入我的网银账户给客户转一笔146454.54元的转账业务,从我的收款人当中选中我的收款方李仁家,然后到转账页面,直接输入金额,然后确认,再进入第二个确认页面确认,然后插入U盾,输入我的U盾密码确认,进入第三个确认画面确认,我确定整个过程没有看到其他名字。当时我就到转账汇款查询回单打印里面去打印回单,却发现我的收款人是另一个我从不认识的名字李辉账号:6222004000100182666是深圳市分行清算中心,还有45无手续费。。。。。。。。。。。。。找工行,工行说他们的系统没有问题,没办法冻结。眼看钱一天一天地被取光,我现在不知道该怎办。。。。。。。。。。。。。。。
二、原因
2.1、黑客很聪明,抓住了网银的最薄弱一环,篡改了待签名的数据;
2.2、我认为,部分原因是:由于B/S架构的开放性,降低了写这样的木马的难度,使得这种架构的网银更容易受攻击。而采用C/S架构的招商银行,相对来说,出事较少。
斑竹在其他帖子里说,招行是封装的B/S架构,能否给些详细的解释?
三、解决方案
目前,我只知道工商银行和建设银行在做二代key的研发和推广。其中,工商银行已经进入推广阶段,建设银行可能还在设计、测试阶段。
3.1、工商银行方案–所见即所签
1)、原理:
USBKEY带按键和lcd显示屏。将待签名数据送入key后,在显示屏上显示,用户按按键确认后,进行签名。
2)、安全性分析:
输入交易数据(账号,金额)的操作仍然在IE中进行;
那么,是否:黑客将来仍有办法篡改,达到如下效果:key上的显示屏显示的信息正确,但在底层的真实数据却被篡改?
3.1、建设银行方案—所输即所签
1)、原理:
USBKEY带数字键盘和lcd显示屏,基本上像个手机,呵呵:)
输入交易数据、签名,均在key中完成。
2)、安全性分析:
我认为:这种的安全性要高于工行的方案。我想不出黑客如何破解。当然主要是从程序的角度破解,而非硬件,毕竟,黑客里懂硬件的不多。
转自华安信达的帖子,作者 asp3596
原文:http://bbs.cisps.org/viewtopic.php?p=126337