网上银行登录安全研究报告(PDF 31页)

1. 安全的SSL会话是网上银行登录的第一道防线
2. 多因素认证的身份鉴别方式已经得到普及
3. 对密码的输入保护多采用安全控件集成软键盘的混合模式
4. 验证码依然是登录中不可避免的负面体验
5. 登录失败策略差异较大，但反馈信息多使用“友好的错误提示”并进行了模糊化处理
6. 少数银行对客户端的浏览器要求更精细
7. 预留信息的作用并不明显
8. 欢迎首页的登录提醒信息多种多样
9. 与登录相关的限制策略应用百花齐放、百家争鸣，但效果不佳
攻与防：解决最突出的五大威胁是保障网上银行登录安全的关键
10. 网络钓鱼是个人网上银行登录最大的安全威胁
11. 恶意代码攻击与网上银行登录紧密相关
12. 暴力破解攻击在逐步降低，但仍不可忽视
13. 登录中的恶意滥用问题尚无非常有效的解决办法
14. 用户身份假冒是当前登录面临的最头痛问题
监管：合规不是终点而是起点，不要输在起跑线
15. 加密通信协议已经普及，弱加密算法尚存
16. 安全控件及软键盘广泛使用，但技术细粒度有待加强
17. 图形验证码安全合规性不容乐观
局限性：技术也有不足，得与失都得自己承担
18. 利用USBKEY证书的登录身份鉴别，也有硬伤
19. 安全控件是攻与防博弈的矛盾体
20. 验证码让用户慢下来，影响输入体验
..............................