《《精编》格尔网上银行解决方案探析》由会员分享，可在线阅读，更多相关《《精编》格尔网上银行解决方案探析（29页珍藏版）》请在金锄头文库上搜索。
1、KOALKOALKOAL SoftwareSoftwareSoftware 安全白皮书安全白皮书安全白皮书 格尔网上银行安全方案格尔网上银行安全方案格尔网上银行安全方案 上海格尔软件有限公司上海格尔软件有限公司上海格尔软件有限公司 格尔网上银行安全方案格尔网上银行安全方案格尔网上银行安全方案 目录 1概述概述 1 2网上银行安全需求分析网上银行安全需求分析 2 2 1 网上银行的业务安全分析 2 2 1 1公共信息发布 2 2 1 2网上帐户查询 6 2 1 3网上支付和转账 9 3格尔网上银行解决方案格尔网上银行解决方案 12 1 1 高加密位数 SSL 代理 12 3 1 1SSL 介绍
2、12 3 1 2SSL 工作流程 12 3 1 3SSL 代理的工作原理 14 3 1 4SSL 代理的特性 16 3 2 格尔 PKI 加密模块 17 3 2 1加密模块 17 3 2 2格尔 PKI 加密模块 17 3 3 格尔证书认证系统 20 3 3 1证书认证系统 20 3 3 2工作流程 21 4格尔网上银行解决方案特性分析格尔网上银行解决方案特性分析 24 附录附录 25 参考站点 25 名词术语 25 单钥密码体制和公钥密码体制 25 数字签名和数字信封 26 数字证书 27 1 概述概述 从第一家网络银行 Internet Bank Security First Networ
3、k Bank SFNB 1995 年 10 月在网络上开业至今四年多 开业后的短短几个月 即有近千万人 次上网浏览 给金融界带来极大震撼 于是更有若干银行立即紧跟其后在网络 上开设银行 随即此风潮逐渐蔓延全世界 网络银行走进了人们的生活 由于 Internet 无所不在 客户只要拥有帐号和密码便能在世界各地与 Internet 联网 处理个人交易 这不仅方便客户 银行本身也可因此加强与客 户的亲和性 随着金融环境竞争加剧 银行不得不重新审视自身的服务方式 在我国 已经有许多商业银行纷纷推出了网上银行服务 网上银行系统在蕴藏着无限商机的同时 也带来了风险 对于开设网上银 行服务的提供者来说 当务
4、之急就是要解决安全问题 为此 上海格尔软件公 司在本文中介绍了一种网上银行系统安全方案 在本文中所指的网上银行 包括了个人银行和企业银行两个概念 个人银 行是指通过网络为个人银行业务提供服务 企业银行则是指通过网络为企业用 户提供服务 两者相比 个人银行业务应该具有较简便的操作界面 而企业银 行更注重整个环节的安全性 从广义来讲 安全的概念可以包括数据安全 系统安全和信息安全三个方 面 数据安全是指通过采用系统备份 磁盘镜像等安全手段以防止数据丢失 系统安全是指通过系统加固 边界防御 入侵检测等手段以防止黑客攻击系统 破坏数据 而信息安全则主要是指通过加密技术防止信息和数据在公开网络传 输上被
5、窃听 篡改和顶替 信息安全包括四个功能 数据保密 身份认证 数 据完整性和防止抵赖 本文并没有涉及到有关数据安全方面的概念 对系统安 全作了一定的介绍 而对信息安全技术的实施则作了比较详细的方案设计 本方案是基于上海格尔软件公司电子商务部开发的以下三个安全软件产品 PKI 加密模块 SSL 代理和 Enterprise CA 这三个产品为解决网上银行系统中 数据加密 身份认证 数据完整性和防止抵赖等信息安全问题提供了完整的解 决方案 2 网上银行安全需求分析网上银行安全需求分析 2 1 网上银行的业务安全分析网上银行的业务安全分析 从功能划分 网上银行的业务可分为三类 2 1 1公共信息发布
