[发明专利]一种保证网络交易安全的系统及方法

说明书

技术领域

本发明涉及网络通信技术，尤其涉及一种基于互联网和移动互联网进行网络交易的安全保证技术。

背景技术

随着信息技术的发展，网上银行(简称网银)在银行业务中的地位越来越重要，大型商业银行、全国性股份制中小型银行、城市商业银行、农村信用合作社以及各村镇银行都在积极建设和开展自己的网上银行业务，某些大银行的网银业务结算量已经占据总业务份额的50％以上。伴随着网络购物的兴起，网上银行的用户数量正在快速增长，同时网上银行成为电子商务当中最重要的一环。网上银行已成为银行业金融机构的战略性业务和利润增长点，成为其品牌竞争力的必要组成部分。网上银行方便的转账、支付模式不仅给用户带来了极大的便利，也给诸多不法分子有了可乘之机。大量关于网上银行被盗的报道屡见报端，通过窃取用户的帐号和密码大肆盗窃资金或冒名消费的事件频出不断。据调查，木马、黑客、钓鱼网站等网络风险的日益加剧，是用户对网上银行安全性质疑的最主要原因之一。

目前典型的网上银行交易系统参见图1，包括用户操作的网络交易终端，网上银行交易平台，网络交易终端(如PC机)通过有线或者无线网络连接网上银行交易平台，网络交易终端通过USB接口连接银行的USB Key(如建设银行的U盾)，从而对用户交易信息进行加密认证，保证交易安全。该交易系统存在的安全问题主要体现在用户操作终端、以及系统对交易合法性检查的可靠性上，主要包括以下三个方面：

一、被黑客远程控制的网络交易终端存在被黑客异地转帐的可能性。如果一台电脑被黑客成功控制，那么当用户利用这台电脑进行网上银行操作时，黑客可能会监控到相关的网上银行操作，并利用木马程序获得用户的网上银行账号及密码，然后利用用户正在使用移动硬件数字证书如USB Key，成功利用正在使用的网上银行进行转帐。

二、无法防范网络交易终端上的IE浏览器被劫持的风险。银行USB Key的功能是对交易信息进行加密认证，认证后的交易信息基本保证准确、完整、不可伪造、不可否认的特性。但在实际的网银操作流程里，用户在IE浏览器中形成交易信息后，再由IE浏览器把交易信息传递给USB Key进行认证。USB Key完全信任IE浏览器，即使IE提交了一笔经过篡改的交易，但USBKey由于不能发现篡改后的交易信息会同样按照正常流程进行认证。因此，如果一个木马病毒通过某些非法技术手段完全控制IE浏览器后，如果对网银用户的交易信息进行篡改，一旦用户确认交易，被篡改的交易就和正常交易一样，经过认证、发送，并最终执行。

三、虚假的网上交易订单往往可以以假乱真。病毒在监控到用户利用网络交易终端如电脑进行网上购物时，会把用户的当前页面跳转到黑客特别设置的虚假付款页面。由于网上购物的收款方一般都是同一家第三方支付平台，真假网页可能只是订单号和交易金额的差异，这种情况下如果用户点击确认付款，往往造成的结果是把原本正常购物的钱付到黑客虚设的帐号上。

面对目前现有网上银行交易系统存在安全问题的现状，各种改进的安全措施也层出不穷：密码输入控件防止“键盘记录”；数字证书作为用户的身份识别方式；专用硬件设备的动态密码锁；防软件盗版的加密狗USB Key等等都是备受推崇的安全手段。纵观以上改进手段不难发现，无论是密码输入控件利用驱动技术伪造虚假键值来迷惑黑客，还是数字证书的非对称加密技术；或者是会随时间和帐号的不同而生成不同的动态密码的硬件密码锁；甚至是当前加密性最强的加密狗USB Key；无一例外都是依托加密技术的不断升级而衍生出来的。安全手段的更新其实就是软件加密技术的不断升级。但是从网银安全事故不断出现的交易现状来看，不难发现加密技术的升级并不能完全阻止网上银行帐号和密码的失窃，甚至使用了基于数字证书的USBKey也无法阻止木马病毒对数字签名前的交易信息做篡改从而导致网银账户失窃。因为在开放的因特网环境下，要隔绝木马病毒和钓鱼网站的攻击几乎不可能。

因此，面对日益迫切的广大网络交易用户的安全需求，亟待提出一种能真正保证网络交易安全的技术。

发明内容

有鉴于此，本发明实施例提供了一种保证网络交易安全的系统，在原有网络交易系统的基础上，结合移动通信技术实现交易安全确认和双通道交易匹配模式，彻底解决木马病毒和钓鱼网站对网银的攻击问题。

本发明实施例提供了一种保证网络交易安全的方法，在原有网络交易系统的基础上，结合移动通信技术实现交易安全确认和双通道交易匹配模式，彻底解决木马病毒和钓鱼网站对网银的攻击问题。

为解决上述技术问题，本发明的技术方案是这样实现的：