摘 要随着互联网技术的普及和移动支付的快速发展网上银行已经成为人们日常生活中不可或缺的一部分。然而网上银行在给用户带来便利的同时也面临着数据泄露、身份伪造、中间人攻击等各种安全威胁[1]。本文从网上银行面临的安全威胁出发分析了当前主流的网上银行安全架构重点讨论了身份认证、数据加密、访问控制和网络安全等关键技术并结合实际场景阐述了安全方案的部署流程[3][5]。最后我查阅官网结合河北金融学院的院校金融特色与信息安全专业学科培养方向对网上银行安全未来的发展方向提出了自己的看法。关键词网上银行安全架构身份认证数据加密SSL/TLS目录摘 要一、引言二、网上银行面临的安全威胁2.1 网络层面的攻击2.2 身份认证层面的风险2.3 数据安全层面的隐患三、网上银行安全架构设计3.1 整体架构概述3.2 接入层安全3.3 传输层安全3.4 认证层安全3.5 应用层安全3.6 数据层安全四、网上银行中的关键密码学技术4.1 对称加密与非对称加密4.2 数字证书与PKI体系4.3 哈希函数与数字签名五、一个典型网银安全方案的部署六、总结与展望一、引言近些年网上银行的发展速度非常快。根据中国银行业协会发布的《2025年中国网上银行发展报告》截至2025年底我国网上银行用户规模已经超过9亿交易规模突破3000万亿元[1]。几乎每个人的手机上都装了至少一个银行APP日常转账、理财、缴费都可以在手机上完成。不过网上银行在带来便利的同时安全问题也越来越突出。2024年某大型银行曾发生过一次比较严重的数据泄露事件涉及数百万用户的个人信息。这类事件让人不得不思考网上银行的安全到底应该怎么做现有的安全措施够不够中国人民银行在《网上银行系统信息安全通用规范》中也明确指出了网上银行面临的各类安全风险以及相应的防护要求[5]。说实话这个问题并不简单。网上银行的安全不是一个单一技术能搞定的它涉及密码学、网络通信、身份认证、软件安全等多个领域需要把这些技术有机地整合在一起形成一套完整的安全架构[2]。本文就是围绕这个主题展开尝试梳理网上银行安全架构的核心内容和关键技术。二、网上银行面临的安全威胁2.1 网络层面的攻击网上银行的信息传输完全依赖互联网而互联网本身是一个开放环境这就给攻击者提供了机会。比较常见的网络层攻击有中间人攻击MITM和拒绝服务攻击DDoS[2]。中间人攻击的原理是攻击者在用户和银行服务器之间建立了一个中转站用户以为自己在和银行通信实际上所有数据都经过了攻击者。如果通信没有加密或者加密不够强攻击者就能截获甚至篡改交易数据。2011年发生的DigiNotar证书机构被入侵事件就是一个典型案例攻击者利用伪造的数字证书对用户的网上银行通信进行了中间人攻击[3][8]。DDoS攻击则是通过大量僵尸网络向银行服务器发起海量请求让正常用户无法访问。2016年汇丰银行就曾遭受过一次大规模DDoS攻击导致网上银行服务中断了将近两天[8]。这类攻击虽然不直接窃取数据但严重影响银行的正常运营和用户信任。2.2 身份认证层面的风险身份认证是网上银行安全的第一道防线也是最容易出问题的地方[5]。常见的身份认证攻击方式有密码破解、钓鱼攻击和凭证填充攻击。密码破解是比较传统的方式包括暴力破解和字典攻击。虽然现在大部分银行都限制了密码输入次数但如果用户在不同平台使用相同密码一旦某个平台数据库泄露攻击者就可以用这套用户名密码去尝试登录网银这就是所谓的凭证填充。根据CFCA发布的《2024中国电子银行调查报告》超过60%的用户会在多个网站使用相同或相似的密码这种习惯对网银安全来说是个不小的隐患[8]。钓鱼攻击则更加隐蔽。攻击者会伪造一个和真实网银界面几乎一模一样的网站通过短信或者邮件诱导用户点击链接然后在假网站上输入账号密码。2020年疫情期间针对网银的钓鱼攻击数量增加了超过200%[8]显然攻击者抓住了人们对线上金融服务的依赖。2.3 数据安全层面的隐患数据是网上银行的核心资产包括用户的身份信息、账户余额、交易记录等。数据安全面临的威胁主要来自两个方面传输过程中的泄露和存储过程中的泄露[2][5]。传输过程中如果加密协议存在漏洞或者配置不当数据就可能在传输途中被窃取。2014年的Heartbleed漏洞就是一个标志性事件——OpenSSL库中的一个缺陷让攻击者可以直接读取服务器的内存内容包括私钥、会话凭证等敏感数据[2][3]。全世界的网站和网银系统都受到了影响。