網上銀行登錄安全研究報告(PDF 31頁)

1. 安全的SSL會話是網上銀行登錄的第一道防線
2. 多因素認證的身份鑒別方式已經得到普及
3. 對密碼的輸入保護多采用安全控件集成軟鍵盤的混合模式
4. 驗證碼依然是登錄中不可避免的負麵體驗
5. 登錄失敗策略差異較大，但反饋信息多使用“友好的錯誤提示”並進行了模糊化處理
6. 少數銀行對客戶端的瀏覽器要求更精細
7. 預留信息的作用並不明顯
8. 歡迎首頁的登錄提醒信息多種多樣
9. 與登錄相關的限製策略應用百花齊放、百家爭鳴，但效果不佳
攻與防：解決最突出的五大威脅是保障網上銀行登錄安全的關鍵
10. 網絡釣魚是個人網上銀行登錄最大的安全威脅
11. 惡意代碼攻擊與網上銀行登錄緊密相關
12. 暴力破解攻擊在逐步降低，但仍不可忽視
13. 登錄中的惡意濫用問題尚無非常有效的解決辦法
14. 用戶身份假冒是當前登錄麵臨的最頭痛問題
監管：合規不是終點而是起點，不要輸在起跑線
15. 加密通信協議已經普及，弱加密算法尚存
16. 安全控件及軟鍵盤廣泛使用，但技術細粒度有待加強
17. 圖形驗證碼安全合規性不容樂觀
局限性：技術也有不足，得與失都得自己承擔
18. 利用USBKEY證書的登錄身份鑒別，也有硬傷
19. 安全控件是攻與防博弈的矛盾體
20. 驗證碼讓用戶慢下來，影響輸入體驗
..............................