网上银行多因子认证及统一身份管理防欺诈平台

目录

01网银安全，您需要关注的几个问题 (3)

1.1国内网银安全事故主要原因分析 (4)

1.2身份欺诈和盗取案件数急剧增大 (4)

1.3管理培训疏漏：缺乏客户培训、身份管理混乱 (5)

1.4越来越多的银行采用弹性多种认证 (5)

02常用身份认证方法比较 (6)

2.1不同认证方式性能对比 (6)

2.2不同认证方式成本对比 (6)

03中小银行网银身份安全管理需求建议 (7)

3.1设计原则 (7)

3.2实现系统在同一平台同时支持多种用户认证方式 (7)

3.3中心反欺诈功能 (8)

3.4网站防钓鱼和双向认证 (9)

3.5重要安全认证凭证管理 (9)

3.6业务规则控制 (9)

04解决方案概述 (10)

4.1 我们在网银安全 (10)

4.2 产品系列 (10)

4.3 Entrust解决方案组成了集成的、可扩展的网银整体解决方案 (11)

4.4 利用IDG为银行内外网及自助银行建立统一身份认证安全管理平台 (12)

4.5 利用Entrust IDG 一个平台实现多种认证方式 (12)

05解决方案优势 (13)

06 IDG认证方式 (14)

6.1动态令牌认证 (14)

6.2一次性密码(短信.EMAIL) (14)

6.3数格卡认证 (14)

6.4机器指纹认证 (15)

6.5知识认证 (15)

07 IDG技术体系简介 (16)

08 IDG部署 (17)

09 IDG在网银应用与集成 (18)

9.1建立双通道的认证 (18)

9.2提供基于风险评估的多次和弹性认证方案 (18)

9.3提供用户容易接受的多种认证方式 (19)

9.4提供双向认证方式 (19)

9.5提供IP防欺诈解决方案及引入安全业务产品 (20)

9.6应用接口 (20)

10 IDG网银典型案例 (21)

11 关于我们 (21)

11.1 Entrust (21)

11.2 琮谷科技 (21)

400-820-8803 2

1.1 国内网银安全事故主要原因分析

1.2身份欺诈和盗取案件数急剧增大

由于新的欺诈手段层出不穷，特别是用户会话劫持(Hijacking) 等技术，使之基于客户端的安全防范（如证书）均不能解决根本问题，因此，银行需要在中心部署安全的防范政策。

400-820-8803 4

02常用身份认证方法比较

2.1不同认证方式性能对比

传统证书双因子其他

静态口令文件

证书

USB

证书

令牌刮刮

卡

矩阵卡

-无密码

矩阵卡

-有密码

短信

密码

机器

绑定

1．安全性

字典攻击易不能不能不能难看设计看设计不能不能窥视记录易不能不能难易易易不能不能木马窃取易可能不能不能难难难不能不能能否被复制易难不能不能易易难不能不能总体安全性低高极高高中中上高高2．易用性和易维护性

分发易难难难难难难易最难记忆需不需PIN 不需不需不需PIN 不需不需安装、设置易难无无无无无无难

容易理解易难易中易中易易中

维护性

易难易

需

更换

易易`易易

根据配

置变化

使用寿命永久永久2年4-5年一次永久永久永久永久携带易难易中等易易易易难

2.2不同认证方式成本对比

单位成本1年合计2年

合计5年

合计

5万5年

用户成本

排名

USB证书

(第三方) 证书8元/年，60元/USB KEY/

使用2.5年

68万136万160万800万 F

动态令牌用户许可15元/个

60元/令牌

75万75万75万375万 E

短信用户许可15元/个，

短信每年5元(每月4条)

15万25万40万200万 D

数格卡用户许可15元/个，卡2元/个17万17万17万85万 B

刮刮卡用户许可15元/个

卡2元/个，每用户每年2张

19元23万35万175万 C

机器绑定用户许可15元/个15元15万15万75万 A

400-820-8803 6

F. 刮刮卡（类似建行模式）

要求支持类似建行所使用的模式如刮刮卡，此模式不适合经常使用网银用户

E. 问题认证

要求支持用户可自设问题，系统可随机地挑选用户设立的问题，此方式可满足特定用户的需求

以上认证要求需要满足

n采用一个平台处理，避免多头管理

应支持用户可选择一种或同时多种认证方式，满足用户的使用习惯，例如一般

用户可配发数格卡，如用户临时忘记数格卡或令牌，即可采用短信认证n要求系统支持弹性的风险控制和认证模式

即可通过配置设定同一用户或一批用户，根据交易种类要求不同的认证模式，

如证书用户在平常查询余额和内部帐户转移资金时除了可证书认证外还可采

用短信等认证模式，在对外转移资金时则规定采用证书认证模式；如一般用户

在查询余额时只采用查询密码，而在转移资金时必须采用短信认证或数格卡。

要求系统可灵活配置，随时适应业务安全规则的修改

n系统应对用户认证，因次，用户的各种认证方式可使用于用户的多个帐户或特定帐户所有认证应有完善的日志包括不通过认证的日志

n上述的认证方式在将来应容易扩展到手机银行、电话银行等业务中。

3.3 中心反欺诈功能

基于目前网络欺诈的严重形势，系统要求在网银中心的部署一定的反欺诈功能，系统应支持基本的针对网络访问地址和用户登录习惯的防欺诈功能，包括设立黑名单和白名单，并根据接入的网络地址或地址段或用户登录习惯自动进行设别并进行处理。如用户在可自行设定只限于广东省或佛山市内部使用，从而可避免目前欺诈多发地的黑客攻击。

上述系统要求与认证系统联动和采用同一平台，达到主动防御和控制的目标。如发现非常规的网络地址访问（一个广州市用户使用了湖南的网络地址访问）不直接予以阻止，而选择采用双因子认证方法如发送短信密码，要求用户输入第二个密码认证。

通过上述功能，业务上由此可进行各种安全主动防御控制，保障客户的资产安全 400-820-8803 8