網銀數字證書很“尷尬”

在本報2月23日出版的“網銀資金安全系列報道之一”——《網上銀行數字證書很安全》的報道中，記者通過採訪國內權威技術專家瞭解到，各大銀行的網銀中使用的數字證書技術和數字證書認證流程，如果經過國家權威機構的認可並頒發相應的從業資格證書，是完全能夠保證資金在網上交易安全的。然而，令人遺憾的是，中國銀行業中佔重要地位的幾大國有銀行，在其網上銀行中採用的數字證書系統，很多並沒有獲得權威機構的許可。
在中華人民共和國頒佈的《電子簽名法》中，首次明確了電子認證服務機構必須依法設立，並首次提出了提供電子認證服務應當具備的條件、需要認證哪些內容以及應當承擔的法律責任，這對於解決目前網銀業務中的糾紛具有重要的現實意義。

《網上銀行數字證書很安全》一文中，專家從密碼技術出發，明確表明公共密鑰體系是安全的技術體系，因此基於公共密鑰體系的網上銀行數字證書從理論上來說是安全的。但是，在記者採訪的過程中發現，在現實應用中，網上銀行的數字證書還是受到了來自各方的質疑，甚至記者在某家銀行辦理網上銀行數字版時，工作人員竟然勸記者不要辦理數字證書版的網上銀行業務。可見，網上銀行數字證書正處在某種微妙的尷尬境地。

電子認證服務是爲電子簽名相關各方提供真實性、可靠性驗證的公衆服務活動，通俗地說是由電子認證服務機構（CA機構）提供數字證書的簽發與管理，使數字證書用戶實現網絡身份認證、數字簽名與驗證等網絡應用安全保障。

在電子認證服務業務開展的過程中，涉及到三個主體: 一是CA機構，另外兩個是電子交易雙方。根據現實主體所承擔角色的不同，目前國內電子認證服務業務比較常見的有以下兩種服務模式：

一種是合法設立的電子認證服務機構（以下簡稱合法CA），電子交易雙方的電子簽名認證由一個依照《電子簽名法》及其他相關法律規定成立的、具備電子認證服務許可證的專業電子認證服務機構來完成。

另一種是電子交易雙方中的某一方（多爲網上應用系統建設運營方）自己建立的一套CA系統（以下簡稱自建CA），它同時承擔着CA機構的角色向另一方提供認證服務。目前，大多數網銀對普通用戶進行的數字證書認證服務大多屬於後一種，他們大多沒有獲得電子認證服務許可證。後者與前者相比，在法律效力、運營投入、應用安全風險等方面都存在不少差別，也正是這些差別，帶來了網上銀行數字證書的一系列尷尬。

尷尬一：

自建CA法律效力有待確定


春節期間，記者通過銀行櫃檯和客戶服務熱線瞭解到，工、農、建、中四大銀行都推出了各自的網銀業務，其中前三家可以給網銀用戶提供數字證書服務，以保證用戶的電子簽名能夠真正確定用戶的身份。但據記者目前掌握的資料，爲這些數字證書提供電子認證服務的，都是這些銀行自建的CA; 而根據來自主管部門的資料，這些CA都沒有獲得工業和信息化部頒發的電子認證服務許可證。

事實上，我國已經對電子認證服務行業實行了行政許可和市場準入制度，2005年實施的《電子簽名法》及《電子認證服務管理辦法》確立了合法電子認證服務機構的認定程序和法律責任，由國務院信息產業主管部門依法對電子認證服務機構實施監督管理。國務院辦公廳轉發國家網絡與信息安全協調小組《關於網絡信任體系建設的若干意見》（國辦發（2006）11號）、中國人民銀行發佈的《電子支付指引（第一號）》等文件，也明確倡導應由合法電子認證服務機構提供認證服務。

同時，《電子簽名法》規定，可靠的電子簽名與手寫簽名或者蓋章具有同等的法律效力。而這一句話正是整部《電子簽名法》的精髓所在。業內專家解釋，這意味着，依照《電子簽名法》成立的合法CA，其簽發的數字證書以及使用有效數字證書進行的可靠電子簽名，均具法律效力。而銀行提供的沒有獲得工業和信息化部等權威部門許可的銀行自建CA，只是從技術上實現了電子認證功能。根據《電子簽名法》的規定，他們在未依法取得電子認證服務許可證前，其涉及的電子簽名的法律效力有待鑑別。