6、公共信息发布用于介绍网上银行的业务范围流程 金融公共信息等 这类 业务由于面向公众发布 不需要保证信息只能被特定团体或个人访问 需要的 是保护信息不会被非法篡改 目前在 Internet 上比较多的黑客事件都是篡改公 共 Web 站点的内容 制造虚假信息或涂改页面 如美国 NASA 和国防部站点 被 黑 事件就是这类事件 对于银行来说 公共金融信息虽然是公开的 但 是如果被篡改某些敏感数据 如银行利率等 很可能会造成不必要的麻烦 对 银行的名誉也会造成不利的影响 因此 对这些内容的保护也是不能够忽视的 Web 站点内容被黑客篡改 是这些黑客通过主动攻击实现的 例如 黑客 通过密码字典猜测信息系
7、统的特权口令 在获得特权口令之后 登录进入系统 篡改发布内容 制造不良影响 对于这种情况 我们可以通过改进系统配置 增加防火墙防护 配置入侵检测模块和完善安全管理策略来实现安全保护 避 免站点被非法篡改 完善安全管理策略 黑客一般是通过分析网络管理上的漏洞以达到其攻击目的 很难定义怎样 的系统管理才是完善的 因为完善的系统管理是各方面的总和 例如对路由器 以及其他主机定期更改密码 采用不规则密码 关闭不必要的服务 关闭防火 墙任何不使用的端口等 对于一个 Unix 系统 安全管理主要可分为四个方面 1 防止未授权存取 权限控制是系统安全的基本问题 即防止未被授权的用户进入系统 良好 的用户意识
8、 良好的口令管理 由系统管理员和用户双方配合 登录活动记录 和报告 用户和网络活动的周期检查是防止未授权存取的关键 2 防止泄密 数据保密也是系统安全的一个重要问题 防止已授权或未授权的用户相互 存取对方的重要信息 经常性的文件系统查帐 su 登录和报告以及良好的用户 保密意识都是防止泄密的手段 3 防止用户滥用系统资源 一个系统不应被一个有意试图使用过多资源的用户损害 因为在高负载的 情况下系统的安全性能往往会降低 例如黑客通过占用整个磁盘空间来防止日 志生成 不幸的是很多商业 UNIX 不能很好地限制用户对资源的使用 因此系 统管理员必须通过一些系统命令如 PS 命令 记帐程序 df 和
9、du 周期地检查系 统 查出过多占用 CUP 的进程和大量占用磁盘的文件 同时安装某些监控软件 也是有效的手段之一 4 维护系统的完整性 大多数情况下 维护系统完整是系统管理员的责任 例如 周期地备份文 件系统 系统崩溃后运行磁盘扫描检查 修复文件系统 检测用户是否正在使 用可能导致系统崩溃的软件 良好的安全管理策略对系统的安全水平起着至关重要的作用 因此系统管 理员可以将以下几个方面作为维护的重点 系统配置系统配置 仔细研究最新的系统维护文档 完善系统各方面的安全配置 降低安全风险 同时 周期性的维护系统 包括备份和安装补丁程序 订阅安 全电子新闻 系统隔离系统隔离 将内网和外网进行隔离 确
10、保银行业务前置机 业务主机和数 据库服务器只处于内网中 内网和外网通过防火墙相连 切断共享切断共享 Web 服务器上的系统配置尽可能地保证安全 关闭所有不必要 的文件共享 停止所有与业务无关的服务器进程 如 Telnet SMTP 和 FTP 等 服务器守护进程 日志记录日志记录 打开日志记录功能 保存系统的访问日志记录 对其进行分析 可以有助于发现有问题的访问情况 如有必要 使用专门的入侵检测模块 口令策略口令策略 制定完善的口令策略 限制口令的最小长度和最长有效期 检 查口令的质量 专人专权专人专权 由专人负责系统安全和系统维护 减少不必要的用户管理权限 严格控制非系统管理员的权限和系统管
11、理员的数量 以下是一个简化的虚拟网上银行网络结构图 图 1 网上银行网络结构图 从图中可以看到整个网络体系分为 Internet 非军事区 DMZ Intranet 以及银行内部网四部分 其安全等级从前往后逐次递增 这些网段由两个网关 连为一体 首先防火墙将 Internet 和 Intranet 以及非军事区分离 非军事区是 所有用户可以访问的区域 而 Intranet 则只有特定用户才能访问 通过对防火 墙的合理配置可以避免内部服务器被攻击 可以采用多级防火墙配置 如在非 军事区和 Internet 之间用防火墙隔离 以提供更强的网络安全保护 Intranet 与网上内部网络由前置机相连
