【文章內容簡介】 用 windows 2021 的圖形界面風格，各功能鍵的設置要符合windows 的設置。 數據安全性和一致性： 系統(tǒng)應采用應用層數據加密，防止內部員工的惡意竊??；由于大部分功能需要運行在廣域網絡中，每個事務的時間比較長，因而要保證數據的一致性。 效率： 在持卡消費時的等待 時間不能超過 5秒種，在進行不超過 1萬行數據的統(tǒng)計查詢時響應速度不能超過 1分鐘。 和其他系統(tǒng)接口 ： 在本系統(tǒng)需要和 ATM 機、 IC 卡讀寫器、磁卡讀寫器接口，需要系統(tǒng)考慮與不同廠家的不同型號的設備接口問題。 第四章 要解決的幾個關鍵問題 要解決的關鍵問題之一：數據的安全性問題 要解決的關鍵問題之一：數據的安全性問題 1 數據傳輸的安全問題： 在銀行的廣域網傳輸系統(tǒng)中，從總行到分行、分行到支行、支行到分理處等，廣泛應用到幀中繼、 、 DDN、 PSTN 等等之類的通用線路，但這些線路大多數都是由 通訊公司提供，與許多用戶在一套系統(tǒng)上使用他們的業(yè)務，由于這些線路都是暴露在公共場所，這樣很容易造成數據被盜。傳輸數據當中如果不進行數據加密，后果可想而知。所以對數據傳輸加密這是一非常重要的環(huán)節(jié)。 2 系統(tǒng)內部的安全問題： 建立應用層加密，應用程序對外界交換數據時進行數據加密。主要優(yōu)點是使用方便、網絡中數據從源點到終點均得到保護、加密對網絡節(jié)點透明。缺點是某些信息以明文形式傳輸，容易被分析。 正是在此種形勢下，要求銀行帳戶管理系統(tǒng)能為各家銀行、券商提供一整套的數據加密及系統(tǒng)安全解決方案。 此種加密已被廣泛應用于各應 用程序當中，并有相應的標準 ，我們將在下面作詳細的介紹。 系統(tǒng)傳輸的安全問題的解決辦法 按攻擊者作案手段，可把攻擊者分為登錄型攻擊者和監(jiān)聽型攻擊者。 登錄型攻擊者作案形式：作案分子在竊得被攻擊計算機上一定用戶的口令后，用tel, ftp, rlogin 等一類遠程登錄軟件進入這臺計算機系統(tǒng)，進而進行破壞行為。 監(jiān)聽型攻擊者作案形式：作案分子通過某些專用設備接入廣域網，長期監(jiān)聽網絡數據，在掌握大量數據后，偽造交易數據包，上送被攻擊計算機，從而達到作案目的。此類攻擊者水平很高，其作案手段也極其隱蔽 ，而且案件發(fā)生后，基本上無從追查作案分子，所幸的是，目前國內尚無此類案件發(fā)生。 1 對登錄型攻擊者的防范 銀行帳戶管理系統(tǒng)由銀行端前置機、 ATM端前置機通過廣域網相連，構成銀行網絡、 ATM 網絡的前置網，其中， ATM 端前置機以 DOS 為操作系統(tǒng)，銀行端前置機以 UNIX 為操作系統(tǒng)。 由于 DOS 是一種單進程系統(tǒng)，攻擊者是無法登錄 ATM 端前置機的，這無形中對證券網絡起到了保護作用；而銀行端前置機由于是 UNIX 系統(tǒng)，而且若一家銀行與多家銀行相連，其 IP 地址必為多家銀行所知，因此必須采取措施防止攻擊者登錄系統(tǒng)。 要防止攻 擊者登錄系統(tǒng)，可采取的措施： (1)采取嚴密的管理制度，嚴防用戶的口令的丟失，攻擊者必定想方設法得到用戶口令以便進入系統(tǒng)，進行破壞，因此用戶口令是防止攻擊者登錄的第一道防線。