**：
前面[談談網銀和usb key (二)] 已經談到，有了usb key，我們的網銀就「基本安全」了，那麼，使用了usb key還會有什麼安全性的隱患，我們又該如何應對呢？
在進一步閱讀之前，請先明確乙個事實：一切安全性都是相對的。越是安全的系統，對使用者的要求就越高，使用起來就越繁瑣。我們只能在安全性與易用性之間找乙個平衡點，而這個平衡點也會隨著技術的發展朝不同的方向偏移。
安全隱患！
首先我們來看看進行一次利用網銀進行網上支付的全過程：
其中，有可能在開啟網銀**的時候就需要輸入usb key的pin碼，這是由網銀系統設計決定的。
好了，讓我們轉變一下思維方式，假定我們現在來扮演海盜，呃，不，扮演黑客吧，我們來看看有什麼地方可以侵入這個網銀交易系統呢？嗯，我們已知的是，使用者的私鑰是無法得到的，但是看看，這裡有好幾個安全隱患：
好了，假定我們的木馬已經進駐使用者的電腦了。拿到帳號、密碼以及usb key的pin碼有什麼用呢？畢竟我們無法拿到他的usb key啊，也就沒有辦法使用他的私鑰了。不要著急，讓我們守株待兔吧。一旦使用者將usb key插入到電腦中，我們的木馬程式第二部分就可以開始工作了，第二部分是以隱藏方式開啟乙個瀏覽器，模擬網上交易的全過程，包括填寫帳號、密碼、轉帳金 額、提供usb key的pin碼、確認轉帳等等，對於網銀服務端來說，根本沒有辦法區分這是使用者的正常操作，還是木馬的行為。
當然，編寫這樣的木馬程式需要極高的反向工程能力、系統分析能力以及程式設計造詣，但既然有這種可能，那麼在某個時刻這個可能就會變成現實。啊，我聽見 你說，我們可以防止鍵盤鉤子，讓木馬無法獲取鍵盤資訊。但是我可以負責任的告訴你，鍵盤監控是無法徹底免除的，即使你使用驅動層次來首先擷取輸入，但是木 馬也可以，甚至木馬可以使用網銀不能使用的技術：rootkit。可以預見，在終極pk的時候，木馬是占上風的。
再看看上述第三點漏洞，這就是乙個典型的「安全性與易用性」取平衡點的結果。一旦開啟瀏覽器，輸入一次pin碼之後，後續的操作就無需再次輸入了， 這樣可以給使用者乙個比較好的使用體驗。然而，倘若黑客在使用者瀏覽器中嵌入乙個bho，一旦發覺使用者成功完成一次轉帳操作，就以黑客的帳號為目標帳號再次轉 帳一筆，瞧，多簡單，都不用費心去獲取什麼帳號密碼了。
發覺了這樣的潛在攻擊方式，大部分網銀不得不降低易用性，要求每次轉帳操作前，強制進行一次usb key的pin碼驗證，這樣雖然增加了使用者操作量，但可以有效防止因為轉帳完成後忘記關閉瀏覽器而導致的隱藏攻擊。
但無論如何，因為鍵盤木馬的存在，普通的usb key最終會敗下陣來，只不過是時間問題。對了，這裡請不要考慮防毒軟體，畢竟目前的防毒軟體都是「後知後覺」的，等乙個木馬被列入殺軟的黑名單時，可能 損失已經造成了。我們要討論的是如何在不安全的環境下安全的完成網上交易。
注，上述攻擊方式是理想化的分析，說起來簡單，但是實現起來卻是非常困難的，所以目前看來，普通的usb key在一定時間內是可以為網銀系統提供必要的安全性的。所以，目前各大銀行採用的usb key完全可以滿足普通使用者對於電子支付的安全要求，使用usb key比使用純檔案型別的數字證書在安全性上有本質的提公升。
如何應對？
中國網銀安全分析 USB Key
今天我們將介紹另外一種廣泛應用的身份認證產品 usb key。和單鑰的動態密碼鎖不同的是，usb key採用雙鑰 公鑰 加密的認證模式，usb key是一種usb介面的硬體裝置，外形如下圖所示。它內建微控制器或智慧卡晶元，有一定的儲存空間，可以儲存使用者的私鑰以及數字證書，利用usb key內建的公...
中國網銀安全分析 USB Key
前文已經提到一種身份認證產品名叫 動態密碼鎖 今天我們將介紹另外一種廣泛應用的身份認證產品 usb key。和單鑰的動態密碼鎖不同的是，usb key採用雙鑰 公鑰 加密的認證模式，usb key是一種usb介面的硬體裝置，外形如下圖所示。它內建微控制器或智慧卡晶元，有一定的儲存空間，可以儲存使用者...
保護個人網銀秘訣 數字證書結合三道關
針對近年來網銀事故頻發的現象，各家銀行對網上銀行已經採取了更加嚴密的安全保障措施，首先從保障客戶資金安全角度出發，取消了以往的 賬號 密碼 的簡單模式，而普遍採用雙因素 多因素的認證手段，比如採用數字證書或動態口令等。據了解，數字證書是乙個包含個人身份資訊的電子檔案，被譽為雙方網上交易的 身份證 目...