EEPW论坛

【据《阿里巴巴》 2003.06.12报道】 　　近日，有人盗用工商银行网站公开信箱，给网上银行注册客户发送邮件。邮件中写到，因为“网络银行系统升级，为确保您网络银行的安全性请重新输入用户名与密码我们将重新帮您查核验证”后面还留出了客户要填写的网络银行登录卡号、密码的填写位置，并要求客户把填好的表格发至另一个信箱(ｃｌｉｎｇ＠１６３．ｃｏｍ)本报记者从有关方面获得最新消息——就此事，工商银行已经报案，公安部门正在调查中。因为“网络银行系?相对于网上虚拟世界里林林总总的欺骗、病毒、入侵、盗取，在专业人士看来，此次工商银行的公共信箱被冒用是一个技术难度并不高的事件。然而这与个人qq号被盗之类的事件不同，而是一起涉及到财产安全的商业行为，它可能造成的损失远非个人邮箱被冒用可比。工行有关人士表示，当前网络银行使用者亟需加强自我保护意识。 　　北京时代同舟科技发展有限公司技术总监李辉说，网上银行的用户名和密码是确认客户合法身份标识的唯一条件。一旦用户名和密码被人盗用，盗用人就可以用这个身份来支付电话费，在网上买书，与网上商家进行种种交易，商家可以直接从你的账户中划钱。 　　而如果企业的银行账号、密码被盗，造成的损失更是无法估量。如果你的财产信息被盗用者公布，使得大家都知道你有多少资金，在某些项目上就可能被认为资金不足，而无法获得该项目，可能就失去发展的机会，甚至宣布倒闭；或者使得股民认为你的状况不是很好，从而股票下跌。 　　据李辉介绍，除像此次工行事件中直接诱骗用户说出账号和密码的方法外，通常犯罪分子盗用账号的方法还有两种：一种就是高级黑客运用技术手段入侵银行中储存有所有用户账号和密码的硬盘；再一种就是你在网上通过银行账号购买某种商品时，在点击提交的刹那，你的账号和密码会被黑客复制到了自己的电脑里。 　　网络交易世界中，危机可谓无时不在。越来越多的普通用户开始关心网上银行的安全问题，尤其是在SARS肆虐、人们倚重网络的今天。 　　对于现阶段网上银行的整体状况，专家们有着不同的见地。 问题一 　　技术有漏洞 　　某不愿透露姓名的资深业内人士介绍，目前网络犯罪中有85%为机构内部人员实施。现在大多数商业银行网站存在的一个很大问题就是访问权限的混乱，对像客户地址、邮箱这样的重要资源的保密度还不够。我国《计算机安全等级管理标准》根据行业、机构的不同，共分五个标准，其中建议银行业需要达到的标准是第三安全等级，但专家认为，银行目前的安全状况远远达不到这一标准，我们目前还不是可信计算系统。 问题二 　　责权不明确 缺第三者监督 　　据工行介绍，此次网站信箱被冒用没有给客户带来经济损失，至今还没有接到一个客户投诉。但试想一下，如果真有客户真因此事受到损失，这损失究竟应该有谁来承担，恐怕将是一笔算不清的账。如果有客户因为此事投诉工商银行，银行所负责任是什么？应该如何赔偿？这些都还没有一个明确的说法。 　　在线交易中，国外通常用第三方来评判和监管这笔交易。以色列的做法是采取第三方认证，第三方认证机构是以保险业为后盾的，一旦用户出现问题，先将保金给用户以弥补损失，如果通过调查发现是用户一方的问题，则以骗保加以处罚。 　　中国信息安全产品测评认证中心副主任王贵驷介绍，目前包括招商银行、民生银行等已经意识到责任问题，但国家目前还没有明确规定。 问题三 保障公民个人资料隐私权国家应立法 　　此次用户邮箱收到从工商银行公共信箱发来的欺骗信件，还不能证明是盗用者窃取了工行网上用户的邮箱地址后有的放矢的发放，还是冒用工行信箱后普遍撒网式的乱投。如果证明是有的放矢的发信，就又牵扯出一个问题——公民网上隐私权的泄漏。 　　国家法律对个人财产等隐私都有保障，唯独对个人资料隐私没有立法，这就造成了网上个人资料的频繁泄漏却没有法律可依。而类似银行等掌握了大量个人资料的机构一旦出现了资料的泄漏问题，也没有相应法律予以惩处。J056 J006深度点评苍蝇不叮无缝的蛋有句俗话说，苍蝇不叮无缝的蛋。网络安全迄今为止还是一种在发展中的技术，罗马不是一天建成的，它所表现出的漏洞和隐患可和其被应用的程度形成正比。但就如那位安全专家所说，在任何系统里，最不安全的因素都是人，与此相对应的是，在任何系统里，能够弥补技术漏洞的因素也是人。技术漏洞被人利用，责任最终也在人。 　　工行这次的事件是一个信号，不管责任在谁，不管银行自认为其系统的安全性有多强，作为服务提供者的银行至少应该更加全面地认识到网络安全隐患的种种可能，而对客户尽到告知义务。亡羊补牢，犹未晚矣。那位网络信息安全公司老板一句“很好”也该唤起更多企业做好更周全服务的意识了。 　　