网上银行在中国虽然还是一个比较新的概念，但已成为电子商务的最重要一环。去年以来，大量关于网上银行被盗的报道屡见报端，不法分子通过窃取用户的帐号和密码大肆盗窃资金或冒名消费。所以，如何保证储户的资金安全，一直是各家银行最关心、也最头疼的问题。随着木马、黑客、钓鱼网站等网络风险的越发泛滥，网银安全也变得越来越引人注目。

首先我们要弄清一个问题，什么样的网上银行才算安全呢？也许你会说，最安全当然是资金绝对不会被盗。但事实上，电脑是不懂“盗”与“合法”的区别的，它只会按预定规则执行，只要有人发出符合规则的指令，它就会按程序执行。所以，如果你想真正实现绝对不被盗，除非你自己也无权操作。最安全的网上银行，应当是指外人无法骗过电脑，不能让银行系统把别人误认成你，包括身边人和银行的网络管理员在内。（当然了，如果管理员的权力大到能够直接修改数据库，那恐怕上帝的帐户也无安全可言了。）

那么，我们当前正在使用的安全技术究竟能否保证用户的合法权限不被人冒用呢，且听我一一道来。

一、口令篇

口令的使用由来已久，但木马的泛滥却让我们难以放心。据了解，从有木马的那天起，键盘记录便一直是必备功能。我们在输入帐号密码的同时，网络那头的“牧马人”也在悠闲地看着屏幕上的数字一个个弹出。后来出现的“网银大盗”更是具有了智能记录的本领，将黑客们从繁重的“盯梢”工作中解放了出来。

为了解决键盘被记录的问题，网上银行纷纷推出了密码输入控件。这些控件使用了很多底层的驱动技术，可以在键盘按下的第一时间将键值捕获，并伪造一个虚假键值传给系统，从而使键盘记录软件失效。这听上去不错，但也并非无懈可击，如果黑客修改“肉鸡”的域名解析，将用户引到一个伪造页面上去，那就可以轻易绕过控件的限制了。更何况，并非只有银行才拥有这种驱动技术，只要黑客愿意，他完全有可能将木马的优先级提到比银行控件还要高。

虽然口令的脆弱性已引起了很多银行的注意，但目前仍有一些服务是采用这种安全手段的，尤以 信用卡领域为甚。虽然各银行都说这是与国际接轨，但在真正建立起与国际接轨的ChargeBack规则之前，这种风险还是少冒的好。

二、数字证书篇

有些银行采用数字证书作为用户的身份识别方式，如招商银行的“专业版”等。这是一种比较先进的非对称加密技术，客户端用私匙对指令进行加密，服务端则通过公匙对收到的信息进行解密，如果私匙不正确，服务端就只能看到一堆乱码。

数字证书

不过，只要是在内存中运行的东西，都不能保证绝对安全。如果你不幸被黑客盯上，他完全有可能通过Dump的方式将你内存全部拉回去进行分析，虽然解密私匙是件相当耗时的事情，但如果你帐户的资产足够多，这还是值得的。所以这种证书只推荐小额账户使用，企业用户还是建议使用其他更安全的方式。

三、动态密码篇

动态密码是一种虽然原始，但比较安全的做法，目前主要有“电子口令卡”、手机短信验证和动态密码锁三种。动态密码的实质是密码与计算机的分离，在执行交易时，用户不仅需要输入帐户密码，还需要输入一个来自外部的动态密码。这样一来，即使黑客在用户的机器上种了木马，也无法在密码使用前将其获得，而且由于外部密码是一次性的，所以等黑客得到它时，密码已经失效了。

市面上最常见的动态密码应当是以工行为代表的“电子口令卡”。用户在交易时，系统会给出两个坐标，用户从手中的口令卡上查到坐标对应的数字并填进去就可以了。理论上，这些坐标可以有6400种组合，所以黑客是很难猜准的。然而，这个东西的缺点也很明显——防不住家贼，现在照相手机那么流行，如果有人趁你不备将卡片偷拍一下，你的帐户就无处遁形了。

电子口令卡

手机短信验证是一款比较有中国特色的产品，每次交易前，由系统将验证码以短信的形式发给用户，从而实现动态密码的功能。这种方式比“电子口令卡”要安全一些，但发送短信需要一定的成本，用户又不愿负担，所以各银行往往只对大客户开放，短期内尚难进入寻常百姓家。而且，现在手机卡也并非不能复制，根据网上搜索的消息来看，手机离身超过5分钟，就有可能被复制了，所以这也不是一种理想的安全手段。

动态密码锁

目前最安全的动态密码是动态密码锁，这是一种专用的硬件设备，会随时间和帐号的不同而生成不同的动态密码，而且硬件不可复制，一旦丢失可立刻向银行通报，从而保证资金安全。不过，由于动态密码锁是单匙加密，亦即服务器和客户端采用了同样的加解密算法，所以不具有双匙加密那样的不可抵赖性，一旦资金失窃，很难分清到底是银行的责任还是用户的责任。

四、USB Key篇

USB Key其实就是原来用于防软件盗版的加密狗，它是一个独立的计算单元，可以将传入的信息加工处理后再返回来。如果将数字证书放在里面，就从根本上杜绝了黑客窃取私匙的可能。而且，USB Key同样具有不可复制的优点，成本也较低，所以受到各家银行的推崇，工行的U盾，招行的UKey都是这种。

USB Key

USB Key几乎是一种完美的安全手段，但还不算铜墙铁壁，因为它不具有一次性密码，已经通过木马等技术拿到帐户密码的人还是有可能偷走USB Key，并抢在挂失前转走大量资金的，如果能再配合手机短信等动态密码，那可真是黑客们的梦魇了。

后记：纵观网银安全的发展历程，其实就是一部软件加密技术的发展史。从我第一次使用计算机时起，就有很多软件会不时弹个窗口要求输入说明书上的某个字，这应当就是最早的“电子口令卡”了。近些年来，虽然加密技术不断翻新，但盗版却从未因此而停止，所以任何技术都不是万无一失的。在银行方面积极采用新技术的同时，各位用户也要注意提高自己的安全意识，只有这样，黑客们才会无机可乘，一个理想的网银体系才会出现在我们面前。