王椿芳（将军/研究员）简介：中国人民解放军国家有突出贡献的密码专家，曾担任国家级安全部门顾问，荣获国家科技进步一等奖、二等奖。
2009中国计算机网络安全应急年会于2009年10月21日至24日在湖南长沙召开，本届年会主题是“网络促进发展 安全创造价值”。23日进入会议第二天，本次会议众专家学者探讨了有关电子商务安全方面的问题，下面为国家信息安全专家王椿芳谈话实录：
王椿芳：各位领导，专家大家好。我今天要谈是改进登录身份认证迫切性。作为每一个人经常要遇到，从我个人来讲，银行、基金公司、证券都需要登录。可以说今天跟大家探讨的话，作为一个专家来谈，也可以作为一个用户来谈，从我个人来谈，登录身份认证，买基金等都方面也要谈。等于我们认为登录身份认证是比较薄弱。下面我发表一下看法：
一，登录身份认证当今现状。在07年网上银行交易额接近300万亿员，这是什么一个什么概念?我国国内生产总之约300万亿元，也就是说，有相当与当年国内生产总值是十倍的资金是通过网上银行的渠道进行交易的。
专家分析说，在国内的很多银行、网银业务已占到传统柜台业务的30%以上，因此无论对企业还是个人的来说，网上银行发展迅速，确确实实已经成为我们生活中不可或缺的一部分。此外，由中国银行业协会近日发布的《2008年度银行业改进服务情况报告》也显示，截至2008年末，全国银行业金融机构网上银行个人客户达到14814.63万户，较年初增加5119.74万户，增速达到52.81%;网上银行企业客户达到414.36万户，较年初增加223.63万户，增长117.25%。电子银行2008年度交易金额为301.80万亿元。那么交易量也很高，带来网民的安全，也是银行一大责任。它不仅涉及到个人的信息跟帐户等问题，在实际情况并不乐观。网上银行的话，我在这里说一下，登录的话，整个来讲，并盗的数量不是很多，但是关系到个人，钱少之后，对于个人来说，它是一个很重大的事情。对于银行系统来讲是比较小的事情。但是现在来看，发生这种事情，新闻报道报道比较多。正因为，登录上的问题，那么现在对于网民来说，产生的怀疑。要不要在网上进行交易。那么作为我自己来说，我也这个困惑，比如说网上银行，我基本上不转资金，最多是查询。木马中毒之后，把我密码偷的这种情况。我每一次登录的时候，我有这种顾虑，是否哪一次股票会曝光之类的问题。
根据上海市公安局相关负责人介绍，2006年，上海市公安机关接到关于银行卡的犯罪报案925起，涉及金额1365.47万元，目前仅追回30%左右。经公安部统计此类案件逐年递增。事实上，据中国银联统计，2006年我国共发生433起银行卡账户信息泄露事件，银行卡欺诈金额为1.84亿元人民币。国际上此类案件层出不穷。最典型的案例就是东京迪斯尼乐园。有几个方面：第一登录身份认证出现的问题。这次3.15曝光的事件，有一次警方抓到一个人，在这个人的电脑里面，抓一万多名人的身份认证的名单。而这种情况，在现在报道的话有很多。这都是属于个人的行为。
怎么会造成这种原因：第一，认证方式不合理。一个人登录身份认证之后，就打六到八位数字，就会导致这种情况出现。第二，安全性检测不够完善。ATM是由国家检测而确定，而公安部门来牵头而确定。有一些认证，有一些没有认证。第三，在网络上病毒木马猖獗。而且这种情况不可能得到改善。因为木马病毒的成本比较低，你发现这个东西就扔掉。为什么要这么做?
