网银数字证书很“尴尬”

在本报2月23日出版的“网银资金安全系列报道之一”——《网上银行数字证书很安全》的报道中，记者通过采访国内权威技术专家了解到，各大银行的网银中使用的数字证书技术和数字证书认证流程，如果经过国家权威机构的认可并颁发相应的从业资格证书，是完全能够保证资金在网上交易安全的。然而，令人遗憾的是，中国银行业中占重要地位的几大国有银行，在其网上银行中采用的数字证书系统，很多并没有获得权威机构的许可。
在中华人民共和国颁布的《电子签名法》中，首次明确了电子认证服务机构必须依法设立，并首次提出了提供电子认证服务应当具备的条件、需要认证哪些内容以及应当承担的法律责任，这对于解决目前网银业务中的纠纷具有重要的现实意义。

《网上银行数字证书很安全》一文中，专家从密码技术出发，明确表明公共密钥体系是安全的技术体系，因此基于公共密钥体系的网上银行数字证书从理论上来说是安全的。但是，在记者采访的过程中发现，在现实应用中，网上银行的数字证书还是受到了来自各方的质疑，甚至记者在某家银行办理网上银行数字版时，工作人员竟然劝记者不要办理数字证书版的网上银行业务。可见，网上银行数字证书正处在某种微妙的尴尬境地。

电子认证服务是为电子签名相关各方提供真实性、可靠性验证的公众服务活动，通俗地说是由电子认证服务机构（CA机构）提供数字证书的签发与管理，使数字证书用户实现网络身份认证、数字签名与验证等网络应用安全保障。

在电子认证服务业务开展的过程中，涉及到三个主体: 一是CA机构，另外两个是电子交易双方。根据现实主体所承担角色的不同，目前国内电子认证服务业务比较常见的有以下两种服务模式：

一种是合法设立的电子认证服务机构（以下简称合法CA），电子交易双方的电子签名认证由一个依照《电子签名法》及其他相关法律规定成立的、具备电子认证服务许可证的专业电子认证服务机构来完成。

另一种是电子交易双方中的某一方（多为网上应用系统建设运营方）自己建立的一套CA系统（以下简称自建CA），它同时承担着CA机构的角色向另一方提供认证服务。目前，大多数网银对普通用户进行的数字证书认证服务大多属于后一种，他们大多没有获得电子认证服务许可证。后者与前者相比，在法律效力、运营投入、应用安全风险等方面都存在不少差别，也正是这些差别，带来了网上银行数字证书的一系列尴尬。

尴尬一：

自建CA法律效力有待确定


春节期间，记者通过银行柜台和客户服务热线了解到，工、农、建、中四大银行都推出了各自的网银业务，其中前三家可以给网银用户提供数字证书服务，以保证用户的电子签名能够真正确定用户的身份。但据记者目前掌握的资料，为这些数字证书提供电子认证服务的，都是这些银行自建的CA; 而根据来自主管部门的资料，这些CA都没有获得工业和信息化部颁发的电子认证服务许可证。

事实上，我国已经对电子认证服务行业实行了行政许可和市场准入制度，2005年实施的《电子签名法》及《电子认证服务管理办法》确立了合法电子认证服务机构的认定程序和法律责任，由国务院信息产业主管部门依法对电子认证服务机构实施监督管理。国务院办公厅转发国家网络与信息安全协调小组《关于网络信任体系建设的若干意见》（国办发（2006）11号）、中国人民银行发布的《电子支付指引（第一号）》等文件，也明确倡导应由合法电子认证服务机构提供认证服务。

同时，《电子签名法》规定，可靠的电子签名与手写签名或者盖章具有同等的法律效力。而这一句话正是整部《电子签名法》的精髓所在。业内专家解释，这意味着，依照《电子签名法》成立的合法CA，其签发的数字证书以及使用有效数字证书进行的可靠电子签名，均具法律效力。而银行提供的没有获得工业和信息化部等权威部门许可的银行自建CA，只是从技术上实现了电子认证功能。根据《电子签名法》的规定，他们在未依法取得电子认证服务许可证前，其涉及的电子签名的法律效力有待鉴别。

