芝麻开门

　　
在《阿里巴巴与四十大盗》里，当阿里巴巴对着守护宝藏的大门喊“芝麻开门”，通向宝藏的大门已被打开，强盗们防护宝藏的安全认证体系土崩瓦解，因为一听到芝麻开门四个字，守护大门就会打开，而不管发出命令者的身份。这则童话反映了这样的问题：如何保证财产的安全？如何在自己需要时便捷地取得这些财产，但却能排除他人全天候地非法攫取？强盗们是通过设立暗语这样一套认证体系来解决这个问题的，但最终由于该认证体系过于单一、对认证信息保护不足等因素，导致了财宝的丧失。如果把这个问题挪到金融行业，我们会发现，许多诈骗、盗窃事件，也是在认证信息这一环出了问题。下面我们看一个真实的案例，以期从某一角度对认证信息作一个分析。
　　阿卜杜拉赫案—美国有史以来最大的网络诈骗案
　　阿卜杜拉赫（Abraham ·Ab-dallah)，中学未毕业，餐厅杂工。自18岁起，就因信用卡诈骗，被捕25次，1998年用假信用卡盗取美金10万元左右，被捕后入狱两年半。出狱后至2001年3月7日，制造了这起轰动业界的网络诈骗案。
　　犯罪过程：
　　1．确定犯罪目标。以2000年的《福布斯》上的美国前400名富豪榜为目标，包括世界级大牌导演史蒂文·斯皮尔伯格、金融大鳄乔治·索罗斯、传媒巨子泰德·特纳、股神巴菲特等。除了富豪们的巨额财富以外，阿卜杜拉赫考虑得更多的是如何更容易地获得认证信息。作为一个信用卡诈骗老手，阿卜杜拉赫熟知财务管理的运作机制，同时又是信用卡安全专家，他知道这些富豪们由于拥有庞大的财产，必须通过专业的财务公司来管理他们的财产，而财务公司接受命令的方式就是通过认证信息；而就这一干富贵名人，受万人注目，各种媒体又喜欢探究他们的私人隐秘，因此，可以通过各种途径获得他们的私人资料；利用这些资料，再通过一些欺诈的手段，就有可能从掌握这些富豪机密信息的信用调查公司骗取富豪们的机密信息。
　　2．获取认证信息。又分为两个阶段。第一，获取一般的个人秘密。通过各种媒体，特别是因特网，阿卜杜拉赫轻易就获得了这些富豪们的属于个人隐私权部分的个人秘密。这对因特网来说，已经不是什么难事。据金融界人士透露，美国有钱人的个人秘密被窃的问题日益严重。NBC报道今年的受害者可能会达到75万，而1992年只有3.5万，惊人地增长了20倍。第二，骗取与财务相关的机密信息。富豪们的财务机密资料，除了其本人以外，也为某些信用调查公司所掌握。阿卜杜拉赫巧妙地利用金融行业的信用机制，套取了富豪们的机密资料。具体的方法有：①假扮一富豪的名义，利用电子邮件和网上留言信箱，向信用调查公司索要另一富豪的资料。如2000年夏，阿卜杜拉赫假扮保罗·艾伦（微软创始人之一）向美国东海岸一家著名的信用调查公司了解另一富翁的信用状况，并且留下了一个电话号码。该信用调查公司回电确认该电话号码，电话那边传来“艾伦”的留言：“hi，我是艾伦，我不在办公室，有事请留言。”电话号码准确无误，该信用调查公司也就没有怀疑。②伪造著名财务公司如Goldman、 BearStearns、Merrill Lynch的信笺向信用调查公司如Equifax、 TRW和Experian套取富豪私人机密资料。通过上述的一系列行为，阿卜杜拉赫获得了这些富豪们的包括社会保险号码、银行和股票账户号码、出生日期、家庭住址、电话号码甚至经常作为银行户口密码的母亲的姓名等等信息。
　　3.窃取资金。凭借机密资料，以因特网进入富豪在银行及证券公司的户口，进行转账、窃取资金活动，或者利用伪造的信用卡进行消费行为。
　　阿卜杜拉赫案的核心问题之一就是认证信息的安全性。认证信息只是金融体系中保障安全的一个方面，它与金融运作机制、财务制度、金融产品种类、运营成本、技术因素有着千丝万缕的联系，这里仅从本案出发，揭示不同认证信息种类的不同意义。
　　从金融认证信息的生成方式来看，可将之分为两个层次：