第一，要采取密码机制。远程登录安全身份认证要采取密码技术。如果你是网民的话，你在网络上要用，在ATM机上要用。认证中心通过用户数据库来核定，密码是否一致来确认其身份，这种模式的主要弱点有：身份认证安全全部建立在口令上安全上，因素单一。口令字频繁暴露在网上、ATM机上。
第二，这个密码经过密码管理认可?你不能用进口的地方拿过来的用，这个也不安全。这几点的话，我认为远程登录的话比较安全。
那么根据这几点来说，有两类产品用比较普及。比如USBKEY认证，还有一个动态密码技术。这两个总体上是比较安全。
这两个是有区别，动态密码就是你在上网之后，你根据指令就敲定就可以。有USBKEY就要插到电脑上。现在来说，动态密码跟电脑完全隔离，如果你电脑有木马跟病毒也不会侵害到我的卡。从报纸发布之后，我们再一次上海来讨论这个问题，有一些银行委托某一些公司，把这些数据检测漏洞进行弥补。1，进入电脑就跟互联网连上，跟中断交易里面有一个数据传送，难免不会中招。2 ，安全侧重点不同：动态密码，防止偷窃，目前的网银上发生案件主要是卡号和密码的失窃而产生。那么USBKEY证书是防止对方抵赖、它通过数字签名来实现。那么这个地方数字签名按照我来理解，不应该用这种方式来。3，应用环境也有不同：动态密码的应用环境为网上银行登录，电话银行、ATM、POS机来进行的消费，网上证券交易等。而USBKEY应用环境适合在有PKI支撑服务的电子商务，用在网银上也只起登录身份认证，其数字签名发挥不了作用。
远程登录的话比较理想是动态密码是远离中断，安全性比较强，运用比较广，而且技术是成熟。据一个数据来看，都运用动态密码。在国际上用得比较多。那么现在双言(谐音)密码，现在各大金融机构的密码产品，尽可能保护用户网上的数据安全。以动态密码身份认证的技术运用情况，刚才我讲了，花旗银行等境外银行都采取动态密码的技术，保护帐户跟密码。而中国的运用情况呢?很不乐观。现在这个东西大部分包括仪器USBKEY用的国外产品比较多，未经国家相关安全部门的检测，一旦发生事情，也会造成一定的威胁。我们以IS还有其他的东西都发现有问题，现在其中包括传真机都有发现这个问题。实际上，人家把国外进口，把芯片拿过来剖解都发现有这个东西。目前全国有172个城市，都有用IC卡存在巨大的安全隐患。所以，国外的产品用途不太安全。
人民使用国产化的产品要求，我们双用密码收到的管理，有专门委托专家进行设计，设计完之后，委托另外一批专家进行分析，所以这一算比较安全。
严格禁止商品出口，为什么要禁止出口?我们用之后，国外把芯片剖解出来来造成安全的危害。刚才我讲，根据历史以来的经验，国外双言密码的存在一定的问题。同样一个算法，它设置参数不一样，设计内涵不一样，安全程度就不一样。那么有的国家为了控制别人，尽量也后门。另外，进口密码产品安全系数对于我们可共信比较差。商用密码产品的优势：第一有专业人员进行的设计。第二有专门密码管理部门认可。所以一般商业密码的产品，我们应该用国内了。那么职能部门对于这一方面，也有要求。一个公安部门、国家保密局、国务院信息化发布信息安全产品，产品核心技术，一般据我们国家自主产权。第二，严格执行国家密码管理的制度。商用密码政策也很具体：对产生的密码产品的，产品许可、许可证等咱们国家有明确的规定。这些单位也是很可靠。
银监会要进行商务认证，身份认证要双重进行，银监会还有一个交易密码的方式进行。可以参与动态密码技术。那么证监会要求如客户对电脑等软硬件等身份认证防止非法的行为。实际上，我们政策上有规定。那么，国家的产品推广，对于我们动态的身份认证的运用有几点意见：
第一，应该按照商用管理条例，法规来做。
第二，国家制定规划，大量支持在几年内使用商务密码。
第三，公认国家密码技术的标准。
第四，对其进行了研究跟发展。
嘉宾：我想说是国外的标准情况如何?
王椿芳：是我们国内自己的标准
(责任编辑：adminadmin2008)
