19、基于PKI的移动银行演示方案解析

基于PKI的移动银行演示方案解析

1. 移动银行发展背景

随着手机在全球的普及，系统开发者很早就设想在用户手机上提供银行应用，让用户随时随地管理银行账户。早期，由于手机计算能力有限，这些系统非常简陋，其安全灵活性主要基于SIM工具包，该工具包允许银行与手机SIM卡共享密钥。如今，手机已成为完整的计算设备，智能设备数量增多，移动互联网接入更为普及，这使得开发更复杂、实用的移动银行应用成为可能，用户接受度也更高。在比利时，2009 - 2010年就部署了一些先进的移动银行应用，这表明移动银行正逐渐成为银行业的常见服务，且这一趋势未来还会持续增长。

2. 现有移动银行产品分析

目前的移动银行解决方案虽然已经得到部署，但其安全性仍存在争议，就像早期的网上银行一样。一些新兴解决方案实际上基于网上银行的安全方案，涉及独立的安全令牌、读卡器等。然而，移动用户需要更紧凑、集成的解决方案，将完整功能嵌入手机中。但目前尚不清楚这些解决方案是否能像在封闭桌面环境中使用的非移动解决方案那样安全。

以比利时的两家银行为例：
- BNP Paribas Fortis ：提供通过智能手机浏览器访问的移动银行网站，连接通过HTTPS协议加密。采用双因素认证，在认证阶段，通过SMS向用户发送一次性密码（OTP），结合手机号码作为第一认证因素；用户密码作为第二因素。此外，也可使用读卡器和借记卡进行认证，类似于普通网上银行。
- Keytrade Bank ：同样提供移动银行网站，采用双因素认证，将RSA SecurID令牌（用户拥有的设备）与用户密码（用户知道的信息）相结合。RSA安全令牌是一种硬