[发明专利]提高转账安全性的方法和系统

说明书

技术领域

本发明涉及信息安全领域，特别涉及一种提高转账安全性的方法和系统。

背景技术

“网上银行”系统是银行业务服务的延伸，客户可以通过互联网方便地使用商业银行核 心业务服务，完成各种非现金交易。但另一方面，互联网是一个开放的网络，银行交易服务 器是网上的公开站点，网上银行系统也使银行内部网向互联网敞开了大门。因此，如何保证 网上银行交易系统的安全，关系到银行内部整个金融网的安全，这是网上银行建设中最至关 重要的问题，也是银行保证客户资金安全的最根本的考虑。

信息安全设备是近几年发展起来的一种方便、安全、可靠的身份认证设备。它采用一次 一密的强双因子认证模式，很好地解决了网上银行用户身份认证的安全可靠性，并通过USB 接口与现今的电脑通用。它内置CPU、存储器、芯片操作系统(COS，Chip Operation System)， 可以存储用户的密钥或数字证书，实现加/解密和签名的各种算法，由于加/解密运算在信息安 全设备内进行，保证了密钥不会出现在计算机内存中，从而杜绝了用户密钥被黑客截取的可 能性。现有技术中的信息安全设备多通过USB接口与计算机建立连接，因此又称为USB Key。

现有的网上银行进行批量转账时，通常将批量转账数据上传给信息安全设备，由信息安 全设备进行加密签名后返回给服务器端，服务器端进行解密及验证，从而控制是否对转账数 据进行操作。由于批量转账数据在上传给信息安全设备之前，很可能被远程的非法者篡改而 且不容易被用户所发觉，造成了批量转账的不安全性。而且通常情况下批量转账的数据都比 较庞大，如果通过对批量转账数据进行逐一确认来提高安全性，则很难实现，且影响工作效 率。

发明内容

基于以上现有技术的不足，本发明提供了一种提高转账安全性的方法和系统。所述技术 方案如下：

一种提高转账安全性的方法，所述方法包括：

客户端使用信息安全设备对用户输入的转账数据进行签名后发送给服务器端；

所述服务器端收到所述签名后，验证所述转账数据是否合法；

如果所述转账数据不合法，则所述服务器端拒绝对所述转账数据进行操作；

如果所述转账数据合法，则所述服务器端判断所述转账数据中是否存在异常转账数据；

如果不存在，则所述服务器端对所述转账数据进行操作；

如果存在，则所述服务器端提取所述异常转账数据，并对所述异常转账数据进行干 扰处理后发送给所述客户端，所述客户端收到后输出该干扰处理后的异常转账数据供用户确 认，判断用户是否确认所述异常转账数据合法；

如果用户确认为不合法，则所述客户端通知所述服务器端，所述服务器端拒绝对所述 转账数据进行操作；

如果用户确认为合法，则所述客户端使用所述信息安全设备对干扰处理后的异常转账 数据进行签名，将签名后的异常转账数据发送给所述服务器端，所述服务器端收到签名后， 验证所述异常转账数据是否有效；

如果无效，则所述服务器端拒绝对转账数据进行操作；

如果有效，则所述服务器端对所述转账数据进行操作。

所述服务器端存储有白名单，所述白名单的内容为所述客户端和服务器端预先协商的转 账相关信息；

所述异常转账数据包括：在所述白名单中不存在的数据、与所述白名单中数值不符的数 据、以及与所述白名单中的数值变化幅度不符的数据中的至少一种。

对所述异常转账数据进行干扰处理后发送给所述客户端，具体包括：

所述服务器端根据提取的所述异常转账数据，生成包含所述异常转账数据的干扰图片， 将所述干扰图片发送给所述客户端。

所述干扰图片具体为包含干扰元素的图片或扭曲的图片。

所述客户端收到后输出该干扰处理后的异常转账数据供用户确认，具体包括：

所述客户端收到后，在屏幕上显示该干扰处理后的异常转账数据供用户确认。

所述信息安全设备为带有显示屏的信息安全设备，所述客户端收到后输出该干扰处理后 的异常转账数据供用户确认，具体包括：

所述客户端收到后，通过所述信息安全设备的屏幕显示该干扰处理后的异常转账数据供 用户确认。

所述服务器端验证所述异常转账数据有效后，对所述转账数据进行操作之后，还包括：