【文章內(nèi)容簡介】 TP令牌應具備抵抗旁路攻擊的能力，包括但不限于： 抗SPA／DPA攻擊能力 抗SEMA／DEMA攻擊能力f) 在外部環(huán)境發(fā)生變化時，OTP令牌不應泄漏敏感信息或影響安全功能。外部環(huán)境的變化包含但不限于： 高低溫 強光干擾 電磁干擾 紫外線干擾 靜電干擾B. 增強要求：a) 采用基于挑戰(zhàn)應答的動態(tài)口令，以防范中間人攻擊。b) OTP認證系統(tǒng)應提供雙因素認證功能。c) OTP令牌設(shè)備應使用PIN碼保護等措施，確保只有授權(quán)客戶才可以使用。d) PIN碼和種子應存儲在OTP令牌設(shè)備的安全區(qū)域內(nèi)或使用其他措施對其進行保護。e) PIN碼連續(xù)輸入錯誤次數(shù)達到錯誤次數(shù)上限(不超過6次)，OTP令牌應鎖定。 動態(tài)密碼卡基本要求：a) 動態(tài)口令的長度不應少于6位。b) 服務器端應隨機產(chǎn)生口令位置坐標。c) 應設(shè)定動態(tài)密碼卡使用有效期，超過有效期應作廢。d) 應使用涂層覆蓋等方法保護口令。e) 動態(tài)密碼卡應與客戶唯一綁定。 其他專用輔助安全設(shè)備 本部分規(guī)定的是已使用的其他專用輔助安全設(shè)備，如出現(xiàn)新的專用輔助安全設(shè)備，可參照6．1．2節(jié)的要求。a) 手機短信動態(tài)密碼： 基本要求： 開通手機動態(tài)密碼時，應使用人工參與控制的可靠手段驗證客戶身份并登記手機號碼。更改手機號碼時，應對客戶的身份進行有效驗證。 手機動態(tài)密碼應隨機產(chǎn)生，長度不應少于6位。 應設(shè)定手機動態(tài)密碼的有效時間，最長不超過10分鐘，超過有效時間應立即作廢。 交易的關(guān)鍵信息、應與動態(tài)密碼一起發(fā)送給客戶，并提示客戶確認。b) 指紋識別： 基本要求： 如果通過指紋鑒別客戶身份，應防止指紋數(shù)據(jù)被記錄和重放。 禁止在遠程身份鑒別中采用指紋識別。近距離身份鑒別(例如，使用專用輔助安全設(shè)備對使用者的身份鑒別)可采用指紋識別。 網(wǎng)絡(luò)通信安全 本部分內(nèi)容指數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中采用的通訊協(xié)議和安全認證方式，不包括網(wǎng)絡(luò)基礎(chǔ)設(shè)施方面的內(nèi)容。 基本要求：a) 應使用強壯的加密算法和安全協(xié)議保護客戶端與服務器之間所有連接，例如，使用SSL/TLS和IPSEC協(xié)議。b) 如果使用SSL協(xié)議，取消對低版本協(xié)議的支持。c) 客戶端到服務器的SSL加密密鑰長度應不低于128位；用于簽名的RSA密鑰長度應不低于1024位，用于簽名的ECC密鑰長度應不低于160位。 d) 應可防止對交易報文的重放攻擊。 安全認證A. 基本要求：a) 網(wǎng)上銀行服務器與客戶端應進行雙向身份認證。 b) 整個通訊期間，經(jīng)過認證的通訊線路應一直保持安全連接狀態(tài)。c) 網(wǎng)上銀行系統(tǒng)應可判斷客戶的空閑狀態(tài)，當空閑超過一定時間后，自動關(guān)閉當前連接，客戶再次操作時必須重新登錄。d) 應確?？蛻臬@取的金融機構(gòu)Web服務器的根證書真實有效，可采用的方法包括但不限于：在客戶開通網(wǎng)上銀行時分發(fā)根證書，或?qū)⒏C書集成在客戶端控件下載包中分發(fā)等。B．增強要求：a) 網(wǎng)上銀行系統(tǒng)應判斷同一次登錄后的所有操作必須使用同一IP地址和MAC地址，否則服務器端自動終止會話。b) 金融機構(gòu)應使用獲得國家主管部門認定的具有電子認證服務許可證的CA證書及認證服務。6．1．4服務器端安全6．1．4．1網(wǎng)絡(luò)架構(gòu)安全基本要求：a) 合理部署網(wǎng)上銀行系統(tǒng)的網(wǎng)絡(luò)架構(gòu)： 合理劃分網(wǎng)絡(luò)區(qū)域，并將網(wǎng)上銀行網(wǎng)絡(luò)與辦公網(wǎng)及其他網(wǎng)絡(luò)進行隔離。 維護與當前運行情況相符的網(wǎng)絡(luò)拓撲圖，并區(qū)分可信區(qū)域與不可信區(qū)域。 采用IP偽裝技術(shù)隱藏內(nèi)部IP，防止內(nèi)部網(wǎng)絡(luò)被非法訪問。 部署入侵檢測系統(tǒng)/入侵防御系統(tǒng)(IDS/IPS)，對網(wǎng)絡(luò)異常流量進行監(jiān)控。 在所有互聯(lián)網(wǎng)入口以及隔離區(qū)(DMZ)與內(nèi)部網(wǎng)絡(luò)之間部署防火墻，對非業(yè)務必需的網(wǎng)絡(luò)數(shù)據(jù)進行過濾。 采取措施保障關(guān)鍵服務器時間同步，例如，設(shè)置網(wǎng)絡(luò)時間協(xié)議(NTP)服務器。 互聯(lián)網(wǎng)接入應采用不同電信運營商線路，相互備份且互不影響。 核心層、匯聚層的設(shè)備和重要的接入層設(shè)備均應雙機熱備，例如，核心交換機、服務器群接入交換機、重要業(yè)務管理終端接入交換機、核心路由器、防火墻、均衡負載器、帶寬管理器及其他相關(guān)重要設(shè)備。 