但由于現在 INTERNET 網上有許多破解用戶口令的程序，僅靠管理人員保管好用戶口令是不夠的。 (2)關閉 UNIX 上用于遠程登錄的服務端口，由于攻擊者登錄遠程系統(tǒng)，必須借助于 UNIX 機上的服務端口才能登錄遠程系統(tǒng)，關閉了此類端口，就斷絕了攻擊者登錄的來源。但是銀行由于某些業(yè)務上的需要，某些端口是不能關閉的，因此此方法也有其局限性。 (3)購買路由器，通過路由器上的設置，過濾數據包，達到防止攻擊者登錄的企圖，有條件的還可以考慮購買防火墻產品。 2 對監(jiān)聽型攻擊者的防范 雖然，目前國內尚無監(jiān)聽型攻擊者的案例，但是，應該注意到由于 INTERNET的蓬勃發(fā)展，國內利用計算機犯罪的水平越來越高，我們不能不對此類攻擊者進行防范，由于此類攻擊者的作案手段是偽造虛假交易數據包，因此，依靠管理用戶口令，關閉服務端口，或通過路由器、防火墻產品過濾數據包，都不能對其進行有效防范。 但從另一個方面來看，對此類攻擊者能否進行有效防范，是檢驗一套軟件產品是否安全可靠的 重要標準。 對監(jiān)聽型攻擊者進行防范主要采取兩種手段：對交易數據全部加密，防止攻擊者監(jiān)聽；運用某項技術來判別交易數據包的真?zhèn)?。恒生銀行帳戶管理系統(tǒng)正是在這兩個方面對攻擊者進行防范的： (1)對整個數據包進行加密，實現了交易數據的完全密封，防止攻擊者偵聽網上數據包，不給攻擊者分析數據的機會。 (2)采用信息授權碼技術，在數據包添加 MAC 字段，用于判別交易數據包的真?zhèn)?，提高系統(tǒng)的抗攻擊能力。 系統(tǒng)內部安全問題的解決辦法 數據加密 銀行帳戶管理系統(tǒng)采用了 DES 加密算法， DES 算法是一種公開加密算 法，其安全性完全依賴于密鑰的保密性，從另一個角度上講，攻擊者在未竊得密鑰的情況下，便無法實施對系統(tǒng)的攻擊。因此，無論是登錄型攻擊者還是監(jiān)聽型攻擊者，竊得密鑰是他們的必經之途，這就是說：密鑰的安全與否決定了系統(tǒng)的安全與否。 銀行帳戶管理系統(tǒng)依據密碼學三級密鑰體系原理，對系統(tǒng)密鑰實行分級、分散管理?！胺旨墶敝笇⒚荑€分為傳輸密鑰、交換密鑰、主密鑰三個層次，“分散”指 PKG 密鑰、 PIN 密鑰、 MAC 密鑰、交換密鑰各自對應自己的主密鑰，某一主密鑰的丟失，不會影響其它密鑰。 系統(tǒng)密鑰體系圖如下： PKG 密鑰 PIN 密鑰 MAC 密鑰 交換密鑰 主密鑰 1 保護交換 密 鑰 用于客戶個人密碼加密 用于交換傳輸 密 鑰 用于加密整個數據包，防止監(jiān)聽 用于 MAC 校驗，判別交易包的真?zhèn)? 系統(tǒng)密鑰如下： 1. PKG 密鑰：用于對整個數據包進行加密的密鑰。 密鑰：用于對數據包中客戶個人密碼進行加密的密鑰。 3. MAC 密鑰： MAC 算法是一種將數據校驗算法和 DES 算法相融合的非公開算法 ,主要用于判斷收到數據包的真?zhèn)?，以防止攻擊者構造虛假交易包傳送給銀證雙方從而達到作案目的。 MAC 密鑰是計算 MAC 值時所用到的密鑰。 ：用 PKG 密鑰、 PIN 密鑰、 MAC 密鑰進行加密的操作對象都是交易數據包，屬于三級加密體系的第一級，因此統(tǒng)稱為傳輸密 鑰。 ：在傳輸密鑰中 PIN 密鑰和 MAC 密鑰是兩個動態(tài)變化的密鑰，在每天開始交易前，銀行收到證券的簽到交易請求時，隨機產生新的 PIN 密鑰和 MAC密鑰，傳送給證券作為當天的雙方密鑰進行通訊。這兩個密鑰值是不能在網上明文傳送的，對這兩個密鑰進行加密的密鑰稱為交換密鑰，它屬于三級加密體系的第二級。 ：傳輸密鑰、交換密鑰都需要存儲起來，它們的存儲形式也不能用明文保存，必須進行加密，將傳輸密鑰、交換密鑰加密存儲時所用到的密鑰稱為主密鑰，主密鑰也稱為存儲密鑰，它屬于三級加密體系的第三級。（銀行帳戶管 理系統(tǒng)為避免攻擊者一旦竊得主密鑰即可獲得所有密鑰的情況發(fā)生，應對主密鑰實行分散管理，即 PKG 密鑰、 PIN 密鑰、 MAC密鑰、交換密鑰均有各自的主密鑰）。 在上述密鑰體系中， PIN 密鑰、 MAC密 鑰由系統(tǒng)每天動態(tài)變化，其生命期僅為一天，不再需要人為管理。 PKG 密鑰由于是用于加密通訊數據包，因此 PKG密鑰的生命周期較短，在經過一段時間運行后，需對其進行更換。交換密鑰由于是用于加密傳輸密鑰，其生命周期較長，在經過較長一段時間運行后，應對其進行更換。 PKG 密鑰和交換密鑰的更換方法是通過密鑰盤進行交換。主密鑰由于是用于 存儲其它密鑰，其生命周期最長，但由于其它密鑰都是隨機產生，而主密鑰是人為確定的，因此應嚴防主密鑰的失竊。一旦壞疑某一主密鑰失竊，應立即更改主密鑰并更換交換密鑰和傳輸密鑰。 要解決的關鍵問題之二： Visual Foxpro 的數據一致性 問題 如何保證數據庫系統(tǒng)的數據一致性長期以來一直是人們所關心的問題，傳統(tǒng)的 Xbase 關系型數據庫系統(tǒng)在此問題的處理上存在明顯的局限性。 VisualFoxPro作為一個面向對象的數據庫系統(tǒng)，成功地將一套控制信息存儲和合法檢驗規(guī)則的數據字典引入了 Xbase 領域，從而使數據的 一致性限制由龐大的程序代碼變成了保護 PKG 密 鑰 保護 PIN 密 鑰 保護 MAC 密 鑰 數據庫的一部分，極大地增強 VFP 的數據處理能力。 一致性 這個術語描述了系統(tǒng)中存儲的數據資源的正確狀態(tài)，我們將從數據有效性、觸發(fā)器和引用完整性這三個方面來維持數據的這種一致性狀態(tài)。在此，我們詳細的闡述在 VFP 中數據一致性的設計方法。 數據的一致性要求 VFP 的數據字典只對數據庫有效，而非針對自由表。就一個 銀行帳戶信息 管理系統(tǒng)而言，其核心是 帳戶信息管理 ，因此，我們就可以設計一個 帳戶信息 數據庫（ ），其中主要包含以下幾個相互關聯的數據表 ： 管理員信息表（ ）：存儲 管理員操作 的有關信息。 包含管理員信息修改、操作時間、經手金額、開戶、銷戶等歷史記錄字段，其中 管理員信息 為 主關鍵字。 客戶信息表（ ）：存儲有業(yè)務關系的客戶情況。包含了客戶編碼、名稱、地址、開戶銀行、帳號、 取款、存款、 納稅人登記號等字段，其中 客戶編碼 為主關鍵字。 帳戶修改信息表（ ）：存儲 開戶、銷戶 的 詳細 信息。 包含了帳戶號碼、開戶銷戶日期、客戶編碼、備注、經辦人等字段，其中 帳戶修 改 為主關鍵字， 并通過 客戶編碼 與客戶信息表形成多對一的關聯。 取款機信息管理表（ ）：存儲與 戶 的明細信息。