身份核验风险与账户管理课件.pptx
- 【下载声明】
1. 本站全部试题类文档,若标题没写含答案,则无答案;标题注明含答案的文档,主观题也可能无答案。请谨慎下单,一旦售出,不予退换。
2. 本站全部PPT文档均不含视频和音频,PPT中出现的音频或视频标识(或文字)仅表示流程,实际无音频或视频文件。请谨慎下单,一旦售出,不予退换。
3. 本页资料《身份核验风险与账户管理课件.pptx》由用户(三亚风情)主动上传,其收益全归该用户。163文库仅提供信息存储空间,仅对该用户上传内容的表现方式做保护处理,对上传内容本身不做任何修改或编辑。 若此文所含内容侵犯了您的版权或隐私,请立即通知163文库(点击联系客服),我们立即给予删除!
4. 请根据预览情况,自愿下载本文。本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
5. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007及以上版本和PDF阅读器,压缩文件请下载最新的WinRAR软件解压。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 身份 核验 风险 账户 管理 课件
- 资源描述:
-
1、ICFNR 2016核身风险与账户管理金融信息化研究所 李晓枫中金国盛认证中心 汪东艳 2016-3-23身份核验风险评估研究与账户分类政策的实施建议TM主要内容25.推动个人移动终端可信环境的检测认证4.基于确信等级的远程开户实施2.远程开户与身份核验实践3.威胁分析与对策研讨1.移动金融进展6.实施完善的个人信息保护能力评估27.政策实施与建议TM移动互联网的金融服务正在成为全球关注的经济增长点 2016年2月,巴塞罗那“移动世界大会”预测,2020年全球范围内移动端电商服务占比将达到电商服务总量的45%,约2840亿美金。根据阿里巴巴集团官方数据,2015年双十一的移动端交易占比已达到6
2、8%。2015年,阿里电商交易量达到3万亿元,比肩零售商业巨头沃尔玛。中国在移动支付领域的发展势头强劲。欧盟区凭借着良好的安全芯片技术储备,在过去一年内移动端电商服务增长率达到14%,并预计在未来5年内实现6%的GDP占比。3TM兼顾交易安全与便捷是移动金融发展的关键 金融交易安全形势严峻(根据BankInfo Security的2015年北美的数据)无卡交易欺诈增长迅速,2015年第一季度增长30%有卡(含磁条卡)支付交易欺诈与无卡支付交易欺诈比为1:3 为了平衡交易安全与便捷,基于交易风险评估的身份认证成为主流方案 2015年8月EBA-European Banking Authority
3、(欧洲银行管理局)开始在欧盟框架内推动实施SCA(Strong Customer Authentication),为促进产业发展,继发布PSD2(Payment Service Directive)之后,EBA计划对低风险的交易免除实施SCA 2013年8月,NIST-National Institute of Standards and Technology(美国国家标准与技术研究院)修订了电子身份认证标准,完善了身份认证确信等级的定义,被广泛用于基于互联网领域的身份认证 2015年12月25日,中国人民银行发布中国人民银行关于改进个人银行账户服务 加强账户管理的通知。通知规定,银行应建立银
4、行账户分类管理机制4TM账户分类平准商业银行与支付机构的账户监管差异 根据中国人民银行关于改进个人银行账户服务加强账户管理的通知的意见,个人银行账户分为类、类和类。通过网上银行和手机银行等电子渠道受理银行账户开户申请的,银行可为开户申请人开立类户或类户。通过电子渠道开立类账户 银行应通过绑定开户申请人的同名类账户(以下简称绑定账户,信用卡除外),作为核验开户申请人身份信息的手段之一,确认绑定账户的所有人是开户申请人本人,绑定账户的开户银行名称和账号与开户申请人提供的信息一致。通过电子渠道开立类账户 银行应通过开户申请人从同名类账户向类户转入任意金额的方式激活账户,并确认开户申请人是同名类账户的
5、所有人。5TM主要内容65.推动个人移动终端可信环境的检测认证4.基于确信等级的远程开户的实施2.远程开户身份核验的实践3.威胁分析与对策研讨1.移动金融的进展6.实施完善的个人信息保护能力评估67.政策实施与建议TM账户分类管理-远程开户现状近日,部分银行宣布手机银行从4月1日起开放兼容他行卡开立类账户,银行远程开户正逐步落地实施身份核验方式如下:通过人行的联网核查系统在线核验手机终端所输入的用户姓名、身份证件号、身份证件照片、手持身份证件本人照片 核验手机终端所输入的用户同名他行卡号、手机号、附加码 完成以上内容的核验,即完成注册账户7央行网银跨行清算系统在线核验手机终端所输入的用户姓名、
6、身份证号,手持身份证件照片银行A的手机银行客户端核验用户同名银行B卡号等银行A的手机银行客户端银行A身份证件核验权威机构银行BTM商业银行手机银行开放兼容他行同名银行卡 建行e账户开户流程8TM主要内容95.推动个人移动终端可信环境的检测认证4.基于确信等级的远程开户的实施2.远程开户身份核验的实践3.威胁分析与对策研讨1.移动金融的进展6.实施完善的个人信息保护能力评估97.政策实施与建议TM身份核验过程可能面临的安全问题过程过程安全威胁安全威胁典型安全问题举例典型安全问题举例注册注册假冒攻击一个攻击者使用一个伪造的他人证件或者银行卡信息进行注册抵赖一个成功注册的用户否认注册过程,不承认曾经
7、注册过发行发行泄露凭证服务提供方(银行A)生成提供给注册用户使用的凭证在传输过程中被复制篡改一个注册用户设置的密码在提交到凭证服务提供方(银行A)的过程中被攻击者篡改不应授权的发行 一个非注册用户的人通过冒充注册用户成功从凭证服务提供方(银行A)得到对应的凭证10身份注册,凭证发行和管理1.近年来,由于身份证件,银行卡信息泄漏情况严重,照片信息的主动和被动泄漏也呈上升趋势,信息买卖事件时有发生,为身份核验带来较大的风险。我们的研究表明,以上身份 核验方法能够基本防范安全威胁风险,但仍存在不足、需进一步加固,以防范强中间人攻击。2.其次,如果个人移动终端的安全运行环境不能保证,弱中间人攻击的风险
8、仍然存在。潜在安全威胁TM中间人攻击与防范 中间人攻击:存在让攻击者获得注册用户的凭证验证值,以用于假扮注册用户并能通过验证方的验证。弱级别中间人攻击防范目标:应提供措施,供注册用户判断其是否在与真实的验证方之间进行通讯。强级别中间人攻击的防范目标:应能够完全避免注册用户向攻击者泄露了任何可以供攻击者用于假扮注册用户的信息,让攻击者不能够利用该信息假扮注册用户通过验证方验证。个人生物特征附带活性检测内容核验,是反映个人意愿表达、防范中间人攻击最好的技术措施。11TM加强防范核身份风险的中间人攻击12 用户身份证实的确信等级达到AAL3,可有效的防范中间人攻击发生。身份认证安全组件保护流程-明确
展开阅读全文