保證網(wǎng)絡(luò)帶寬和網(wǎng)絡(luò)設(shè)備的業(yè)務處理能力具備冗余空間，滿足業(yè)務高峰期和業(yè)務發(fā)展需要。b) 訪問控制： 在網(wǎng)絡(luò)結(jié)構(gòu)上實現(xiàn)網(wǎng)問的訪問控制，采取技術(shù)手段控制網(wǎng)絡(luò)訪問權(quán)限。 應對重要主機的IP地址與MAC地址進行綁定。 禁止將管理終端主機直接接入核心交換機、匯聚層交換機、服務器群交換機、網(wǎng)間互聯(lián)邊界接入交換機和其他專用交換機。 明確業(yè)務必需的服務和端口，不應開放多余的服務和端口。 禁止開放遠程撥號訪問。c) 網(wǎng)絡(luò)設(shè)備的管理規(guī)范和安全策略： 將關(guān)鍵或敏感的網(wǎng)絡(luò)設(shè)備存放在安全區(qū)域，應使用相應的安全防護設(shè)備和準入控制手段以及有明確標志的安全隔離帶進行保護。 應更改網(wǎng)絡(luò)安全設(shè)備的初始密碼和默認設(shè)置。 在業(yè)務終端與服務器之間通過路由控制建立安全的訪問路徑。 指定專人負責防火墻、路由器和IDS/IPS的配置與管理，按季定期審核配置規(guī)則。 所有設(shè)備的安全配置都必須經(jīng)過審批。 在變更防火墻、路由器和IDS/IPS配置規(guī)則之前，確保更改已進行驗證和審批。d) 安全審計和日志： 應對網(wǎng)絡(luò)設(shè)備的運行狀況、網(wǎng)絡(luò)流量、管理員行為等信息進行日志記錄，日志至少保存3個月。 審計記錄應包括但不限于：事件發(fā)生的時間、相關(guān)操作人員、事件類型、事件是否成功及其他與審計相關(guān)的信息。 應根據(jù)記錄進行安全分析，并生成審計報表。 應對審計記錄進行保護，避免被未授權(quán)刪除、修改或者覆蓋。e) 入侵防范： 應嚴格限制下載和使用免費軟件或共享軟件，應確保服務器系統(tǒng)安裝的軟件來源可靠，且在使剛前進行測試。 所有外部存儲設(shè)備(軟盤、移動硬盤、U盤等)在使用前應進行病毒掃描。 制訂合理的IDS/IPS的安全配置策略，并指定專人定期進行安全事件分析和安全策略配置優(yōu)化。 應在網(wǎng)絡(luò)邊界處監(jiān)視并記錄以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等。 當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目標和攻擊時間，在發(fā)生嚴重入侵事件時應提供報警或自動采取防御措施?；拘途W(wǎng)絡(luò)防護架構(gòu)參考圖和增強型絡(luò)防護架構(gòu)參考圖分別見附1和附2。 系統(tǒng)設(shè)計安全A．基本要求：A) 敏感客戶參數(shù)修改(包括但不限于密碼、轉(zhuǎn)賬限額、地址以及電話聯(lián)系方式)應在一次登錄過程中進行二次認證(包括但不限于靜態(tài)密碼+動態(tài)密碼)。b) 網(wǎng)上銀行系統(tǒng)應具有保存和顯示客戶歷史登錄信息(例如時間、IP地址、MAC地址等)的功能，支持客戶查詢登錄(包括成功登錄和失敗登錄)、交易等歷史操作。c) 網(wǎng)上銀行系統(tǒng)應根據(jù)業(yè)務必需的原則向客戶端提供數(shù)據(jù)，禁止提供不必要的數(shù)據(jù)。d) 在顯示經(jīng)認證成功后的客戶身份證件信息時，應屏蔽部分關(guān)鍵內(nèi) 容。e) 網(wǎng)上銀行系統(tǒng)應具有詳細的交易流水查詢功能，包括但不限于日期、時間、交易卡號、交易金額和資金余額等信息。f) 網(wǎng)上銀行系統(tǒng)應具有賬戶信息變動提醒功能，可使用手機短信、電子郵件等方式實時告知客戶其賬戶的資金變化、密碼修改等重要信息。g) 網(wǎng)上銀行系統(tǒng)應具有防網(wǎng)絡(luò)釣魚的功能，例如顯示客戶預留信息等。B．增強要求：a) 網(wǎng)上銀行系統(tǒng)應具有設(shè)置交易限額的功能并且具有默認的金額上限。b) 網(wǎng)上銀行系統(tǒng)應支持批量銀行賬號查詢功能和線索排查功能。 web應用安全 A. 基本要求：a) 資源控制： 應能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進行限制。 應能夠?qū)蝹€用的多重并發(fā)會話進行限制。 應能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話連接數(shù)進行限制。 當應用系統(tǒng)通信雙方中的一方在指定時間內(nèi)未作任何響應，另一方應能夠自動結(jié)束會話 b) 編碼規(guī)范約束： 應依據(jù)安全規(guī)范編寫代碼，例如，在應用系統(tǒng)開發(fā)中，不能在程序中寫入固定密鑰。 在應用系統(tǒng)上線前，應對程序代碼進行代碼復審，識別可能的后門程序、惡意代碼和安全漏洞，例如，緩沖區(qū)溢出漏洞。c) 會話安全： 會話標識應隨機并且唯一。 會話過程中應