【客座】您所使用行动金融应用程式真的安全吗?





【客座】您所使用行动金融应用程式真的安全吗?

市面上各式各样的金融软体,有证券的、有银行的,其中证券下单已经是大家生活中习惯的功能,而银行的 app 也逐渐开放可以透过手机交易,但您可有想过,您在手机上面所执行的交易真的安全吗?
笔者曾任职于专门开发智慧型手机金融软体的公司,主要的工作就是介接各券商、银行的交易平台,并透过某些安控机制发送交易,可就一般开发者以及使用者的角度看目前金融软体在智慧型手机上的应用。
针对手机上的金融交易,又泛指网路上的所有金融交易而言,不论加密演算法如何先进,不论 SSL 签章的位元数不断的加倍,依然呈现两种对立的立场:
现在各大券商几乎都有配合的手机看盘下单厂商,让有开户的客户都可以免费透过厂商提供的 APP 看盘下单,这个产业从最早的股票机、单纯看盘,到现在的证券甚至期货选择权下单已经近乎成熟,但其实不论是在电脑透过 AP 下单、或是在手机透过 APP 下单,资安部分都只靠一张单纯的 SSL 凭证,这张凭证会由券商向凭证厂商申请,每个客户每年都会重新申请一张新的凭证,该凭证在客户开户且完成电子下单认证后会发到客户端,但因为凭证成本甚高,所以目前大部分在电脑及手机皆使用同一张凭证,差别在电脑下单是用完整的凭证签章,而因早期手机运算能力有限,所以在手机上签章是用精简的凭证签章,至于这个演算法的风险,大概会有下面几个部分:
不过有个好处是,券商通常为了服务好客户,通常在部分下单出现错误的情况下,都会尽量吸收客户的损失,但是羊毛出在羊身上,要嘛是厂商吸收,要嘛就是你真的下单量很大,他能从手续费赚回来,当然也有很不错的公司愿意无条件吸收,但毕竟在少数就是了。
那银行呢?
目前各家银行因为中国信託的关係,纷纷也加入推展行动银行的产业,老实说,大家都知道要从行动银行获利有困难,但是毕竟算是成本低廉的另类行销,对银行来说宣示大于实质意义,那站在客户的角度呢? 行动银行的确带给我们非常多的方便,但交易风险是否也跟着提高? 以下就来探讨这个部分的安全机制:
一般来说,台湾各金融机构都必须受到主管机关的管辖,任何新办业务都必须报部核可,尤其是官股银行更有如此限制,私人银行虽然一样有规定,但总是会想办法钻些漏洞跳过这关,或是待主管机关行文通知才补申报业务,不管怎样,有主管机关把关在安全机制上多少较为严谨。
但是在手机银行的交易是怎幺做的呢?安全机制有特别做过处理嘛?真的安全嘛?
在手机上的行动银行通常视为网银的延伸,毕竟各家银行在这时代可以说一定有网路银行,视为网银的延伸在报请主管机关核可上较不会有问题,而在交易行为上也通常会透过网银或是网银的中后台去执行,简单的说就是不论在业务面或是实作面都会与网银挂勾,但是对于消费者来说,我网路银行是在家里电脑使用,要偷走我家用电脑不是很容易,即使我用笔记型电脑在外遗失,真的歹徒要当下转帐给自己也是需要时间的,风险相对较低; 但是在行动银行上,客户大部分都带着手机在身边,一不小心遗失可能当下就会被有心人士做无法挽回的交易,风险较高,所以主管机关在对手机银行的审核上会特别要求缜密,因此,针对高风险交易衍生出了以下几项安控机制:
1. Time-based OTPTime-based OTP 顾名思义就是用时间当做产生密码的依据,OTP 载具与伺服器採用同一组演算法,该演算法与时间以及使用者资讯相关,该次产生的密码会在特定时间内有效,因为使用的演算法及计算参数一致,所以产生出来的密码也会是一致的,但是会遇到一个问题,就是 OTP 载具内建的 clock 与伺服器不同不,导致无法同步的问题,通常发生在 OTP 载具电源耗弱时,这时候就需要将该载具送回去银行做同步的动作,才能再次使用。
2. Event-based OTPEvent-based OTP 就没有 Time-based OTP 的同步问题,因为他所使用的演算法不採用时间当做依据,而是有一定的规则,该规则只有伺服器跟 OTP 载具知道,可以想像一下,OTP 载具在出厂的时候就内建了一组演算法,假设该演算法连续产生一百万组不同的号码,而伺服器对应该组载具也可以产生一百万组不同的号码,但是伺服器上多了一个 index 以及一个最大错误容许值 maxTolerance,当伺服器与该载具配对时,index 预设为 0,maxTolerance 预设为 10,那我今天要打一笔交易到主机的时候,会请客户用载具产生一组密码,将密码带到主机上,主机就会用以下的演算法比对密码是否正确:for{ifreturn SUCCESS;}return FAILED;
当演算法比对错误时,主机会将该 OTP 载具锁住,并请该客户回到银行做重新设定的动作,通常发生在客户按了太多次密码但却没有做交易,才会超出 maxTolerance 的限制。
那为什幺实体 OTP 的初期成本较高呢,主要是因为要配发 OTP 载具,该载具价格不匪,以目前第一银行来说,该载具要价 400 元,且客户必须随身携带,因此虽然大大提高交易安全性,却也 增加 降低了客户的使用意愿。

其实在手机银行上,主管机关会明确要求一定要高风险交易必须要提供双因子认证,因此其实还有很多可以发展出来的安控方式,这就有待各家银行的 IT 单位与厂商去伤脑筋了。
至于手机银行的交易使否安全,以我们上述的几项安控方式看来,其实控管是相当严密的,但中国信託的简讯 OTP 相对来说是相对较不安全的,毕竟大部分透过手机银行交易的客户该简讯 OTP 设定的通知号码也是该手机,所以只要手机及帐号密码遗失,交易风险就会相对大大提昇,虽然这种情况不高就是了。
不管怎样,在这个行动装置崛起的年代,行动商务势必成为生活的一部分,与其抱着不信任或是逃避的态度面对,不如了解所有安控的概念后选择风险较低的方式进行交易,相信随着时间的推进的以及市场的扩大,行动装置的交易也会越来越安全。

上一篇: 下一篇:

为您推荐