另一方面，网络给人带来的是一种双刃剑效应，你一方面接受了它带来的便捷，另一方面就要正视它带来的麻烦。夜不闭户只是一个古老的传说，在多元的现代社会里，好与坏，方便与不便，总是成双成对地到来，用户加强自我保护意识，是对网络陷阱最关键的一道防线。技术上的漏洞是可以由用户和企业双方共同强化“人”的作用来弥补的。现在不是争论谁之过的时候，二者都应该以此为警钟正视问题，共同把网络这只“蛋”上的缝堵住，这种冒用邮箱的小打小闹就没有可乘之机了。J006孙毅信息安全市场留给中国企业几杯羹？ 　　这次工行信箱被冒用的消息一传出，一位从事网络信息安全的公司的老总情不自禁的发出一声感叹：“很好。”尽管不论对银行还是上当受骗的用户来说，这都不是一件很好的事，但的确让更多企业、更多人将关注的目光投向了信息安全——这个刚刚起步的行业。 7家知名企业瓜分全球市场的97%份额 　　据悉，中国的信息安全行业是从 1999年下半年才开始起步的，以信息安全产品提供商、信息安全服务提供商和信息安全集成商三类企业为主体的信息安全公司，目前在中国共有1400家左右。尽管国外的信息安全企业的诞生和发展并不比我们早多少时辰，但其强大的技术背景还是让我们的国内企业感受到了巨大的压力。 　　据业内人士介绍，全世界几千家信息安全公司中，知名企业不超过7家，就是这7家企业控制着全球每年600亿美元安全市场的97%的市场份额。剩下的几千家企业来分享这3%的市场，其中就包括中国的1400家企业。 1400家中国企业争食20亿人民币的“蛋糕” 　　有业内人士个人认为，现在中国信息安全市场容量是80亿元人民币，但作为官方机构——中国信息安全产品测评认证中心的数据也许更为准确：20亿元到30亿元人民币。 　　在这20多亿元的中国市场里，大部分的高端市场都被外国公司占据着，比如民航、电信、证券、银行等等。而教育、政府和个人消费者则多用国内公司的产品和服务。 　　中国信息安全产品测评认证中心副主任王贵驷说：“这是一个技术含量高且具有敏感性的行业。虽然从敏感性出发，中国企业具有优势，但在技术方面，国内企业要完全占领这个市场有一定难度。” 　　目前企业存在主要问题一是产品设计仍是小作坊式的，靠灵机一动，而非标准化生产，真正的大公司是从用户提出需求定义就开始标准化，用数据模型来反应用户的真实需要，从而避免口口相传带来的理解误差；二是对主要技术人员依赖性过大，设计完的产品没有留下资料文档，留下这部分资料通常要增加20%的投资，企业往往不会增加这笔开支，所以公司就没有财富积累，主要技术人员一走，技术和客户就都带走了。 OEM中国企业的华山一条路 　　“中国的信息安全企业要想发展壮大，一定要先走一段OEM的路。”我们只有通过组装别人的产品来拉近与这些国际上最先进的企业的距离，才能最终超越他们。 　　很多行业都提供了前车之鉴。专家建议，政府此时应该有限地控制市场，采取类似汽车市场的干预政策，如只允许建合资厂等。走OEM之路原因之一是通过磨合缩短技术差距，此外还可以保证企业借助国外企业的强大势头分得市场利润的一杯羹，赢得生存和发展的时间。J056 J006与黑客过招自我防范十大策略第一招不要随意在网站填写真实信息网站的“保密”承诺并不完全可靠，如果不是十分必要，尽量少让人知道你的“底细”。 第二招 　　不要相信电子邮件 　　正规的网站不会用“索要”的方式让你发给它东西，而会让你去它的网站做相关操作。 第三招 　　不要在公用电脑里进行个人信息输入 　　黑客在技术上可以在电脑中安装能记录你一切操作的软件，而且这现在已经让很多人身受其害。 第四招 　　不要打开不明来源邮件的附件 　　这些附件也许看上去只是一个普通的txt文件或者图片文件，但是危险就隐藏在其中。 第五招 　　不要打开陌生人发送的文件和链接 　　文件不行，但只是一个链接应该没问题吧？不，这样想就大错特错了。许多恶意代码巧妙地隐藏在一些网页之中。 第六招 　　不要随意访问陌生网站 　　对于你不了解的网站，特别是那些色情网站，随意访问是一种很危险的举动。有些网站会强制修改你的浏览器设置。 第七招 　　不要轻易安装软件 　　记住，它花费这么大心力教你做的事情一定是对它有好处的。 第八招 　　在线交易操作需反复确认 　　在按“确定”之前，一定要反复确认自己的交费金额。 第九招 　　重要邮件要加密 　　有时候，一些比较重要的信息不得不通过电子邮件进行发送，这种情况如果不能避免，就一定要进行加密。 第十招 　　企业内部核心网络与外网必须“物理性”分开所谓物理断开，就是内网和外网之间没有任何线路连接，这才是真正安全的企业财务信息网络管理方法。