村镇银行网络基础设施演进分析

缘起


前段时间河南村镇银行储户的时间引起了较大的关注。我们在收集整理相关资产的数据的时候，曾经注意到国内很多的村镇银行在共用IT基础设施，当时只是觉得奇怪，为什么会是这种业务形态。

这次村镇银行爆雷事件发生之后，我们看了一下发生爆雷的六家村镇银行，发现其使用的IT基础设施确实是同一个供应商，即君正智达科技发展有限公司，并且这个供应商也只服务于这六家村镇银行。


为了能够更好的看清国内村镇银行在IT基础设置方面的情况，本文利用我们收集的基础数据，分别从其域名注册，IP使用，备案情况以及证书使用情况这几个角度来评估，希望能够刻画清楚村镇银行在IT基础设施领域的使用情况。



国内村镇银行的基本概况



数量，域名注册时间分布，地域分布


根据根据央行2021的《中国金融稳定报告》[1]，截止2021年国内有1631家村镇银行。

我们从DNSMon系统中，利用DNS数据，SSL证书数据以及ICP备案数据，共整理出村镇银行域名675个，子域名有3939个，IP有3558个。


 * 从ICP备案的所有历史数据中整理出村镇银行相关的域名有897个，去掉已经失效的，目前还有675个备案有效。
 * 单位资产库中整理出3558个村镇银行相关的IP，以此位出发点关联近半年PDNS数据，整理出相关子域名3939个。


IT基础设施使用模式


我们的基础数据覆盖面比较广泛，从以往结合的实际案例分析中，我们的数据基本能搞和实际的实体对应上。不过这次看到的村镇银行的域名个数远少于央行公布的实际数据。经过分析我们发现主要是因为很多村镇银行备案主体是一个，通过其子域名或者直接使用IP地址来开展其业务。


从上面这个现象出发，并结合银监会对镇村银行管理的规定（设立村镇银行必须有一家银行业金融机构发起并控股（俗称母行））[2]，我们进一步分析了村镇银行IT基础设置尤其是后台运营的两大模式：


 * 
   
   
   模式一：由母行或母行分公司运营村镇银行网银系统
   
   像母行实力强的公司，一般会直接包揽下面所有村镇银行的网银系统开发和运维。所以同一母行下的村镇银行主页往往都是统一风格，有些村镇银行网站甚至是相同域名的不同子域名。
   
   一个典型的例子是【中银富登村镇银行(www.bocfullertonbank.com)】由中国银行发起，遍布全国22个省市的126家村镇银行法人[3]。其域名在工信部的ICP备案的单位主体均为中国银行股份有限公司，备案的网站名称是中银富登村镇银行。如下图所示：
   
   
   
   类似这种运营模式的还有【沪农商村镇银行】【浦发村镇银行】等银行，这种模式应该说是目前村镇银行IT基础设施里面非常普遍的一种模式。
   

 * 
   
   
   模式二：将网银系统外包给第三方技术服务公司
   
   很多村镇银行发起行（即母行）本身也是中小规模，并且有些母行对村镇银行的掌控力也不强，这些村镇银行一般会将网银系统外包给第三方技术服务公司或者多个母行组织形成的合作联盟（比如山东省城市商业应银行合作联盟）。
   
   
   这次爆雷的六家村镇银行就属于这种模式。比如【禹州新民生村镇银行】的域名yxmsyh.com 备案的主办单位名称就是禹州新民生村镇银行股份有限公司，备案的网站名称是禹州新民生村镇银行。其官方主页和网银入口分别是其子域名 www.wfvbank.com 和 ebank.yxmsyh.com。另外五家的模式也类似。
   
   在这种模式下有些村镇银行除了使用自己备案的域名之外，在其主页中网银入口域名则直接使用了技术服务商备案的域名。
   
   
   比如【铁岭新星村镇银行】的官网主页是 www.tlvb.com.cn 。从其官网页面可以看出（下图），网银入口则是tlxxebank.cibfintech.com，
   
   
   
   查验域名cibfintech.com发现是兴业数字金融服务（上海）股份有限公司，子域名 tlxxebank 是“铁岭新星”的拼音首字母缩写 + ebank。 通过DNSMon的子域名查询，我们可以发现近百家村镇银行同样在使用兴业数金的服务。比如【乐都三江村镇银行】【松桃长征村镇银行】【东丰吉银村镇银行】等。
   


域名注册时间分布


一般来说，从银行对外开展业务起，其域名应该已经注册并生效了。所以我们从村镇银行域名的注册时间，我们整理了村镇银行的兴起趋势（此处仅供参考，详细数据参见应保监会的数据）。


 * 从注册时间上来看，从2007年开始村镇银行的域名注册持续上涨，至2015年-2017年前后势头最猛，之后呈递减趋势。
 * 另外注意到一个高峰，2021年6月份同时有30+的村镇银行注册域名，其大部分是蒙商银行旗下的村镇银行在同一时间点注册导致的。





网络基础设施情况



村镇银行的子域名概况


根据经验，一个域名的子域名分别代表其不同的业务。从上面的介绍中，我们知道www时期web主页，ebank则是其网上银行的业务。对收集到的村镇银行域名的子域名进行了统计之后发现确实如此：www和ebank占居了头部的两位。接下来的基本都是其银行业务的DNS服务器相关的域名了。