上海证券交易所于2000年开始规划并实施信息化战略，并于2002年开始启动安全在线信息系统的建设，该项目以建设证券行业安全认证基础平台CnSCA系统及其相关安全应用为核心内容。上证所信息网络有限公司负责CnSCA系统的日常管理工作，CnSCA系统已支持的典型应用包括上海证券交易所的上市公司及基金公司公告安全在线递交、证券公司安全在线会籍业务办理、媒体专区、大宗交易、数据下载服务、网上监管信息交流平台、网下申购电子化平台、固定收益平台等多项重要业务。目前，上海证券交易所有关的上市公司、会员公司及各地证券营业部、基金公司、信息经营商等十余类机构近万个用户已经全部用上了CnSCA颁发的数字证书硬件载体。但是，相关负责人明确向记者表示，对于CnSCA系统中的CA证书的操作使用记录是否可以作为法律依据，自己也心存疑虑。

招商银行的一位信息系统负责人也曾经向记者明确表示，招行的自建CA系统不受《电子签名法》保护。

但同时，一些业内人士也存在另一种声音，他们认为，网上银行在向银行自己的储户提供电子认证服务，而这些储户并不是传统意义上的公众，而是银行业务范围内的内部用户。对内部用户使用自建CA，可以不利用《电子签名法》进行法律保障，而是可以利用合同法或银行票据法进行法律保障。对此，到目前为止，还没有权威部门做出明确表态，网银用户到底是属于公众用户还是属于银行内部用户。

正是在这种不确定性下，银行的自建CA在没有得到行业主管部门的行政许可下，“无证”地进行着电子签名的认证服务，无证的结果就是用户使用数字证书进行电子签名时，其法律效力有待鉴别。
尴尬二：

网银用户存在法律纠纷风险


由于很多银行采用了自建CA，并向网银用户推荐使用自建CA的数字证书，而网银用户也没有其他选择，只能接受。那么，在这种情况下，网银用户将面临哪些法律风险呢？记者通过采访来自技术领域、网银机构、CA机构、法律界以及普通网银大众等多种人群，了解到网银用户将面临如下风险。

首先，自建CA的技术由谁来保障？由于目前大部分的网银自建CA没有获得工业和信息化部颁发的许可证，这意味着，自建CA的电子认证功能和电子认证流程的可靠性没有得到有关权威部门的鉴定和认可。虽然大部分网银都坚称自己建设的CA技术是最好的、对CA系统的管理是最可靠的，并且，由于银行一贯的信誉度，人们都会相信银行的说法。但是，仔细想来，PKI技术作为一种新兴的、技术含量非常高的技术，网银自建CA是否真能实现《电子签名法》中要求的可靠的电子签名需要具备的相关条件是个疑问。银行如何能保证签发证书的惟一性？银行如何有效管理自建CA系统？如何防止银行内的“内鬼”复制用户的数字证书？银行自建CA的技术可靠性应该由谁来担保？这些问题实在令人不安。

其次，一旦发生资金交易上的纠纷，究竟应该由谁来举证？网银交易不同于传统的柜台交易或ATM交易，数字证书是惟一确定交易人身份的证据。在传统交易中，一旦发生纠纷，银行可通过查找交易当天的录像，很快找到交易人，由此给出令人信服的证据证明究竟错在哪一方。但在网银交易中，交易人可在任何一台电脑上进行，无法进行交易后的事后追踪，惟一的根据就是使用的数字证书; 同时，网银交易对用户也没有给出像传统交易中的回单让用户确认，在这种情况下，CA机构起着至关重要的作用。在银行自建CA体系中，完全由银行说了算，举证则由网银用户自己进行，由于信息严重不对称、用户知识水平有限等因素，用户往往处在弱势，难于举证，这也是发生了网银交易纠纷后，很多用户只能自认倒霉的原因。而如果利用了合法CA的认证服务，根据《电子签名法》，举证的责任由合法CA完成，《电子签名法》第二十八条规定: 电子签名人或者电子签名依赖方因依据电子认证服务者提供的电子签名认证服务从事民事活动遭受损失，电子认证服务提供者不能证明自己无过错的，承担赔偿责任。这是自建CA和合法CA的最大的不同。这意味着，用户不需要自己证明自己无过错，减轻了用户的负担，并且合法CA举证容易，给法官判定提供了很好的依据。

