NSC2015熊军：互联网金融交易平台安全思考

首先有请岱达金融金融副总裁兼CTO熊军，他给大家汇报的主题是互联网金融交易平台安全思考。有请。

熊军：各位来宾，大家下午好！我是岱达金融联合创始人兼副总裁熊军。对互联网金融这个行业来说，大家已经不太陌生了。如果说这个事情在2013年可能大家觉得互联网金融仅仅是一个P2P，随着两年时间的过去，随着移动金融以及互联网金融、金融创新和”互联网+”战略等一系列措施的发展，整个互联网金融已经从一个点扩展到线和面了，从这个角度我们看整个互联网金融拓展成多个形态向纵深、垂直两个方向发展。

对于我有幸从银行领域转到互联网金融领域，我自己在银行从事了将近13年研发工作，后来创立这样一个金融平台，确实是有很多的体会和感受，所以今天下午和行业内的安全大佬、大师们做一个沟通和分享。

在互联网金融领域的安全的点特别多，所以它遇到的问题也特别多，总的来说，痛点特别多。到底安全领域中，我们需要做哪些事情，其实安全是一个立体综合的大的包。上午百度腾讯的专家都有提到，从云管端三个层面立体的角度思考安全，我理解安全也是一个立体的东西。上至政策社会以及整个财经和政治的这样一些大环境到整个监管层面的中层环境，以及到行业内细分环境来说，面临的不仅仅是IT安全这样一个简单的东西。

具体到技术安全角度可以分享的内容特别多，从安全攻防、漏洞扫描等等来说，我想在座的以及今天都有很多的厂商，他们在各自的领域都有非常多的解决方案，我想和大家分享的不是解决方案，我站在客户的立场和互联网金融平台创立人的立场，我想和大家分享的更多是基于业务层面的互联网金融安全。抛出这个问题，更多的是给大家做一个抛砖的过程，希望能够获得大家更多的建议，或者是引导大家往一个更深更广的角度去思考，互联网金融这样一个领域可做的安全还是非常多的。

刚才我提到了，整个互联网金融的安全是一个综合、立体全面的过程。端有客户端、传输端、服务端和云端的一系列的安全。本身安全是一个比较大的系统性的工程，尤其很多同事都知道，安全问题往往不是一个技术问题那么简单，甚至更多层面的人为的问题，流程制度的问题要远远大于技术层面的问题。从这个角度来说，安全问题是一个很综合立体的包。所以，我更愿意作为我们公司的技术方面的负责人，给愿意从流程、制度以及整个人为因素防控关于安全这块的问题，当然技术是不可或缺的一部分。

这是刚才我提到的一个关于多层次的安全体系，这其实是一张平面图，但更愿意把它理解为立体的综合的图。从最上面我们关注的有数据库、审计和快照和整个数据层面的，还有应用层面的东西，应用层面的东西比较多，涉及到有端的，也有云的，还有代码的各种安全。从系统角度有主机入侵、加固和端口的。从云的角度说有各种行为的分析、防控和策略部署。从网络角度来说更复杂一些了。

物理安全如果在云端的话，在公有云上面就没有这一块了，如果在IDC的话这块也是不可或缺的。当时我们在民生做机房的时候连老鼠都会考虑，因为老鼠会咬断很多东西。这里面也有很多专业人士，我就不阐述细的东西了。从上倒下，安全是渗透到每一个层次、每一个层面的安全业务的环节，我要强调的是安全永远是立体的过程，上至国家政策和下至每一条日志的审核。

今天我要分享的主题，因为我觉得单纯从技术角度说或者是从整个互联网行业来说，这个问题太大，我更想和大家分享的是关于互联网金融细分领域，我们在业务角度切入安全的话题。对于互联网金融领域，简单来说分成线上线下的，现在铺天盖地的广告都是互联网金融的，其实他们真正的形态相差很远，有专注于众筹，有专注于2C、2B、消费金融或者供应链金融等大趋势。从这些趋势来说，我个人觉得只要是线上的平台一定是要在业务上专注于如下几个方面，目前从整个互联网金融来说，在我了解的过程中，只有不到10家公司在这方面真正做到了或者已经做了，其他的至少还处在暂时不考虑或者尝试，或者准备的阶段。

第一，很常见的传输问题。很明显的SSL协议有一个过程，它可以把信息通过在传输层面解决明文的问题，它的底层其实是基于ISA的。目前我们看到很多网站没有做到这一块，它的密码甚至都是明文传输的，甚至在整个过程中，连简单的防机器攻击的部分都没有做，也就是验证码都没有，这一点是首要的一点，至少在敏感信息传输的时候，一定要用SSL协议，也就是HTTP协议，为什么很多企业不愿意用呢，因为SSL一上去对整个传输效率有很大的影响，所以我个人在这方面建议的做法是涉及到敏感信息的时候起用SSL协议，不敏感的时候直接用HTTP协议。配置的时候有一个麻烦，是全局起用还是局部起用，局部起用的时候我们典型的做法是直接用异步的后台来起用，我们会把整个敏感信息通过后台异步的方式提交到客户端，客户看起来全站都没有用SSL协议，在但在局部的时候是用了SSL协议的，这是一个简单的执行的方式，但做到了在客户体验和安全上的平衡。

