NSC2014飛天誠信陳達
責編：rhliu ｜2014-10-24 14:45:10各位領導各位嘉賓上午好，時間有一點緊，我盡量的抓緊時間，我們飛天誠信已經在銀行業的服務超過16年，我本人到今年為止在飛天滿12年，一些新的思考，希望對大家有所啟示，互聯網金融我們覺得應該分成兩個方面來看，我們都知道從安全的級別，金融行業是屬于普一級的，互聯網是商密級互聯網下的安全問題，就是把這個普一級的安全的技術應用到互聯網的渠道行業上，互聯網我們認為他強調的是一個吊死（音）的經濟，強調是應用和便捷，金融方面的…滿足互聯網的應用和便捷，我覺得這就是我們想解決的一個課題，我的講述大概分成這三部分，其中兩塊，先面半部分就是網絡安全的問題，后面提出我們的解決的方案。
這個是10月份就在前面不久美國FBI無局長在美國的訪談節目上說，美國現在兩種公司，一種是被中國黑客黑過的公司，另一個是自己被黑客黑過了，但是不知道，說明了現在網絡的安全問題已經滲透到方方面面，我們今年習近平主席在今年有一個重要的觀點，沒有信息安全就沒有國家安全，在這里表明了信息安全網絡安全，其實已經上升到了國家的安全的地步。下面我想舉幾個例子，網絡安全的現狀，首先是ICLOUD的艷照門，他的被攻擊很有意思，他不是攻克了服務器，他是回答了找回密碼的幾個問題，就是獲取了，這個現象是社會功能學IPP的攻擊，…這個我們覺得很有典型的意義。
另外一個就是前一段就是GMAIL泄密的事件，就是大量的用戶名和密碼就是被脫庫，這個很典型，是黑客直接攻擊了他的數據庫，通過滲透方式，拿到數據庫里面的敏感的信息，這個代表典型的網絡上的攻擊的方式，就是網絡上的直接的滲透。
還有一個就是在7月份我們看到網絡上的報道，就是支付寶就是杭州的女士，就是支付寶帳戶里面的32萬的存款不翼而飛。調查發現及他不是支付寶出現了漏洞，就是一個吸毒的人員在網絡上花了2塊錢，…被攻擊女士支付寶王胡，用戶名和密碼很不幸，就是進去了，他設定2000元以上就是可以收到通知，…在女士神不知鬼不覺的情況下他的32萬的存款被轉走了，這是網絡上安全的事件的一個典型的現象，就是我們稱之為，我們在這個行業上就是撞庫，就是拿別的，就是拿用戶名和密碼進行嘗試，很多人密碼和帳戶很多就是撞庫的方式很容易得手，由此我們覺得，也是前一段有一個統計，我們可以看到，通過這三種，比較典型的這種攻擊的方式，我們覺得現在網絡上已經不像很多年以前，僅僅是以黑客做滲透的攻擊，這種代表主要的攻擊的方式，而演變多種黑客攻擊的方式，有黑客供給的，有很多很多的這種，就是組合起來，現在網絡的問題是多方面，多因素，多種現象綜合成的網絡現狀。
由此我們可以看到，為什么現在網絡問題如此的泛濫，由社會工程學或者撞庫的…所以我們互聯網的系統基本上還是以強調應用型為主，我們在身份認證的第一道防線以靜態的密碼或者弱口令進行防護，你不能以靜態的密碼進行的話，就是不能滿足用戶便捷的要求，這這是一個根本的問題。我們也列舉了我們認為的原因，就是在互聯網應用的環境下，用戶對應用型的要求高于安全性，伴隨移動互聯網的發展，比如手機和IPAD，就是限制了我們在這個安全技術的擴展和延伸，比如現在很多銀行用的非常安全的，像U盾，驗證密碼的設備，但是在沃勒IPAD不太好用，還有在手機上，我們怎么解決問題，我們做了一些思考。首先給大家看一下ICLOUD給用戶提供了一個解決的方案，就是應對措施，…第二個因素，比如說像圖當中看到的就是短信碼還有口令，就是他提出的一個解決的方案，他能達到什么效果？我們可以看到，比如說勞倫斯他的用戶的密碼猜到了，然后拿到靜態的密碼，如果有第二步的驗證，在相當的程度上可以防護這種攻擊有一定的效果。
