网银安全规范检测

《网银安全规范检测》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、网银安全检测分类/说明可参与检测情况说明检测方法安全技术规范客户端安全客户端程序基本要求（最低安全要求）代码安全×（主要由软件开发商进行）strcat、wcscat、strncat、wcsncat、strcpy、wcscpy、strncpy、wcsncpy、WideCharToMultiByte等；ActiveX控件安全：利用COMRaider。第三方安全检测√可以作为中立第三方进行安全检测，具有丰富的相关经验抗逆向、反汇编等√Peid查看是否加壳；是否可以使用VMUnpacker等通用脱壳工具脱壳；是否必须手工脱壳临时文件（如cookies）安全

2、√防击键记录√KBHookTest工具防信息篡改√是否具有安全输入控件（b/s：enumformval、c/s：spy++）；是否采用回传交易确认图片；是否采用短信交易确认和正确实现二代usbkey；增强要求（网银安全规范下发之日起三年内必须达到）进程保护√利用icesword、snipesword查看ssdt是否有zwopenprocess等hook防调试√直接利用od或windbg查看是否退出防屏幕录像√查看是否屏蔽截屏键或者利用CaptureAVI（gdi方式）密码保护基本要求禁止明文密码√是否明文显示密码；是否使用同一特殊字符（*、#等）密

3、码复杂度√至少六位、简单密码提示强制修改初始密码√首次登录强制修改初始密码静态密码防暴力破解（图片附加码等）√数字、字母、随机、防自动识别软键盘随机布局√密码的加密密钥√安全客户密码类别提醒√提醒客户区分转帐密码和其它密码增强要求辅助安全设备（usbkey等）√输入后立即加密√登录控制基本要求10次以下登录失败锁定√退出浏览器等立即终止会话√退出提示移除usbkey等安全设备√增强要求屏蔽重复登录√屏蔽ctrl+n检测js中event.keycode等于78专用辅助安全设备安全Usbkey基本要求第三方检测√部分可以安全环境×芯片安全×Cos安全×

4、私钥安全×随机数安全×密钥文件安全×状态机复位×Pin码密钥安全×算法安全×Usbkey驱动安全√Usbkey后门×Usbkey旁路攻击×Usbkey外部环境安全×增强要求防远程劫持√按键确认√签名数据显示√显示应该与签名数据联动文件证书（基本要求（仅对c/s）私钥密码保护√客户端生成公私密钥√私钥导出身份认证√支持私钥不可导出√私钥备份强制移动设备√增强要求短信提示等第二通道√Otp令牌基本要求第三方中立机构检测×算法安全×不低于六位√防物理手段攻击×抗旁路攻击×外部环境×增强要求挑战应答口令√挑战应答并不能防范中间人攻击双因素认证√Pin码保护

5、√安全存储pin和种子×Pin输入错误次数低于六次√动态密码卡基本要求口令长度不低于六位i√随机口令坐标√密码卡有效期√使用涂层√客户唯一绑定×客户端不便检测其它专用辅助安全设备手机短信可靠开通、更改√密码动态生成，长度不低于六位√有效时长低于十分钟√关键数据和确认码同时发送√指纹识别（未实际研究）防记录和重放√禁止远程采用√网络通信安全通信协议基本要求算法安全√协议安全√密钥长度√防重放攻击等√安全认证基本要求双向认证√保持安全连接√空闲结束会话√根证书安全√增强要求唯一ip、mac√Ca有效性√网银服务器端安全（检测需授权）网络架构安全基本要求

6、合理部署×访问控制×网络设备管理规范×安全审计和日志×入侵防范×系统设计安全基本要求敏感客户参数修改√历史登录信息√禁止提供不必要数据√屏蔽身份证信息√详细交易记录√帐户信息变动提醒√防钓鱼√增强要求金额限制×不便检测线索排查等功能×Web应用安全基本要求资源控制×不便检测编码规范约束×不便检测会话安全√源代码管理×不便检测防止敏感信息泄露√防止sql注入√防止xss√防dos/ddos√数据安全基本要求身份鉴别×访问控制安全审计日志管理灾难备份和恢复增强要求监控软件保证日志一致性和完整性×保护审计进程安全管理规范×业务运作安全规范×