尴尬三：

网银自建CA存在运营风险


对于银行来说，自建CA“无证”运行同样面临着很多风险。

首先，自建CA会面临被敲诈的危险。正是由于CA系统在网银中的重要性和交易行为的不可追溯性，一旦遇到了恶意用户，他们完全有可能以自建CA提供的认证技术不可靠、认证服务无法律效力为由，否认自己在网上应用系统中的操作行为，这样，银行有可能不得不面对多起诉讼，不仅影响正常业务，也会严重影响银行的声誉。而银行，正是依靠良好的声誉和用户的信任，才能得以长久发展。

其次，银行面临着建设和管理自建CA的风险。网银自建CA首先需要考虑CA软硬件、网络设备、电源、物理环境及信息系统安全等初期硬件设备的投入，还要考虑在CA系统的运维管理上的投入和风险。在管理上，银行需要独立面对人员、通信、网络接入、电源等日常开销、软硬件设备的维护及升级等，仅人员管理上，就包括运营CA/KM系统必须的技术人员、管理员、安全管理员、密钥管理员和系统维护人员等，一旦其中某个环节出现了“内鬼”，就会影响整个数字证书的认证，影响用户对数字证书的使用，而最终受损的不仅有被银行视为生命的声誉，银行也不得不面临巨额的资金赔付。

正因如此，国有四大银行之一的中国工商银行，虽然在其私人网上银行业务中使用的是自建CA的数字证书，但是在对公业务的网银中，使用的是中国金融认证中心CFCA（目前是合法设立的电子认证服务机构）签发数字证书。究其原因，知情人一语道破天机: “私人业务毕竟交易金额有限，而对公业务的金额数目就巨大了，银行当然不愿意去冒风险。”

而如果银行采用了合法的CA服务，有CA机构承担部署和运营存在的风险的同时，更能整合CA机构优势资源形成合力推广电子认证服务，促进优质服务，确保网上应用系统安全、稳定、健康发展。

认识到这些问题后，越来越多的银行逐渐在采取合法CA的数字证书认证，以减轻银行机构和个人普通用户双方面的风险。2008年10月16日，CFCA宣布，中信银行和民生银行发放CFCA第三方认证证书量双双突破了100万。CFCA作为依法设立的认证机构，CFCA数字证书在保障用户资金安全上具有法律效力，尤其是当网上交易发生争议时，CFCA可为交易双方提供具有公信力的证明文件，充分保障用户权益。民生银行相关负责人就曾经表示，采用了合法的数字证书的网银不但安全可靠，也会带来更加繁荣的网银应用。

评 论

背后利益在作祟？


记者在采访中曾经遇到一位网上银行用户，他自称有6家银行的网上银行账户，为了确保自己的资金安全，每一个账户都办理了数字证书，每一个证书都有一个USBKey，每一个Key又关联着一个密码，为了提高密码的安全性，这位用户分别设定了不同的密码。但是没过多久，他就被这些不同的密码搞得头昏脑胀，甚至都忘记了某个Key的密码。他向记者抱怨：“如果能用一个Key，在所有银行都能使用就好了。”

这就是目前的现状，网上银行用户的数字证书使用范围仅限於单一网上银行系统。各家网上银行应用系统使用不同的证书，用户必须重复投入。难道就不能实现一个证书“通吃”多家银行的网上银行吗？

一位不愿透露姓名的业内人士表示：“一个小小USBkey的空间现在可以达到2G或者4G，完全可以设置不同的分区，安装不同银行的证书，但是这种设想永远不可能实现。以中信银行为例，短短几年，数字证书用户数量就超过了100万，中信银行的数字证书的硬件载体有两种，分别是40元和80元，以平均价格为准，100万用户就意味着有6000万元的收入。中信银行和工商、农业、建设、中行等这样的大型银行相比，规模显然还是有限的，其他大型银行仅通过这一项的收入，就可以收回初期自建CA的投入，并且以后每年不必再支付数字证书的服务费。如果要采用其他合法CA机构的数字证书，不仅这项初期收入银行收不着，银行每年还要向其他合法CA机构支付每个证书每年几十元的服务费，100多万的用户量，这一服务费是相当可观的。试想哪家银行愿意每年多支出这么巨大的成本呢？

这令记者不得不思考，网银自建CA为什么不到工业和信息化部拿一个服务许可证，变成一个合法的CA呢？这样，不就解决以上所有的问题了吗？不仅让普通大众更加放心使用网银业务，极大推动中国网银的发展，也会让银行更加增添信誉，不是吗？
-- 计算机世界报