那么剛才談到了骨骼（音）針對數據庫被脫庫也采取了應對的措施，他建議用戶用…這個有相當大的驗證，像我們看到網上拿到他的用戶名郵箱的時候，就是防止一定程度上的數據庫被泄漏，這個糧補的驗證在我們國內的互聯網形式下遠遠的不夠。
這個有我們的相關的規定，美國的PCI也規定了規范，就是遠程訪問要用雙方的認證，還有我們關于身份鑒別方面也是明確的規定了技術的要求，需要兩種或者兩種以上的技術鑒別用戶的鑒別，兩部或者雙認證的包括國家的政策，引導包括國外的一些應用，兩種驗證是一定的方式，有一定的有效性，但是問題我們怎么在互聯網的形式下為用戶提供安全的雙驗證，這是我們要解決的問題，我們提供了一個云平臺，我們云平臺叫云信，我們實現的是一種雙向的驗證，就是用戶驗證和驗證服務，…第二個的驗證，原來我們的應用服務器，負責用戶名和靜態密碼的驗證，…我們的收據隔離，身份驗證的服務器就是保護第二個步驟，同時在我們的驗證服務器，我們利用云利用互聯網的形式，能夠把我們的這個驗證的角色分開。這是我們設想的第一步，有了第一步之后，下一步做更深入的探索，剛才談到，首先我們把雙因子雙方做到雙向的認證。
對互聯網的應用我們做更多的探索，比如說我們可以利用移動互聯網的趨勢實現我們雙通道的雙向的認證，搭建一個做雙認證的服務器，把用戶的服務設備，比如手機IPAD或者其他移動數據的設備，在專門做這個認證服務器上等級指紋，等級上來之后，我們可以給他的移動設備頒發證書，我們這個做完了之后，就是在互聯網的模式下做雙通道的驗證。
我們覺得很有意思，用戶在原有的基礎上，就是輸入了用戶名和密碼，…接下來會告訴通過我們的云平臺，我們的云平臺根據之前移動設備的注冊信息給他的移動設備發一個推動的消息，這個不是短信是交互的，用戶看到推動的信息點擊確認…。具體的細節不我國不講了，大概的流程是這樣的，那么這種通過互聯網的方式實現雙通道的雙向的認證，他的好就是解決現在互聯網最大的一個問題，就是中間人的攻擊，就是釣魚也好，我們叫劫持也好，現在可以看到，在國內游很多的網絡安全的事件，也都是屬于釣魚的范疇，這個除了釣魚還有就是竄改…這個可以防止，交易劫持這個包含了中間人比較復雜的范疇，還包含了一些工程學很難防，單單從互聯網一個渠道防釣魚和劫持很難防，前兩天IC（英文）又出事了，就是通過聯動的網絡…用戶是不是，愿意接受，這個問題很嚴重，這就是一個典型的中間人的攻擊，劫持，然后他馬上的發出一個申明…能干這個事可能在交換機上能有所權限的人干，他們認為是中國聯通干的，我個人不這么想，因為你干這個之后會給用戶提…所以說還系出現了在不是雙向認證的環節，用戶接受了這個…。
這是我們一個新的想法，我們飛天誠信做了很多的努力，有一些新的方案出來，目前這個市場的應用需求包括技術還在不斷的發展，我們目前提供出來，就是提供一些不同的方案，我們后面是一個云，專門做雙因子的認證，前面我們給銀行供了認證的介質，我們現在…如果用云平臺做雙向的認證的話，我們可以做監控，做數據的分析，比如說我們現在已經做到了，在云平臺里面可以看到任何人通過我們的云平臺在任何的地點時間做的認證，我們通過圖片數據的展示都可以展示出來，下面我們做進一步的挖掘預警都可以。當然了云平臺還有很長的路要走，特別作云認證的云平臺，在國內以后可能有很多的人做，所以說，以后的工作很多，在這里就是借寶貴的機會，給各位領導提出我們作為廠商的思路，就是解決我們互聯網的形式下，就是金融技術得以獻身，保護用戶在互聯網應用下的應用性和便捷性。如果感興趣的話，我們接下來聯系或者探討，謝謝各位領導。
