从近期某个热点事件谈起

[复制链接]
查看: 338|回复: 0

9

主题

0

帖子

8

积分

群众

Rank: 1

积分
8
发表于 2018-9-27 11:20:59 | 显示全部楼层 |阅读模式
上周末的时候,工行的“工银e支付”被爆有重大安全漏洞,这条消息在微博、朋友圈、门户网站刷来刷去。紧接着,工行的小伙伴大周末的被喊起来加班,然后一篇澄清消息出来:这事属于误解。

到底是怎么回事呢?工银e支付,大家完全可以理解成第三方支付公司在大面积使用的快捷支付,注册的时候凭姓名、身份证号码、卡号、取款密码、手机号码以及发送该手机的短信验证码,一旦注册成功,后续支付凭短信验证码就可以完成,方便快捷,这也是为什么叫快捷支付。我曾有篇文章讨论过快捷支付的前世今生,是由第三方支付公司主导的、借助银行的资源实现客户身份认证的一种快捷支付方式。

但凡快捷,必有短板。在哪儿啊?短信。短信刚刚发端的时候,仅仅是人与人之间简短信息交流的一种方式,明文,没有基于内容的加密,传输设备是手机,传输信道是运营商的网络。后来,随着电子商务的兴起,以及公众对便捷支付的渴求,当然最主要还是支付公司无孔不入的创新,短信被当做支付的认证方式。打个比喻,就相当于21世纪还在用着19世纪的技术,就相当于钢铁垒就的城堡装了个栅栏门,属于很明显的短板。并且,手机号归属于谁是由运营商说了算,运营商的实名认证才刚刚起步,并且短信内容在运营商体系的安全级别或者说重视程度,跟金融机构完全不是一个概念,最最重要的是,手机号码及短信不在支付公司、银行的安全体系之内,一切受制于人,所以,这成了快捷支付的最大短板,也可以叫做漏洞。正如这次事件中的“短信保管箱”业务,运营商提供的,对银行而言,完全是,臣妾不知道啊。

就像我们无法理解以太网这种不严密、不高效、不安全的“垃圾”网络机制得以生存壮大乃至覆盖全球一样,短信作为快捷支付的标配如此深受欢迎,有其内在道理,存在就是合理,或许是短信作为认证工具的普及门槛太低,人人触手可及。

我们不妨历史得看待这件事情。现在犯罪分子把目光瞄准了银行,其实在快捷支付这种模式诞生之初,犯罪分子第一个瞄上的是支付公司们,他们做了一番努力,让短信不再那么“短板”了,而银行还差这块的努力。说实话,银行推出快捷支付方式纯粹是一种迫于形式的无奈,早知今日,何必当初给支付公司开放接口啊?所以,银行在这一块起步晚,投入的精力也不会太多。在支付公司中,快捷支付是最重要的支付方式,占比几乎接近90%,支撑了其关键业务,而对银行而言,快捷支付,也只是一个不起眼的产品。

说到短信对银行而言为什么“短板”,就要从两种安全理念的分歧谈起。当前银行与支付公司是两种思路,银行的安全讲究的是闭环,一切都在cover范围之内,所以,门槛是高的,通道是加密的,有可能的话都是内网、专线对接,也就是说,要掌控一切。银行的这种安全理念,是真安全,但问题在于成本高、门槛高,客户体验不好,一旦有如同“短信”这样不在银行掌控范围内的环节,银行就会处于劣势。这种安全理念应用于科技体系,是非常好的,看看银行的科技体系,比所有其他行业,超出不是一点半点,在面向客户,或者说,被迫向客户体验低头时,就存在尴尬。

而支付公司,虽然大谈特谈自己的生态安全,但其实其理念是风险为本,什么意思呢?用最少的资源,或者最有效的方式,解决最突出、最关键的风险问题,也就是实用主义,管用就好。所以我们看到,支付公司与外部安全相关有很多合作,有保险赔付,再者就是对事中监控的大数据应用。这里面还有更深层次的一个理解,谁掌握了数据谁就掌握了安全。

我们不能狭隘得说,哪种安全理念是好,或者哪种是坏,各有优劣。就像我们看一个人,必须历史得看,他经历了什么,一步步走来,这才是这个人。支付公司的这种安全理念完全源于其对客户的生存性依赖,入口流量是其生命线,必须不断地迎合客户,不断地降低客户的使用门槛,提升体验,同时,资金还要有保障,支付公司只能从外部想办法,不怕出案件,出了赔,从事中想办法,从现有数据想办法。

而银行也是面向客户,但甲方乙方的态度转变也是近几年的事情,支撑银行的主要还是企业客户,对个人客户的重视也是近几年的事情。

later better than never.

拥抱客户,拥抱便捷,对银行而言就像,大象跳舞,大船掉头,步伐是缓慢的,但有很多迹象表明,一切都在好转,银行同业都成立了网络金融部,直销银行以及网络银行,以建行善融为开端的商城,还有,对客户越来越多的尊重。

末了,插一句,支付公司以及电商,也在向银行学习,例如携程、支付宝前期的事件都反映出,其在非客户安全领域的诸多不足,代码安全,设备安全,机房安全,容灾备份等等。这是一个互相学习的过程。

以上。

(在长春出差,长夜漫漫,怎么没有知友邀请我吃串……)

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

精选推荐

返回顶部 关注微信 下载APP 返回列表