存储方面的问题往往是内部管理不到位导致的。比如数据库权限控制不严格、日志中记录了明文敏感信息、备份文件没有加密等等。实际上相当一部分数据泄露事件并不是黑客攻破了多么复杂的防御系统而是利用了最简单最基础的配置漏洞[5]。三、网上银行安全架构设计3.1 整体架构概述一个典型的网上银行安全架构通常采用分层设计的思想从外到内大致可以分为接入层、传输层、认证层、应用层和数据层五个层次[2][5]。每一层都有自己负责的安全任务各层之间相互配合形成一个纵深防御体系。这种分层设计的好处是显而易见的。其一如果某一层的安全措施被攻破其他层的防御还能继续起作用不至于整个系统一下子全部沦陷。其二各层的安全策略可以独立更新比如升级加密算法时不需要同时改动身份认证的机制。说白了就是不要把鸡蛋都放在一个篮子里。3.2 接入层安全接入层是用户接触网上银行的第一道门槛主要负责对来访请求进行初步筛选。防火墙和入侵检测系统IDS是这一层的核心组件[5]。防火墙根据预设规则过滤流量阻止来源不明的访问请求IDS则实时监测流量特征一旦发现可疑行为就发出告警。现在很多银行还在接入层部署了Web应用防火墙WAF专门防御SQL注入、跨站脚本XSS等Web应用层攻击。WAF和传统防火墙的区别在于它能够理解HTTP协议的语义从而识别出伪装成正常请求的攻击行为[5]。3.3 传输层安全传输层安全主要靠SSL/TLS协议来实现这也是网上银行安全最基础、最核心的一块[2][3]。用户在访问网银时浏览器地址栏出现一个锁形图标意味着当前通信使用了HTTPS加密。TLS协议的握手过程大致是这样的客户端先向服务器发送自己支持的加密套件列表服务器从中选择一个双方都支持的方案然后发送包含公钥的数字证书给客户端客户端验证证书的有效性后双方协商出一个对称密钥后续的通信就用这个对称密钥来加密[3]。这个过程涉及了非对称加密RSA或ECC和对称加密AES的配合使用既保证了密钥交换的安全性又保证了数据传输的效率。目前银行业普遍要求使用TLS 1.2及以上版本因为早期版本如TLS 1.0和1.1存在已知的安全漏洞[3]。IETF于2018年发布的TLS 1.3规范RFC 8446进一步简化了握手流程并去除了一些不安全的加密套件[3]。数字证书方面银行通常选择Extended ValidationEV证书这种证书的验证流程最严格签发机构需要对申请组织进行详尽的背景调查。当用户看到浏览器地址栏显示银行名称时就是EV证书在起作用[8]。3.4 认证层安全认证层负责确认你到底是谁。目前国内网银普遍采用多因素认证机制简单来说就是把认证方式分成三类你知道的密码、你拥有的U盾或手机、你固有的指纹或人脸[2][5]。静态密码是最基础的第一因素但安全性有限。第二因素通常是动态验证——银行通过短信发送一次性验证码或者使用硬件U盾生成动态口令。U盾内部存储了用户的私钥和数字证书每次交易时用私钥对交易信息进行签名服务器端用对应的公钥验签确保交易没有被篡改[6]。这种方式的安全性比短信验证码高很多因为它不容易被中间人截获[8]。近年来生物识别技术也越来越多地应用在网银认证中比如指纹识别和人脸识别。但生物特征有个天生的缺陷一旦泄露就无法更改你不可能像改密码一样换一张脸[2]。所以目前生物识别更多是作为一种辅助手段配合其他因素一起使用。3.5 应用层安全应用层直面用户的业务操作安全要求更加细致。这一层的安全措施主要包括访问控制、交易监控和输入校验三个方面[5]。访问控制遵循最小权限原则——每个用户只能看到和操作自己权限范围内的数据和功能。普通用户自然不能越权查看他人的账户信息即使是银行内部员工不同岗位的权限也是严格隔离的。这种权限控制通常在应用代码层面通过RBAC基于角色的访问控制来实现[2]。交易监控则是通过在后台部署风控引擎对每笔交易进行实时风险评估。系统会根据交易金额、接收方账户、交易时间、设备环境等多个维度综合打分[8]如果评分超过一定阈值就触发额外的安全验证比如人脸识别或者人工审核。你在半夜进行大额转账时突然弹出的安全验证就是风控引擎在起作用。3.6 数据层安全数据层是安全架构的最内层保护的是已经落盘的静态数据。这一层的核心手段是加密存储和安全审计[2][5]。敏感数据如用户密码从来不会以明文形式存储——通常的做法是用加盐哈希如bcrypt存储密码的摘要值。这样即使数据库被拖走了攻击者也很难还原出原始密码。