2008年1月15日 星期二

使用網銀如何自保(Self Protection on Internet Banking)

最近跟朋友聊到了網路銀行的使用,他原本是打死不用網路銀行(安全性顧慮),現在受時間與空間的壓縮下,不得不使用這個方便的金融平台。

不過,他對安全性還是有所疑慮,所以在MSN上問了我一些細節,其中包括了在網銀交易上怎麼樣可以保護自己,我記得先前寫過線上交易與安全一文中有大略提過,竟然朋友問了,我也來整理一下。

以下是我個人使用的經驗,以及對金融業的認識所整理出來的,無法代表所有的狀況,這一點我還是要先說明一下,話說回來,我也沒這麼大能耐,每家銀行都去開網路銀行呀!(雖然在打工時期,開了不下十個銀行帳戶...)

在使用網路銀行之前,我想有些東西還是得先交待一下,那就是網路銀行的資料傳送方式,基本上所有的網路銀行都建立在https的通訊協定之下(不代表使用https的就一定是正確的金融網站唷!)。

其實https就是瀏覽網網頁時用的httpssl而已(有興趣的人再去參考WikiPedia吧!)

所以,在你連線到網路銀行的同時,在使用者電腦與主機傳送的資料全都經過加密,但是,使用者的電腦不一定安全,甚至連主機部份的安全也有可能偽造

1.電腦本身不安全:

因為加密的只有資料內容,但是輸入的介面還是可以透過木馬程式(例:KEYLOG...等)側錄,所以網路銀行也增加了相關機制,避免使用者被側錄。例:北富銀(動態鍵盤)、渣打銀行(動態密碼)等,都可以避開鍵盤側錄程式。

一般網路銀行的使用,都是使用身份證字號使用者代碼使用者密碼,甚至有些網路銀行還有兩道密碼(例:最近很熱門的HSBC Direct),這些都是常見的登入方式,使用者就得更小心自身的安全性,除了防毒軟體之外,防火牆的設置也是相當重要的課題。

2.主機部份的安全:

其實現在的網路犯罪,就是把自己偽裝成合法主機
(例:網路釣魚),懹使用者誤以為自己是連到一個正常的官方網站,甚至也能去申請ssl憑證,這也是為何前面會說,就算是https的網站也不一定安全,畢竟類似的網站(例:英文的小寫L數字1),要去申請ssl憑證並不困難。

所以https並非是萬靈丹,千萬別以為是採用經過加密的通訊協定就相信它,因為網路銀行的平台設計,就是種基於登入者為本人所進行的金融交易,所以遭受詐騙、側錄、或其它方式經過網路銀行所造成的損失,銀行僅站在協助處理的角色,並不負擔任何責任。(調閱相關證明,還得使用者付費...
除非問題出在銀行的主機端

當然,也有比較複雜自保方式(需配合防火牆),這部份還得針對網路銀行的相關資訊來設置,例:

1.經防火牆設定網路銀行的IP或網段,允許傳送及接收資料。
 (例:www.chinatrust.com.tw的ip=203.66.181.190)
2.本機僅開放網路銀行的port(https 443),其它全部封鎖。
3.注意網站訊息(因金控整併,網站可能會消失或留存)。

不僅使用網路銀行要注意,只要進行敏感資料傳遞時,都要留意

1.不允許瀏覽器記錄使用者資訊(帳號、密碼、使用者代號...)。
2.使用信任的網路(例:不共用網路,若問題在ISP端,只能認了)。

其實在網路銀行或是任何一種線上金融的機制下,都有一定的風險存在,就算是看起來較安全的https,也有可能透過某些攻擊方式而被破解(類似釣魚網站的手法,可參考MITM attack

最重要的是使用者要掌控好網路銀行的操作環境,至於使用者帳號、代號及密碼,自己必須盡到妥善保管的責任(盡可能放腦子裡,不要留下文字記錄)。

筆者曾有耳聞,有人把網銀的帳戶及密碼資料置於同一地點,被竊後造成帳戶被提領一空的慘劇(六位數字的損失),一般人都知道存摺印章不能放在一起,更何況是不需身份證明網路銀行資料

最後,補上金管會提供的網銀安全資訊

金管會製作的網銀使用的小秘訣:(心得摘要如下)
一、確認網路銀行網址(電話查證)
二、網路密碼的設定(避免懶人密碼)
三、網路密碼的保管(勿使用電腦自動記錄)
四、使用晶片金融卡及網路ATM加強網路交易安全
五、使用行動通訊及無線網路的風險(與網路安全雷同)
六、使用電腦應注意事項(可參考我先前的文章
PS:此為心得摘要,如需原文,可連至PDF檔觀看。

除此之外,許多Toolbar(Google、Yahoo...等)都會造成無法正常使用網路銀行,所以金管會還有針對快顯封鎖程式的說明(Htmldoc檔)供大家參考。