　　1．金融认证信息的进入信息，是金融机构应客户申请而授予该客户的、用于区分不同客户在本机构所有权利的标签。如银行账户号码、股票账户号码、银行存折、信用卡。进入信息可以表现为无形的信息形式，如各种账户号码，只要告诉号码即可；也可以表现为实物形式，如各种信用卡、存单。进入信息是由金融机构指定的，事先与客户没有联系，具有随机性。进入信息的表现形式不同，相应的安全性也不同。本案中，阿卜杜拉赫利用银行账户和利用信用卡进行诈骗，其难度是不一样的，后者涉及到更多的技术因素。进入信息是用户获得服务的凭证，是保护用户资金安全的第一道防护墙。金融机构和用户自己应防止进入信息外泄。如，在ATM取钱时，应收好取款机打印出来的取款凭条。
　　2．金融认证信息的比对信息，是客户授予金融机构的、金融机构用于比对使用者是否为合法权限者的信息。如各种账户密码、签名、签章及其他一些与客户联系紧密的信息。比对信息的保护，是金融安全的重点。面对庞大的客户群体，金融机构的办事人员不可能去识别除进入信息和比对信息以外的信息，法律对进入信息和比对信息在形式上作了严格的要求，只有符合法定形式的认证信息，金融机构才可能免责。本案中，阿卜杜拉赫就是骗取了经常作为银行户口密码的母亲的姓名等机密资料，才获得了操纵资料的权限。
　　上述两个层次，在一些特定的产品里，可能结合在一起，如某些IC卡，卡的本身就是安全问题的全部，插卡即能使用。对此类产品的变化，是初始状态的产品本身，即包含上述两个层次的信息，但其中进入信息是不可变的，比对信息可由使用者变更，提高了安全性，如201校园电话卡。不言而喻，比对信息的独立性越强，其安全性就越高。因此，有必要在设计一种产品的认证体系时，考虑进入信息和比对信息的关系。
　　就比对信息的具体内容与客户及其以外的人联系的紧密程度，可分为：
　　1．独立于客户之外的信息为内容的比对信息。不以客户存在为存在的信息，如签章、保险柜业务中的钥匙。此种比对信息，物质依赖性强，控制了它，就等于掌握了其所防护的财物。
　　2．以客户的社会身份为内容的比对信息。客户从出生到死亡，有自己的社会关系，用社会关系的内容作为内容而形成的比对信息，即为此类比对信息。由于社会关系还有他方主体，而他方主体有可能也掌握着该种信息，因此，此种比对信息，存在被他人掌握的危险。还有，相对于一些特殊客户，由于其受社会普遍的关注，其许多在普通人看来为个人秘密的信息，都被曝光与社会，成为公众信息。如本案中的出生日期、家庭住址、电话号码甚至经常作为银行户口密码的母亲的姓名等等信息。这也告诉我们用户，最好不要用具有社会意义的信息作为密码。
　　3．以客户的生物特征为内容的比对信息。随着生物技术和信息技术的发展，以人的生物特性为信息内容的技术方案，越来越多地被用于安全认证体系。这些特性，如指纹、DNA等：①具有惟一性，因人而异；②附随于人身，不可分割；③通过特定的技术手段加以鉴别。使用此种比对信息，一般都是当事人亲自为之，排除他人的参与，安全性较高。但由于涉及到技术问题，其经营成本、员工职业素质都妨碍了普遍地应用。
　　4．以客户的习惯性行为为内容的比对信息。客户长期以来形成的习惯性动作，具有区别意义，他人难以模仿。如签名。此种比对信息，在认证过程中需要客户的亲自参与，具有一定的安全性，但由于涉及到辨认的技术要求，对金融机构员工的素质有较高的要求，其经营成本自然就会上升。
　　5．由客户大脑随机产生的信息为内容的比对信息。通过当事人大脑随机产生的、与当事人社会关系距离甚远的信息作为比对信息的内容。由于是当事人自己思维的结果，他人就难以知道该比对信息的内容，安全性较高。同时，其产生成本较低，对金融机构的要求也较低，因而得到普遍应用。但是，一旦密码失窃，制约和救济机制就比较缺乏。
　　一种金融产品或服务的开发使用，涉及到金融以外的一系列问题，而相应的安全认证体系，必须考虑在这种产品或服务的框架内建立。除了产品特性、经营成本、人员素质、技术因素的制约以外，应对认证信息的两个层次、五种分类作一个综合应用，比如，可考虑将几种比对信息交叉使用，增加产品的安全系数。
　　附带提一点，比较阿里巴巴的童话和阿卜杜拉赫案，两者的安全认证体系虽复杂程度不同但都被攻破，在此，相应的问题是：安全认证体系是越简单越安全，还是越复杂越安全？