上海證券交易所於2000年開始規劃並實施信息化戰略，並於2002年開始啓動安全在線信息系統的建設，該項目以建設證券行業安全認證基礎平臺CnSCA系統及其相關安全應用爲核心內容。上證所信息網絡有限公司負責CnSCA系統的日常管理工作，CnSCA系統已支持的典型應用包括上海證券交易所的上市公司及基金公司公告安全在線遞交、證券公司安全在線會籍業務辦理、媒體專區、大宗交易、數據下載服務、網上監管信息交流平臺、網下申購電子化平臺、固定收益平臺等多項重要業務。目前，上海證券交易所有關的上市公司、會員公司及各地證券營業部、基金公司、信息經營商等十餘類機構近萬個用戶已經全部用上了CnSCA頒發的數字證書硬件載體。但是，相關負責人明確向記者表示，對於CnSCA系統中的CA證書的操作使用記錄是否可以作爲法律依據，自己也心存疑慮。

招商銀行的一位信息系統負責人也曾經向記者明確表示，招行的自建CA系統不受《電子簽名法》保護。

但同時，一些業內人士也存在另一種聲音，他們認爲，網上銀行在向銀行自己的儲戶提供電子認證服務，而這些儲戶並不是傳統意義上的公衆，而是銀行業務範圍內的內部用戶。對內部用戶使用自建CA，可以不利用《電子簽名法》進行法律保障，而是可以利用合同法或銀行票據法進行法律保障。對此，到目前爲止，還沒有權威部門做出明確表態，網銀用戶到底是屬於公衆用戶還是屬於銀行內部用戶。

正是在這種不確定性下，銀行的自建CA在沒有得到行業主管部門的行政許可下，“無證”地進行着電子簽名的認證服務，無證的結果就是用戶使用數字證書進行電子簽名時，其法律效力有待鑑別。
尷尬二：

網銀用戶存在法律糾紛風險


由於很多銀行採用了自建CA，並向網銀用戶推薦使用自建CA的數字證書，而網銀用戶也沒有其他選擇，只能接受。那麼，在這種情況下，網銀用戶將面臨哪些法律風險呢？記者通過採訪來自技術領域、網銀機構、CA機構、法律界以及普通網銀大衆等多種人羣，瞭解到網銀用戶將面臨如下風險。

首先，自建CA的技術由誰來保障？由於目前大部分的網銀自建CA沒有獲得工業和信息化部頒發的許可證，這意味着，自建CA的電子認證功能和電子認證流程的可靠性沒有得到有關權威部門的鑑定和認可。雖然大部分網銀都堅稱自己建設的CA技術是最好的、對CA系統的管理是最可靠的，並且，由於銀行一貫的信譽度，人們都會相信銀行的說法。但是，仔細想來，PKI技術作爲一種新興的、技術含量非常高的技術，網銀自建CA是否真能實現《電子簽名法》中要求的可靠的電子簽名需要具備的相關條件是個疑問。銀行如何能保證簽發證書的惟一性？銀行如何有效管理自建CA系統？如何防止銀行內的“內鬼”複製用戶的數字證書？銀行自建CA的技術可靠性應該由誰來擔保？這些問題實在令人不安。

其次，一旦發生資金交易上的糾紛，究竟應該由誰來舉證？網銀交易不同於傳統的櫃檯交易或ATM交易，數字證書是惟一確定交易人身份的證據。在傳統交易中，一旦發生糾紛，銀行可通過查找交易當天的錄像，很快找到交易人，由此給出令人信服的證據證明究竟錯在哪一方。但在網銀交易中，交易人可在任何一臺電腦上進行，無法進行交易後的事後追蹤，惟一的根據就是使用的數字證書; 同時，網銀交易對用戶也沒有給出像傳統交易中的回單讓用戶確認，在這種情況下，CA機構起着至關重要的作用。在銀行自建CA體系中，完全由銀行說了算，舉證則由網銀用戶自己進行，由於信息嚴重不對稱、用戶知識水平有限等因素，用戶往往處在弱勢，難於舉證，這也是發生了網銀交易糾紛後，很多用戶只能自認倒黴的原因。而如果利用了合法CA的認證服務，根據《電子簽名法》，舉證的責任由合法CA完成，《電子簽名法》第二十八條規定: 電子簽名人或者電子簽名依賴方因依據電子認證服務者提供的電子簽名認證服務從事民事活動遭受損失，電子認證服務提供者不能證明自己無過錯的，承擔賠償責任。這是自建CA和合法CA的最大的不同。這意味着，用戶不需要自己證明自己無過錯，減輕了用戶的負擔，並且合法CA舉證容易，給法官判定提供了很好的依據。