12、为了保证银行业务主机的运行安全 网上银行系统不直接连接业务主机 而是由特定的前置机来代理其请求 前置 机只响应特定服务请求 然后将请求转换为特定消息格式发送给业务主机 收 到应答后再将数据返回给请求者 通过这种隔离进一步增强了系统的安全保证 增加防火墙防护 在网络系统中 防火墙是一种装置 可使内部网络不受公共部分 整个 Internet 的影响 它能同时连接受到保护的网络和 Internet 两端 但受到保护 的网络无法直接接到 Internet Internet 也无法直接接到受到保护的网络 如果 要从受到保护的网络内部接到 Internet 首先需要连接到防火墙 然后从防火 墙接入 Int
13、ernet 最简单的防火墙是双主机系统 具有两个网络连接的系统 防火墙有两种 1 IP 过滤防火墙 IP 过滤防火墙在数据包一层工作 它依据起点 终点 端口号和每一数据 包中所含的数据包种类信息控制数据包的流动 这种防火墙非常安全 它阻挡 别人进入内部网络 过滤防火墙是绝对性的过滤系统 即使要让外界的一些人 进入防火墙之内 也无法让每一个人进入服务器 2 代理服务器 代理服务器允许通过防火墙间接进入 Internet 最好的例子是先连接到防火 墙 然后从该处再连接到另一个系统 在有代理服务器的系统中 这项工作是 完全自动的 利用客户端软件连接代理服务器后 代理服务器启动它的客户端 软件 代理
14、然后传回数据 只要配置正确 代理服务器就绝对安全 它阻挡 任何人进入内部网络 因为没有直接的 IP 通路 在网上银行系统中 由于 Web 服务器需要连接到 Internet 因此 我们建 议在 Web 服务器和 Internet 之间架设一个 IP 过滤防火墙 配置入侵检测模块 除了防火墙之外 配置入侵检测模块也是一个重要的安全措施 例如 对 于银行帐户和密码 入侵者可能尝试枚举攻击 由于密码长度有限且均为数字 密码空间比较小 如果入侵者知道帐户号码 很容易通过枚举攻击猜测出帐户 密码 入侵攻击的特点是在一个攻击源同时发出密集攻击数据 自然 这些攻击 数据对于查询系统来说 可能是合法的查询参数
15、 它的特点是在同一个攻击源 同时发出大批量查询请求 普通情况下 一个用户连接后不会非常频繁的查询 数据 每分钟最多不超过 5 次查询 而且查询的帐户号码也有限 每分钟最多 不超过 10 个帐户 相反 入侵者为了猜测密码 会大批量 长时间 从同一 地点发出攻击信息 这种攻击模式是能够被检测到的 检测到异常情况之后 检测模块能够自动予以记录和预警 自动预警甚至可以通过寻呼机通知系统管 理员 2 1 2网上帐户查询 网上账户查询是指网上银行通过 Internet 进行帐户实时查询功能 企业 银行的查询功能包括 余额查询 交易历史查询 汇款查询 公司对公账户查询 个人银行的查询功能包括 公积金账户查询
16、 交易明细查询 定期到期查询 消费积分查询 网上账户查询的安全需求比公共信息发布要更高 因此网上账户对系统安 全也有同样的需求 而且 除此之外 网上账户查询的还需要解决用户的私有 信息 口令 账户数据 在 Internet 这个公开网络上传输的安全问题 而这些 属于信息安全范畴 网上账户查询的信息安全功能应包括两个方面 身份认证和数据保密 身份验证 传统银行业务的身份验证方案主要是通过口令或 PIN 来实现的 它具有以 下两个特点 1 PIN 一般为 4 8 个数字 范围比较窄 2 银行主机记录用户输错 PIN 的次数 一旦超过一定数量 就自动关闭 该账户的服务功能 在网上银行业务中 仅通过这样的方式来进行身份验证 存在很大的不足 1 由于网上银行业务的通信信道是公开网络 所以口令明文传输容易被截 获 2 在网络上 口令猜测是黑客使用最多的攻击手段 即使使用蛮力攻击法 攻破 8 位的数字口令也只需很短的时间 3 在网上提供服务 很难对错误 PIN 输入进行限制 网络的信道故障或 者人为的恶意行为都很容易使输错口令次数达到限制 错误次数限制会 给合法的用户带来了很大的不便 因此 传统的口