第二，关于签名的过程。我们知道所有的金融交易如果没有签名很明显就会存在一个抵赖的问题。如何解决这个问题，在互联网金融前，金融行业有一整套的完整的解决方案，比如说关于飞金诚信（音）这样的供应商，或者天宏（音）这样的供应商他们都有一系列的软硬件的解决方案出来。从技术的角度来说就是做了电子签名，首先中国有电子签名法，电子签名是受到法律保护的。但目前互联网金融的平台，其实我理解下来，真正做到电子签名的，就是对合同电子签名的好像只有宜人贷和投米网（音）做到了，其他的平台的电子签名基本上都是伪签名，这种伪签名什么意思呢？PDF上看似盖章了，但却没有经过数字证书的签名，所以，本身这一点从一般的投资者来说看不到这种本质的区别，我看到的同样是一份PDF协议，但有没有做电子签名，很多投资者是感知不到的。在银行的方案里面，其实很完整，包括软证书、硬证书、一代、二代、三代、四代很多数字签名的体系，现在有挑战应答的方式了，基本不太可能有伪冒的程度。最早是基于浏览器的文件证书，从这个角度说，总结一下目前的电子签名在整个互联网金融领域做的非常不好，但这里面有一种国际上比较认可的，比如维萨和万事达这样的卡组织有一个可以替代电子签名的双因素认证，就是你所拥有和你所知道的两个因素。国内比较普遍的是我们经常用到的手机动态密码，为什么可以和双因素配合呢？你所拥有的是你的手机，你所知道的是你的交易密码。我们把手机，比如上午很多BAT的人也提到了，手机其实是我们整个身体器官的一部分，你拥有的手机就是你身体的一部分，能够表明是你本人发起的交易，这是国际上认可的一种双因素的认证。在整个目前的互联网金融里双因素认证目前非常普遍，几乎都会采用这样一种方式。比如在核心的交易环节，就会起用动态密码这样一个证明是由本人发起的一个动作。

在之前的金融领域里，我们看到大部分都是用的软证书或者硬证书，也就是U-key，还有一种所谓的动态令牌，比如光大银行使用的这种。但对互联网银行来说太烦琐了，所以都会起用双因素认证，基本上都会采用手机动态密码的方式。

这种方式有好也有不好，麻烦的是还存在一系列的安全隐患，当然安全隐患比较低，大概安全的隐患可能是SIM卡的复制，短信延迟和到达率对客户体验的影响。我们说安全和交易的便捷性之间永远是一个需要去平衡的点，如果这个交易足够安全，那么对它的体验是会带来伤害的。所以，交易的便捷性，就拿体验好的网站和极度安全的网站来说永远有一个平衡的关系，目前整个互联网金融中普遍的做法还是起用了双因素的认证，只有极个别的，像投米（音）和宜人贷（音）会完全起用数字证书的方式来做数字签名。

这是我们在防抵赖，在安全领域证明这一笔交易是由你发出的，在这样的维度讲业务的安全，对不同的行业和不同的领域，不同的环节，甚至不同的这种交易平台对这一部分的考虑是不一样的。有的需要牺牲安全，有的把安全看得特别重。今天是为数不多的来自互联网金融的领域需要给大家分享的一个代表，所以，这里我觉得可以给大家做一个借鉴。

第二，电子文件的签名。这可以涉及到一系列交易中的电子文件，比如合同，通常这个合同只有甲乙双方签字了。在整个互联网企业下，我们说电子签名已经不是那么好实现了，它要么是采用数字证书的方式，也会有各种载体，但在互联网金融下，它对客户的体验还是有伤害的。比如我们在用银行的时候，更多是需要你去银行办一个类似于U盾UKey，下载一个公钥和私钥装在浏览器，从而发起一个电子签名。我们看到现场也有亚洲诚信这样的供应商他们也有完整的解决方案，这是在电子签名这块我的一个思考，给大家分享。

第三，数据方面。从数据的角度来说，目前大家在互联网金融平台有一个直接的担心，我投到你这里的钱会不会第二天就没了，这是一个简单的问题，可能所有的投资者都问这个平台这个问题，你这个平台是不是安全的。首先第一个关心的是你的产品是不是安全的，会不会出现逾期，会不会出现违约。第二个是说你老板是不是安全的，老板会不会跑路，有没有这样的道德问题。第三个层面大家会问到我的帐户和数据是不是安全的，那就是第三个层面的问题，我相信你把钱投给你，下一步你的平台是不是安全的，你的数据是不是安全的，所以更多从数据层面来讲，我想今天在座的也有很多是来自厂商的，对这个本身的数据，不管是云端的数据还是放在我机房里服务器上的数据，都会有很多的解决方案。最简单的还是备份，不管是冷备还是热备，这个行业里有很多连这个简单的动作都没有做的。所以也是提一个建议，对整个行业至少可以说是最低配置，这些事情是一定要去做的。

关于后台日志。我们知道对于内部安全来说，我们唯一做的事情是当事故发生的时候我们可以审计。审计的时候做得好的有良好的审计系统，做得不好的至少可以在最低限度对日志本身有一个保护，这个时候我们在挪日志的时候，比如日志从备份服务器挪到其他服务器的时候，日志本身会不会被篡改的这样一个问题。这里会有很多的解决方案保证日志不被篡改，日志是我们整个审核过程中很重要的一环。

今天从我个人在互联网金融领域中一些点滴的思考，当然我觉得这是关于安全领域的话题特别多，时间非常有限，给大家做的分享比较简单一些，但更多是起到抛砖引玉的作用，互联网金融领域总的来说很开放，也是一个很新的和不断发展的领域。简单来说向垂直和纵深发展，我觉得每个领域在整个互联网金融细分中，可能会需要找到自己适合的一种安全解决方案，并不是说越安全的就越好，我觉得适合自己平台的就是最好的。

这是今天给大家做的一个内容分享，非常感谢。