包含了 帳戶 號碼、客戶 編碼、 金額存儲與支出 數量、金額 余額 、 收取 稅金等字段，通過 取款機 與 帳戶管理 表形成多對一的關聯，同時通過 商品編碼 與 用戶 信息表保持多對一的關聯。 為確保數據的正確性，要求有以下的一致性限制： 開戶日期的缺省值為當天日期 客戶信息表的取款余額必須大于０ 客戶信息表中的開戶行、帳號和稅號字段均不能為空 當刪除帳戶修改信息 表的一條記錄時，給出提示信息，確認后刪除該記錄，并且對應的用戶信息自動刪除 當客戶信息表的客戶編號被修改時，帳戶修改信息表的對應客戶編號隨之改變 當帳戶修改信息表的帳戶編號被修改時，客戶信息表的對應客戶編號隨之改變 若在客戶信息表中存在某客戶編號，則禁止刪除該客戶信息 若在帳戶修改表中存在某帳戶編號，則禁止刪除該帳戶信息 現在我們就可以通過 VFP 的數據字典來實現這些 一致性要求。 數據有效性 數據有效性分字段級有效性和記錄級有效性，它們分別在 Fields Properties(字段屬性 )和 Table Properties（表屬性）中進行定義。 在 Table Designer（表設計器）的左下部分可以看到字段屬性分組，其中包含了用于字段有效性檢測的四個域 Validation Rule（有效性規(guī)則），Validation Text（字段有效性文本）， Default Value（缺省值）和 Caption（標題）。有效性規(guī)則為一個邏輯表達式，當其返回值為 .，將顯示一條內容為字段有效性文本的錯誤信息。缺省值為產生新記錄時該字段的初始化值。 那么，對于帳戶日期字段，可以將其缺省值屬性設為： DefaultAccout:date() 對于余額 (price)字段，可設為： Validation Rule:price0 Validation Text:取款余額 必須大于０ Default Value: Caption:余額 字段的有效性規(guī)則在焦點離開字段時即被啟動，如果需要同時檢測多個字段的情況，那么就需要用到記錄級的有效性規(guī)則。記錄級有效性規(guī)則和字段有效性規(guī)則一樣工作，只是它在離 開記錄時啟動，并且只有在項被修改時才被檢驗。 點擊 Table Designer 中右上角的 Table Properties 按鈕，你就可以在表屬性對話框中創(chuàng)建記錄級的有效性規(guī)則。對客戶信息表，可以建立如下的有效性規(guī)則以確保銀行、帳號、稅號均不為空。 Validation Rule:!empty(khyh).and.!empty(zh).and.!empty(sh) Validation Text:開戶行、帳號和稅號均不能為空 觸發(fā)器 就本質而言，對于表格里的 一個記錄，我們僅能做三件事情：刪除、修改或建立，與之對應的三種觸發(fā)器使我們能有效地控制這些事件發(fā)生，它們通常都使用一個函數，當返回的邏輯值為 .，否則就退出。 在表屬性對話框中，除了記錄有效性規(guī)則之外，還有三種觸發(fā)器： INSERT Trigger、 UPDATE Trigger 和 DELETE Trigger。如果想限制某一事件的發(fā)生，可直接在其域中填入 .f.，例如：在 UPDATE Trigger 中填 .f.，則該表不允許修改。對于本文中的 用戶信息管理表 ，我們可以事先在數據庫的