手机银行安全性技术探究

《手机银行安全性技术探究》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、手机银行安全性技术探究　　摘要：由于移动网技术的迅速发展以及我国手机用户数的不断攀升，手机银行业务也在逐渐扩大范围。本文主要从手机银行的发展过程和使用现状作为出发点，在一些列对手机银行的安全机制和安全威胁的基础上，进行彻底的分析，进一步了解手机银行的安全技术和发展趋势，进行跟踪，比较，归纳和总结，并提出手机银行安全性评估的要求。【关键词】手机银行安全威胁分析安全评估1前言随着移动终端的研发，手机早已经不仅是为通信而存在，智能手机也已经不再是奢侈品，更加成为娱乐和商务功能的主要应用对象，同时也成为人们工作和学

2、习的有力助手。2013年1月15日，国内手机市场整体规模达2.6亿台，相比2012年同期增长20.6%。随着快速发展的无线网络技术，智能手机的功能越来越强大，更重要的是带有WiFi和3G或4G功能，使得上网速度，安全性和稳定性都获得了很大的提升。手机研发技术的发展给手机银行的使用带来了巨大的契机，银行与每个人的生活息息相关，传统的银行柜台服务经常是长队如龙，排队浪费人们大量的时间。9通过各种智能终端和手机连接到手机银行的用户可以直接完成各种银行交易。伴随着智能手机技术的发展，通信速率和功能的拓展以及手机存储

3、技术的进步，促使手机应用愈加广泛。同样，这也造成手机保留越来越多的重要数据信息，使手机上的各种数据成为攻击者的新目标，手机的信息安全将从最初的用户隐私上升到数字内容安全，以及支付安全等各个方面。移动互联网与业务应用的重要组成部分，手机的安全性，是关系到移动互联网业务的基础，如何保障手机银行相关系统的安全，安全评估必须作为系统建设的基础，也是系统安全的重要保障。2手机银行主要使用的技术探究手机银行现阶段主要使用的技术有以下三种：2.1SMS方式SMS（shortmessageservice）即短信服务方式，该

4、实现方式主要是由手机银行系统，短信中心以及手机终端组成。客户使用SIM卡上的菜单用加密短信方式向银行系统发出短信指令，然后通过GSM网络发出短信；GSM短信中心系统收到短信之后，转发给银行系统，银行系统接着对短信内容执行处理。银行主机处理客户请求后，系统将处理结果转换成短信格式再把需要的结果短息信发给客户。该方式的优点就是客户很容易接入手机银行系统，缺点则是较复杂的银行业务交互性差，完成一次业务也可能需要发送多条短信。2.2STK（SimToolKit）方式9手机银行卡系统的客户端使用的贴片式SIM扩展卡，

5、是标准的CPU智能卡。采用STK技术实现相关功能，通过加密短信和柜面端进行交互，因此，只要支持STK功能、能够收发短信的手机都可以使用。而STK功能是GSM/CDMA规范的标准功能，绝大部分手机都支持该功能，因此手机银行卡具有良好的开放性。2.3WAP方式WAP（WirelessaApplicationProtoeol）即通过WAP的方式使用手机浏览器访问银行网站办理银行业务。WAP方式是一种无线应用协议，是全球性的开放协议。手机银行客户端无需安装任何软件，绝大部分手机都内置WAP浏览器。使用WAP浏览器来

6、处理银行业务的在线服务很早就已成为国内外手机银行的主流技术。2.4客户端方式客户端方式就是指在手机上面通过下载安装客户端软件，利用Client方式实现访问手机银行功能的软件技术，目前流行的主要有KJAVA、BREW（BinaryRuntimEnvironmentfor9Wireless）、iPhone等不同平台的版本。客户端软件对手机终端要求较高，需要对指定的手机开发客户端软件，优点是客户端软件针对性更强，更多的功能都集成在客户端软件中，访问速度加快，缺点就是各种版本的手机操作系统的能力和特点存在着很大的差

7、异，增加了开发的难度，维护成本也比较高。3手机银行安全机制分析几乎所有商业银行都推出手机银行业务，手机银行的安全产品可分为两类：3.1独立于手机终端的安全产品主要有以下几种静态密码：客户预先留存的密码，每次使用银行服务帐户时使用此密码登录，密码发送到银行，服务器提取银行系统的密码进行比较保留，使客户身份验证得以实现。静态密码安全性较低，存在着比较严重的安全隐患，易受到暴力破解、钓鱼网站诈骗、键盘记录、在线篡改等攻击，其优点体现在易用性方面，用户在初次使用以及交易时的易用性较好。电子银行口令卡：以矩阵形式印有

8、若干字符串的卡片，每个字符串对应一个唯一的坐标。在验证身份时，用户将系统指定坐标所对应的字符串作为密码输入，系统校验密码字符的正确性。在使用上，用户不需要安装程序，初次使用时的易用性较好，但在交易时易用性较差，且使用过程比较繁琐。9动态口令牌：是一个有显示屏的专用硬件，类似电子表，内部有电源，有显示芯片，一般以一分钟为一个显示周期，用此设备产生的动态口令输入到手机终端设备让银行系统进行核对，至此就实现了客户的身份