对于需要可逆加密的敏感数据比如身份证号、银行卡号一般采用AES-256进行加密密钥不会和加密数据放在同一个地方而是单独存储在一个硬件安全模块HSM中[2]。HSM是一种专门的密码设备内部有物理防护机制一旦检测到暴力拆解就会自动销毁存储的密钥。安全审计日志同样很重要。所有对敏感数据的操作都会被记录下来包括谁、什么时间、执行了什么操作、结果是什么。这些日志本身就是重要的安全证据所以也需要防篡改保护。有些银行已经在尝试将区块链技术用于审计日志的防篡改保护[5]。四、网上银行中的关键密码学技术4.1 对称加密与非对称加密对称加密和非对称加密是网上银行安全的两大基石[2][6]。对称加密的特点是加密和解密用同一个密钥速度快适合加密大量数据。网上银行中常用的对称加密算法是AESAdvanced Encryption Standard分组长度128位密钥长度可选128、192或256位。从目前已知的攻击手段来看AES-256在计算上是安全的暴力破解需要的计算资源和时间在可预见的未来都不现实[2]。国内还有国家密码管理局发布的SM4分组密码算法作为国密标准在国内金融系统中也有广泛应用[9]。AES代码示例from Crypto.Cipher import AES from Crypto.Random import get_random_bytes import base64 # 生成256位随机密钥和16字节IV key get_random_bytes(32) iv get_random_bytes(16) def aes_encrypt(plaintext: str) - str: cipher AES.new(key, AES.MODE_CBC, iv) pad_len 16 - len(plaintext) % 16 padded plaintext chr(pad_len) * pad_len ciphertext cipher.encrypt(padded.encode()) return base64.b64encode(ciphertext).decode() def aes_decrypt(cipher_b64: str) - str: cipher AES.new(key, AES.MODE_CBC, iv) ciphertext base64.b64decode(cipher_b64) plaintext cipher.decrypt(ciphertext).decode() pad_len ord(plaintext[-1]) return plaintext[:-pad_len] msg 转账金额:1000元;收款人:张三;账户:6222****1234 enc aes_encrypt(msg) dec aes_decrypt(enc) print(f原文: {msg}) print(f密文: {enc}) print(f解密: {dec})非对称加密则用一个密钥对——公钥加密、私钥解密或者私钥签名、公钥验签。这个方向的开创性工作来自Diffie和Hellman在1976年发表的论文《New Directions in Cryptography》首次提出了公钥密码的概念[6]。它的运算速度比对称加密慢很多但解决了密钥分发的难题。目前网上银行最常用的非对称算法是RSA基于大整数分解的数学困难问题一般认为2048位以上的RSA密钥在当前还是安全的[2]。不过椭圆曲线密码ECC因为能用更短的密钥达到同等的安全性这几年在移动端网银应用中越来越流行。移动设备计算能力相对有限ECC的高效率正好满足了需求。RSA代码示例from Crypto.PublicKey import RSA from Crypto.Signature import pkcs1_15 from Crypto.Hash import SHA256 key RSA.generate(2048) private_key key.export_key() public_key key.publickey().export_key() def sign_transaction(data: str, priv_key: bytes) - bytes: priv RSA.import_key(priv_key) h SHA256.new(data.encode()) return