尷尬三：

網銀自建CA存在運營風險


對於銀行來說，自建CA“無證”運行同樣面臨着很多風險。

首先，自建CA會面臨被敲詐的危險。正是由於CA系統在網銀中的重要性和交易行爲的不可追溯性，一旦遇到了惡意用戶，他們完全有可能以自建CA提供的認證技術不可靠、認證服務無法律效力爲由，否認自己在網上應用系統中的操作行爲，這樣，銀行有可能不得不面對多起訴訟，不僅影響正常業務，也會嚴重影響銀行的聲譽。而銀行，正是依靠良好的聲譽和用戶的信任，才能得以長久發展。

其次，銀行面臨着建設和管理自建CA的風險。網銀自建CA首先需要考慮CA軟硬件、網絡設備、電源、物理環境及信息系統安全等初期硬件設備的投入，還要考慮在CA系統的運維管理上的投入和風險。在管理上，銀行需要獨立面對人員、通信、網絡接入、電源等日常開銷、軟硬件設備的維護及升級等，僅人員管理上，就包括運營CA/KM系統必須的技術人員、管理員、安全管理員、密鑰管理員和系統維護人員等，一旦其中某個環節出現了“內鬼”，就會影響整個數字證書的認證，影響用戶對數字證書的使用，而最終受損的不僅有被銀行視爲生命的聲譽，銀行也不得不面臨鉅額的資金賠付。

正因如此，國有四大銀行之一的中國工商銀行，雖然在其私人網上銀行業務中使用的是自建CA的數字證書，但是在對公業務的網銀中，使用的是中國金融認證中心CFCA（目前是合法設立的電子認證服務機構）簽發數字證書。究其原因，知情人一語道破天機: “私人業務畢竟交易金額有限，而對公業務的金額數目就巨大了，銀行當然不願意去冒風險。”

而如果銀行採用了合法的CA服務，有CA機構承擔部署和運營存在的風險的同時，更能整合CA機構優勢資源形成合力推廣電子認證服務，促進優質服務，確保網上應用系統安全、穩定、健康發展。

認識到這些問題後，越來越多的銀行逐漸在採取合法CA的數字證書認證，以減輕銀行機構和個人普通用戶雙方面的風險。2008年10月16日，CFCA宣佈，中信銀行和民生銀行發放CFCA第三方認證證書量雙雙突破了100萬。CFCA作爲依法設立的認證機構，CFCA數字證書在保障用戶資金安全上具有法律效力，尤其是當網上交易發生爭議時，CFCA可爲交易雙方提供具有公信力的證明文件，充分保障用戶權益。民生銀行相關負責人就曾經表示，採用了合法的數字證書的網銀不但安全可靠，也會帶來更加繁榮的網銀應用。

評 論

背後利益在作祟？


記者在採訪中曾經遇到一位網上銀行用戶，他自稱有6家銀行的網上銀行賬戶，爲了確保自己的資金安全，每一個賬戶都辦理了數字證書，每一個證書都有一個USBKey，每一個Key又關聯着一個密碼，爲了提高密碼的安全性，這位用戶分別設定了不同的密碼。但是沒過多久，他就被這些不同的密碼搞得頭昏腦脹，甚至都忘記了某個Key的密碼。他向記者抱怨：“如果能用一個Key，在所有銀行都能使用就好了。”

這就是目前的現狀，網上銀行用戶的數字證書使用範圍僅限於單一網上銀行系統。各家網上銀行應用系統使用不同的證書，用戶必須重複投入。難道就不能實現一個證書“通喫”多家銀行的網上銀行嗎？

一位不願透露姓名的業內人士表示：“一個小小USBkey的空間現在可以達到2G或者4G，完全可以設置不同的分區，安裝不同銀行的證書，但是這種設想永遠不可能實現。以中信銀行爲例，短短几年，數字證書用戶數量就超過了100萬，中信銀行的數字證書的硬件載體有兩種，分別是40元和80元，以平均價格爲準，100萬用戶就意味着有6000萬元的收入。中信銀行和工商、農業、建設、中行等這樣的大型銀行相比，規模顯然還是有限的，其他大型銀行僅通過這一項的收入，就可以收回初期自建CA的投入，並且以後每年不必再支付數字證書的服務費。如果要採用其他合法CA機構的數字證書，不僅這項初期收入銀行收不着，銀行每年還要向其他合法CA機構支付每個證書每年幾十元的服務費，100多萬的用戶量，這一服務費是相當可觀的。試想哪家銀行願意每年多支出這麼巨大的成本呢？

這令記者不得不思考，網銀自建CA爲什麼不到工業和信息化部拿一個服務許可證，變成一個合法的CA呢？這樣，不就解決以上所有的問題了嗎？不僅讓普通大衆更加放心使用網銀業務，極大推動中國網銀的發展，也會讓銀行更加增添信譽，不是嗎？
-- 計算機世界報