不同子域名的解析结果


聚合性


如在开头所说，我们发现，村镇银行的域名解析的IP地址非常聚集。很多地理位置跨度极广的村镇银行却在使用同一个IP。这种现象也佐证了：村镇银行规模偏小，不具备独立开发网银系统的能力，一般由母行包揽或外包给第三方企业。我们观察到的为村镇银行提供服务的TOP10的IP地址如下：



运营商


此外，我们对监控到的3558个村镇银行IP的运营商进行统计。发现大多数的IP地址位于三大运营商。除此之外上海锐速网络科技有限公司，阿里云等云服务商也在前列。



同IP上的其他域名


在我们监控到的这3558个村镇银行IP上，除了看到村镇银行和其母行的域名解析到此IP外，还看到了一些其他公司的域名。经过分析之后发现，这些公司基本上都是村镇银行网银系统的第三方技术服务商，或者是跟金融，保险相关的业务。业务在使用IP基础设施方面有很好的聚集性。具体分析如下：


 * 村镇银行的第三方技术服务商主要集中在：兴业数字金融服务（上海）股份有限公司，深圳手付通科技有限公司（也有可能是央行下的中国金融电子化集团有限公司），北京华夏家润信息科技有限公司和山东省城市商业银行合作联盟有限公司。
 * 此次爆雷的村镇银行案件中关联到的君正智达公司[4]位列第13，14位。
   
   


对君正智达的分析


通过整理发现，与君正智达公司同IP的村镇银行，正好是此次爆雷的六家村镇银行。（相关新闻：多家媒体调查报道显示，涉及本轮村镇银行存款暴雷的村镇银行或许不止4家，而可能至少包括河南省4家村镇银行，和安徽省2家村镇银行。除了河南禹州新民生村镇银行、上蔡惠民村镇银行、柘城黄淮村镇银行和开封新东方村镇银行外，还有安徽固镇新淮河村镇银行、安徽歙县新淮河村镇银行。总涉及到的存款可能超过397亿）

关联到的IP为47.112.95.228，2408:4003:1f20::df。下图为解析到这两个IP上的所有子域名及对应的单位，首次解析时间。梳理后发现：


 * 47.112.95.228，2408:4003:1f20::df为君正智达的IP，IP上的子域名对应着村镇银行的相关业务，君正智达作为这六家村镇银行技术服务商做网银相关的开发和运营。
 * 从时间上来看，从2020年5月到2022年1月，这六家村镇银行先后转移到了君正智达公司的IP上。
 * 这六家村镇银行的子域名前缀分别是ebank，i，wxbank，app，直接访问对应的都是用户网银登陆和网银app下载的界面，现在基本都无法访问或登录。
 * ebank子域名对应的是用户网银登录入口，其中除了开封新东方村镇银行之外的其他5家村镇银行均切换到君正智达公司对应的IP地址上。
   
   域名解析的IP地址列表
   
   
   
   禹州新民生村镇银行网银已无法登录
   
   



村镇银行域名的证书情况


由于金融领域等网站拥有大量客户的敏感信息，且每天都有大量资金交易需要进行，特别是需要用户登录的网站（ebank子域名），需要可信赖的TLS证书来保障交易的安全。

从村镇银行相关的3939个子域名中抽取包含前缀ebank的所有子域名，关联证书库，统计如下，


 * ebank子域名中，97%的子域名都是有证书的，没有关联到证书的ebank子域名，经确认对应的村镇银行已经将网银登录网址切换到其第三方技术支持单位的有合法证书的子域名上。
 * 从使用的证书等级来看，78%的ebank子域名用的是OV等级的证书，15%的ebank子域名用的是EV等级的证书，整体的证书安全状况较好。
   
   



结论


从我们的基础网络数据来看，可以有如下几个结论：

（1）由于村镇银行规模小，往往不具备网银系统建设的能力，多数是由实力强的母行负责或者外包给第三方公司运营。

（2）我们看到的与村镇银行合作较多的技术服务商主要有：兴业数字金融服务（上海）股份有限公司，深圳手付通科技有限公司（也有可能是央行旗下的中国金融电子化集团有限公司），北京华夏家润信息科技有限公司和山东省城市商业银行合作联盟有限公司。

（3）技术服务商君正智达公司与此次爆雷的六家村镇银行紧密相关。君正智达关联的村镇银行也只有这六家，不过值得一题的是开封新东方村镇银行的电子银行业务并未使用君正智达的系统。

（4）从域名注册时间上来看，村镇银行的域名注册数量在2015年-2017年前后势头最猛。

（5）从IP运营商角度来看，村镇银行所使用的IP数量排名，靠前的除了三大运营商外，上海锐速网络科技有限公司，阿里云等云服务商也在前列。

（6）从证书的使用角度来看，村镇银行的网银登陆都有合法的TLS证书，安全合规。



参考资料


 1. http://www.pbc.gov.cn/jinrongwendingju/146766/146772/4332768/2021111616012855737.pdf
 2. http://www.gov.cn/zhengce/2016-05/24/content_5076294.htm
 3. https://www.bocfullertonbank.com/gywh/gsjs/
 4. https://m.thepaper.cn/baijiahao_18977196