pkcs1_15.new(priv).sign(h) def verify_transaction(data: str, sig: bytes, pub_key: bytes) - bool: pub RSA.import_key(pub_key) h SHA256.new(data.encode()) try: pkcs1_15.new(pub).verify(h, sig) return True except (ValueError, TypeError): return False txn from6222****5678to6222****1234amount1000time2026-07-02 sig sign_transaction(txn, private_key) ok verify_transaction(txn, sig, public_key) print(f交易数据: {txn}) print(f验签结果: {通过 if ok else 失败})4.2 数字证书与PKI体系数字证书是网上银行身份验证的关键。简单理解它就像一张电子的身份证由权威的第三方——CACertificate Authority证书授权中心来签发[2][6]。每张证书包含持有者的公钥、身份信息和CA的数字签名。PKIPublic Key Infrastructure公开密钥基础设施是支撑数字证书运行的一整套体系包含CA、注册机构RA、证书库和密钥恢复系统等组件[2]。国内银行业使用的证书主要来自CFCA中国金融认证中心它是人民银行牵头成立的专门为金融系统提供PKI服务[8]。此外网银服务器证书通常还会委托国际CA如DigiCert、GlobalSign进行交叉认证以兼容各大浏览器环境。证书有有效期到期之后需要更新。如果一张证书被泄露或不再可信CA会把它加入证书吊销列表CRL或者通过OCSP在线证书状态协议让客户端实时查询证书状态[3]。实际上现在很多浏览器已经不单独查询CRL而是直接使用OCSP Stapling——服务器在TLS握手时附带一个由CA签发的不久前查询过的OCSP响应客户端不需要单独发查询请求既提高了效率也保护了用户隐私[3]。4.3 哈希函数与数字签名哈希函数在网银安全中的应用非常广泛。它能把任意长度的输入映射成固定长度的输出并且具有单向性——从哈希值反推出原始输入在计算上不可行[2]。常用的哈希算法包括SHA-256和国密SM3[4]。SHA-256属于SHA-2家族输出256位摘要值至今仍被广泛使用。值得提一句MD5和SHA-1已经被证明存在实际可行的碰撞攻击网银系统中早已不再使用了[2]。SHA-256的数据完整性检验示例import hashlib import bcrypt # SHA-256 数据完整性校验 data 转账记录:2026-07-02,1000元,张三 hash_val hashlib.sha256(data.encode()).hexdigest() print(f原始: {data}) print(fSHA-256: {hash_val}) # bcrypt 密码安全存储 password MyBank2026.encode() hashed bcrypt.hashpw(password, bcrypt.gensalt(rounds12)) print(f存储的哈希值: {hashed.decode()}) check bcrypt.checkpw(password, hashed) print(f验证结果: {通过 if check else 失败})数字签名则用来保证交易信息的完整性和不可否认性[6]。当用户发起一笔转账请求时客户端先用哈希函数算出交易信息的摘要然后用用户的私钥对这个摘要进行签名。服务器收到后用用户的公钥验签并对摘要做比对。如果验签通过且摘要一致说明这笔交易确实是用户本人发起的而且中途没有被篡改。这一机制在法律层面也具有重要意义——签名可以作为交易不可否认的证据[6]。五、典型网银安全方案的部署为了更直观地说明上述技术如何协同工作下面以一个简化但完整的手机银行转账场景为例梳理安全方案的整体部署流程[5][8]。假设用户A通过手机银行APP向用户B转账1000元整个过程的安全机制如下第一步接入层防护。