招行网银的技术路线不对头
近几天,水木上又开始声讨招商银行的专业版网上银行了,事实上,这种声讨的声音一直就没断过。这个招行“专业”版网银,做起事来的确够专业——不但只认可Windows(招行网银普通版只认IE),还会在输入密码时挂键盘钩子,在运行时禁止远程登录。最近招行又推出了一项“新功能”:检测虚拟机,如果检测到你正在虚拟机中使用招行专业版网银客户端,那么客户端会报错。如果你是一位Linux或Mac OS的用户,那么很遗憾,你可能再也不能通过VMWare或Parallels等工具安装一个Windows,从而使用招行专业版网银了。招行客服对自己这些“狗拿耗子”的做法的解释是:安全。
正式因为这些原因,我一直没敢使用招商银行的专业版,至多在普通版上查查每期信用卡帐单。招商银行作为国内银行业界很多领域(如网上银行)的开创者,网点少,用户多,资金量大,受到人们的诟病也比较多。曾有自由软件支持者billxu发表《致招商银行的公开信》,指出了招行技术路线上的失误,并说明他们的做法并不一定能带来安全,却给少部分用户造成严重的麻烦。但至今,招行不但没有作出任何向正确方向的改善,反而在错误的道路上越走越远。其实,这种Windows-only,IE-only的现象在国内网上银行中并不少见。比如,中国工商银行的网银使用IE专用的ActiveX插件认证密码,专业版使用“U盾”,抛开安全性的问题不谈,其驱动程序只有Windows版本的。中国建设银行、招商银行、浦发银行、兴业银行的网上银行也使用专用的ActiveX插件输入密码。北京银行曾一直是支持非IE浏览器的,可惜今年早些时候的某次升级后,我再也无法使用Firefox操作北京银行的网银了。兴业银行最亏,本来用的是Java Applet这个跨平台的组件写的网银客户端,却因为网页某处的不兼容JavaScript代码问题,导致非IE浏览器无法输入密码,同样成了IE-only。也有一些例外,淘宝网就允许非IE用户直接登录,也不需要什么ActiveX;但对IE用户,则要求必须安装ActiveX插件。我不太清楚淘宝网的技术人员是怎么考虑的,这不是表明ActiveX对安全性的提高来讲纯属鸡肋么。
那么,国外的情况也是如此吗?我在曾经写过的《体验香港的银行服务》中介绍过香港汇丰和恒生银行的网银服务。在Firefox中使用Three、Peoples等电话公司的网上缴费服务也很正常。这些服务全部是跨平台的,不论你用IE还是Firefox还是Safari,不论用Windows还是Linux还是Mac OS,全部可以正常使用。为什么香港银行和公司的觉悟那么高?我在一个港大入学时发的小册子里找到了答案——原来在香港,发布一个不跨平台的网页是违法的。香港有个“机会平等委员会”,保障妇女、残疾人等的合法权益。而互联网上的网页,也和其他公共设施一样,被要求适合残疾人使用——例如视障人士,他们可以通过屏幕阅读软件了解网页信息,但这样的网页必须符合一定的要求。在一个真正重视“少数人”的社会,人们才会意识到网页标准的问题。
现在,一些外资银行已经获准在国内经营人民币存贷款业务了,距离全面开放也只是时间问题。这对国内银行业显然是个冲击——因为外资银行的目标客户群一般都是高端客户。值得讽刺的是:能够使用招商银行专业版网上银行的客户,应该是招行的优质客户;能够在关注“浏览器平台兼容性”问题的招行专业版网银客户,从他们的工作性质可以推想,更应该是优质客户中的优质客户。这部分客户从招行投靠外资银行,具体损失有多少,恐怕只有招行自己清楚吧。