用户A的手机发起连接请求银行的防火墙检查请求来源确认不是已知的恶意IP。同时WAF检查请求内容排除SQL注入等Web攻击的可能性[5]。第二步建立加密通道。客户端和服务器进行TLS握手。服务器提供由CFCA签发的数字证书客户端验证证书链确认服务器确实是A开户的银行[8]。双方协商使用TLS 1.3协议密钥交换采用ECDHE椭圆曲线迪菲-赫尔曼密钥交换数据加密采用AES-256-GCM[3]。TLS 1.3相比1.2版本简化了握手流程往返时间从两次减少到一次同时去掉了不安全的加密套件。第三步用户身份认证。A输入登录密码后服务器验证密码的bcrypt哈希值。登录成功后A发起转账请求服务器要求进行第二因素验证——A插入U盾或输入短信动态验证码。同时客户端用A存储在U盾中的私钥对转账指令进行数字签名[6][8]。第四步交易风控。转账请求进入后端风控引擎系统从多个维度综合打分交易金额是否超过日常习惯、接收方B的账户是否存在异常行为、当前设备指纹是否与A常用设备一致等[8]。各项指标都在正常范围内交易继续。第五步数据安全存储。交易完成后A和B的账户余额更新交易记录写入数据库。敏感字段如卡号使用AES-256加密后存储密码哈希值定期轮换加盐更新[2]。同时审计日志记录下这笔交易的全部关键信息经哈希处理后链式存储确保事后无法被单方面篡改[5]。以上就是一个典型的端到端安全流程。可以看到每个环节都有对应的安全机制在起作用这些机制不是孤立的而是互相配合、层层递进的关系。六、总结与展望本文围绕网上银行安全架构这个主题从安全威胁分析、分层架构设计、关键密码学技术和实际部署方案几个方面进行了探讨[2][5]。网上银行的安全不是一个静态的目标而是一个需要持续投入和跟进的过程。攻击者手里的工具在不断升级防守方的策略也得跟着变。有两个趋势值得重点关注。一个是量子计算对现有密码体系的威胁——Shor算法理论上能在多项式时间内分解大整数也就是说量子计算机一旦实用化RSA就基本失效了[7]。现在学术界和产业界都在研究后量子密码PQC美国NIST已经标准化了几种候选算法[7]国内也在推动基于格理论的抗量子密码方案。银行系统的密码基础设施迁移将是一个浩大的工程可能还需要十年甚至更长的时间。另一个是人工智能在安全攻防两端的应用。银行可以利用AI技术做更精准的异常行为识别和欺诈检测[8]但攻击者同样可以用AI生成更逼真的钓鱼邮件、进行更智能的自动化渗透测试。以后的安全对抗某种意义上就是AI和AI之间的较量。总的来说网上银行的安全方案设计需要在安全性、用户体验和成本之间找到合理的平衡点[5]。没有绝对安全的系统但通过合理的架构设计和持续的安全运营完全可以把风险控制在可接受的范围内。参考文献[1] 中国银行业协会. 2025年中国网上银行发展报告[R]. 北京, 2025.[2] William Stallings. Cryptography and Network Security: Principles and Practice (7th Edition)[M]. Pearson, 2017.[3] Rescorla E. The Transport Layer Security (TLS) Protocol Version 1.3. RFC 8446[S]. IETF, 2018.[4] 国家密码管理局. GM/T 0004-2012 SM3密码杂凑算法[S]. 北京, 2012.[5] 中国人民银行. JR/T 0071-2020 网上银行系统信息安全通用规范[S]. 北京, 2020.[6] Diffie W, Hellman M. New Directions in Cryptography[J]. IEEE Transactions on Information Theory, 1976, 22(6): 644-654.[7] NIST. Post-Quantum Cryptography Standardization[EB/OL]. https://csrc.nist.gov/projects/post-quantum-cryptography, 2024.[8] 中国金融认证中心(CFCA). 2024中国电子银行调查报告[R]. 北京, 2024.[9] 国家密码管理局. GM/T 0002-2012 SM4分组密码算法[S]. 北京, 2012.