【導讀】本文檔包含XXX中心的專有技術(shù)信息和保密信息。向評估小組以外、非直接相關(guān)的人員公開此信息?！呀邮芊皆诮邮赵撐臋n前，已經(jīng)掌握的信息；⊙可以從第三方，以無附加保密要求方式獲得的信息。達到了128000億美元。計算機應(yīng)用與網(wǎng)絡(luò)科技的迅速普及，改變了人們傳統(tǒng)。息化的產(chǎn)物，網(wǎng)上銀行應(yīng)運而生。實時的銀行服務(wù)，包括提供對私、對公的各種零售和批發(fā)的全方位銀行業(yè)務(wù)，信用卡及個人投資等。可以說，網(wǎng)上銀行是在Inter上的虛擬銀行柜臺。、任何地點、以任何方式為客戶提供金融服務(wù)。推動了世界范圍內(nèi)網(wǎng)上銀行的發(fā)展。為支撐的網(wǎng)上銀行，這種網(wǎng)上銀行一般只有一個辦公地址，沒有分支機構(gòu)，也沒有營業(yè)網(wǎng)點，采用國際互聯(lián)網(wǎng)等高科技服務(wù)手段與客戶建立密切的聯(lián)系，上銀行存在的主要形式，也是絕大多數(shù)商業(yè)銀行采取的網(wǎng)上銀行發(fā)展模式。部門和地域限制，向交互性和互聯(lián)網(wǎng)方向發(fā)展。局，向全球化高速發(fā)展。網(wǎng)絡(luò)與信息安全涉及的領(lǐng)域非常廣泛，就安全保密技術(shù)

　　

【正文】 證該電子簽名的有效性和真實性訪問安全站點 響應(yīng)訪問請求登錄成功響應(yīng)請求是否安全加密通道否響應(yīng)訪問請求獲取所訪問的資源進行關(guān)鍵操作準備提交操作請求W E B 語言調(diào)用控件對操作請求數(shù)據(jù)作簽名響應(yīng)簽名請求檢查證書是否已經(jīng)登錄并能調(diào)用跳出證書登錄框調(diào)用底層接口進行數(shù)據(jù)簽名運算插入證書介質(zhì)并登錄獲取簽名結(jié)果獲取操作簽名信息，與操作請求一同提交返回結(jié)果提取簽名信息，并調(diào)用接口驗證簽名驗證通過否拒絕處理操作請求返回失敗結(jié)果對該簽名信息作日志是處理操作請求操作成功 返回成功結(jié)果 圖 11： 數(shù)據(jù)簽名及驗證實現(xiàn)流程 簽名驗證服務(wù)器 SVS 簽名驗證服務(wù)器 (SVS)既是一個提供對數(shù)字簽名 并 驗證其簽名真實性和XXX 信用社網(wǎng)上銀行系統(tǒng) CA 應(yīng)用解決方案 39 有效性的服務(wù)平臺，又是一個提供數(shù)字簽名功能的服務(wù)平臺 ， 可以被廣泛地在電子政務(wù) 和電子商務(wù)的網(wǎng)絡(luò)交易 活動中，應(yīng)用于驗證 用戶身份、檢驗交易憑證和防止抵賴等方面 。 圖 12 是 SVS 在功能實現(xiàn)上的架構(gòu)邏輯圖。 客 戶 端 接 口 A P I應(yīng) 用 客 戶 端客 戶 端 接 口 A P I應(yīng) 用 客 戶 端客 戶 端 接 口 A P I應(yīng) 用 客 戶 端. . .S V S 驗 證 服 務(wù) 器驗 證 服 務(wù) 器 主 體 框 架P K I S D K 開 發(fā) 平 臺 庫 圖 12： SVS 系統(tǒng)架構(gòu)邏輯圖 關(guān)鍵數(shù)據(jù)簽名系統(tǒng)，保障網(wǎng)上銀行系統(tǒng)交易數(shù)據(jù)的不可抵賴性和完整性，防止用戶對關(guān)鍵交易的抵賴，使管理員在事后能夠拿出有力的證據(jù)證明操作用戶的真實身份。整個系統(tǒng)分為客戶端和服務(wù)器端兩個部分。 關(guān)鍵數(shù)據(jù)簽名驗證包括客戶端簽名工具和簽名驗證服務(wù)器，用戶通過客戶端簽名工具對交易數(shù)據(jù)（例如用戶賬號 、 賬號密碼 、 交易數(shù)據(jù) 、 交易結(jié)果 、交易日期）進行關(guān)鍵數(shù)據(jù)簽 名，簽名數(shù)據(jù)在系統(tǒng) 經(jīng) 由簽名驗證服務(wù)器進行驗證，驗證通過后才予以交易權(quán)限。簽名驗證服務(wù)器的另一個功能是進行審計。部署在網(wǎng)上銀行系統(tǒng)的關(guān)鍵數(shù)據(jù)簽名驗證系統(tǒng)應(yīng)該具備以下特點： ? 客戶端簽名工具可以控件的方式讓應(yīng)用程序調(diào)用，并且易于下載。 ? 客戶端簽名工具可由客戶端腳本自行設(shè)定簽名的內(nèi)容和方式。 ? 關(guān)鍵數(shù)據(jù)簽名驗證系統(tǒng)具有較高的處理能力和處理容量。 XXX 信用社網(wǎng)上銀行系統(tǒng) CA 應(yīng)用解決方案 40 簽簽 名名 驗驗 證證 服服 務(wù)務(wù) 器器 SVS 應(yīng)應(yīng) 用用 流流 程程 加入 SVS 簽名驗證后應(yīng)用的流程如下： a) 客戶端調(diào)用標準 API 接口程序用 USBKEY 中的證書私鑰對關(guān)鍵性數(shù)據(jù)和信息進行簽名； b) 應(yīng)用服 務(wù)器接收到簽名數(shù)據(jù)，提交用戶證書及簽名數(shù)據(jù)給 SVS 簽名驗證服務(wù)器進行驗簽，驗簽通過后返回結(jié)果給應(yīng)用服務(wù)器。 c) 應(yīng)用服務(wù)器對驗簽正確的數(shù)據(jù)及簽名數(shù)據(jù)和傳輸信息進行確認并作進一步的處理。 SVS 服服 務(wù)務(wù) 器器 端端 開開 發(fā)發(fā) 根據(jù) SVS 提供的標準文檔及接口進行開發(fā)。 SVS 客客 戶戶 端端 開開 發(fā)發(fā) 客戶端只需要正確安裝簽名客戶端及 USBKEY 驅(qū)動程序，無需要進行相應(yīng)的開發(fā)。 數(shù)字時間戳服務(wù) 針對 網(wǎng)銀用戶交易 過程中 對全局統(tǒng)一標準時間 等需求，我部建議 XXX 信用社網(wǎng)上銀行系統(tǒng) 采用 XXXCA提供的可信數(shù)字時間 戳服務(wù)（ SecuTimeStamp Service）， 網(wǎng)上銀行的 網(wǎng)絡(luò)系統(tǒng)中安裝并配置時間戳服務(wù)器，該時間戳服務(wù)器實時連接到 國家政務(wù)外網(wǎng) CA中心 時間源服務(wù)器，為 網(wǎng)銀 系統(tǒng)提供精確、有效、不可篡改的第三方時間戳 服務(wù) ，保證 網(wǎng)上交易的等關(guān)鍵 時間 的 有效性。 可信數(shù)字時間戳服務(wù)（ SecuTimeStamp Service）是由合法 CA 的DTS(Digital Time Stamp)服務(wù)器證明在某個特定時間 、 某個交易或者文檔確實存在和確定多個文檔在時間上的邏輯關(guān)系。 XXX 信用社網(wǎng)上銀行系統(tǒng) CA 應(yīng)用解決方案 41 統(tǒng)一標準時間服務(wù)中心對外提供精確可信的時間戳服務(wù)（圖 13 所示），以確認系統(tǒng)處理數(shù)據(jù)在某一時間（之前）的存在性和相關(guān)操作的相對時間順序，為實現(xiàn)系統(tǒng)數(shù)據(jù)處理的抗抵賴 性提供基礎(chǔ)。時間戳服務(wù)器對目標數(shù)據(jù)加上可信時間源提供的時間標記 并用數(shù)字簽名來保證時間標記的完整性與真實性。同時， 時間戳服務(wù)器從可以外接時間服務(wù)器從國家權(quán)威授時機構(gòu)獲取時間標記，以確保操作痕跡記錄都采用了相同的時間基準。 圖 13：統(tǒng)一標準時間服務(wù)中心 用戶申請時間戳時，并不需要用戶的原始信息（數(shù)據(jù)） ， 而是只對用戶的原始信息（數(shù)據(jù)）的 HASH 值進行時間戳簽名，從而保證了用戶原始信息（數(shù)據(jù)）的保密性和安全性 。在電子商務(wù)和電子政務(wù)等應(yīng)用系統(tǒng)中， XXX 提供 統(tǒng)一標準時間服務(wù)的 API 和各種解決方案。 時間戳服務(wù)工作流程 時間戳對外提供服務(wù)的主要工作流程如下： ◆ 用戶對文件數(shù)據(jù)進行 Hash 摘要處理； ◆ 用戶提出時間戳的請求， Hash 值被傳遞給時間戳服務(wù)器； XXX 信用社網(wǎng)上銀行系統(tǒng) CA 應(yīng)用解決方案 42 ◆ 時間戳服務(wù)器對哈希值和一個日期 /時間記錄進行簽名，生成時間戳； ◆ 時間戳數(shù)據(jù)和文件信息綁定后返還，用戶進行下一步電子交易操作。 時間戳服務(wù)功能特點 ? 高安全高強度的時間 戳密 鑰 保 護 時間 戳密 鑰 采用通 過國 家 鑒 定的密 碼設(shè)備產(chǎn) 生和保存，通 過嚴 格的安全機制保存密 鑰 ， 帶 有 邏輯 加密功能的芯片 對 核心程序 進 行存 儲 ，防止非法 讀出，密 鑰長 度不小于 1024 位。 ? 精確時間 源 采用國 家授 時 中心提供的 設(shè)備 和技 術(shù) 同 國 家授 時 中心 連 接，根據(jù)不同的需要，精確度可以 達 到毫秒 級 ， 遵循國際標 準 RFC3161。 ? 方便的時間 戳 應(yīng) 用二次 開發(fā) ，良好的可移植性 時間 戳服 務(wù) 器具有很好的 擴 展性，通 過它 提供的 時間 戳 應(yīng) 用 API，用戶 可以根據(jù)各自不同的需求很方便的 進 行 時間 戳 應(yīng) 用 開發(fā) ?？商峁┛缙脚_的 C、C++、 Java 等 客戶 端 開發(fā) 包。 ? 標準的 審計日志和運行日志 證書存儲介質(zhì) USB KEY USB Key 是證書的存儲介質(zhì)。 XXXCA系統(tǒng)支持目前國內(nèi)大部分主流證書存儲介質(zhì)，存儲容量可達 64k 和 128k，主要的特點包括： ? 主處理器為高性能專用芯片，處理器內(nèi)嵌 RSA(1024)、 DES、 3DES算法； ? 內(nèi)部提供 1024 位 RSA 簽名、驗證和密鑰對生成算法； XXX 信用社網(wǎng)上銀行系統(tǒng) CA 應(yīng)用解決方案 43 ? 采用針對安全應(yīng)用的嵌入式操作系統(tǒng) SAFE OS； ? 提供 APDU API、 PKCS11 和 CryptoAPI 開發(fā)接口，提供證書管理等開發(fā)和使用工具 ， 采用標準 USB 通信接口。 XXXCA 系統(tǒng)中實現(xiàn)雙證書存儲，即一張簽名證書和一張加密證書同時存儲在一個 USB Key 中，并且具有很高的安全性，只允許 XXXCA 證書存入其中，不能導出 XXXCA 證書進行復制。具有內(nèi)置 PIN 碼保護，多次誤操作鎖定，帶有軟件控制狀態(tài)指示燈，方便監(jiān)控等功能。 在本方案中，考慮到 XXX 信用社主要面向城鄉(xiāng)城鎮(zhèn)用戶，為減少客戶端的操作和提高用戶的體驗度，建議使用無驅(qū)動型的證書存儲介質(zhì)。 在網(wǎng)上銀行系統(tǒng)中，建議采用 USBKey 保存用戶證書。 USB Key 具有非常好的安全性，首先，它們的 COS 有著很好的安全性設(shè)計，這種安全性超 過了任何一種按 ABCD 分級的操作系統(tǒng)。其次， KEY本身具有一定的攻擊防范能力，存放的數(shù)據(jù)很難通過非常規(guī)的物理方法讀取，數(shù)據(jù)也很難被復制。因此，對于企業(yè)用戶來說， USB Key 是較好的密鑰保存介質(zhì)。客戶端 一般 需要部署三方面內(nèi)容： USBKEY 驅(qū)動、 SSL 代理客戶端（或者 CSP 證書導入模塊）與客戶端 SVS 簽名模塊。 應(yīng)用產(chǎn)品開發(fā)包 除以上提供的安全認證網(wǎng)關(guān) SSL和簽名驗簽網(wǎng)關(guān) SVS 中相應(yīng)的客戶端和服務(wù)器端開發(fā)包，針對相應(yīng)的應(yīng)用所進行的二次開發(fā)， XXXCA中心 還提供包括以下產(chǎn)品的開發(fā)包： （ 1） RA開 發(fā)包。提供 RA 系統(tǒng)的開發(fā)包，提供 RA證書管理各流程模塊XXX 信用社網(wǎng)上銀行系統(tǒng) CA 應(yīng)用解決方案 44 接口（包括用戶信息管理、證書申請、審核、制證、廢除等）和 CA 安全通信功能；使用該開發(fā)包可以定制基于 XXXCA 中心 的各級 RA 系統(tǒng)，并可和用戶原有的客戶信息管理或業(yè)余管理系統(tǒng)緊密結(jié)合。可提供 WEB SERVICE、TCP、 HTTP 三種通信接口?？芍С?B/S 和 C/S 兩種業(yè)務(wù)應(yīng)用模式。 （ 2） OCSP 客戶端開發(fā)包。提供 OCSP Client 查詢證書狀態(tài)功能的 API。 （ 3）安全郵件客戶端開發(fā)包。提供安全郵件客戶端的軟件開發(fā)包。 （ 4） VPN 客戶端開發(fā)包。提供 VPN 客戶端軟件開發(fā)包。 （ 5）證書開發(fā)包。提供不同的證書介質(zhì)應(yīng)用開發(fā)包，為應(yīng)用程序開發(fā)者提供一套完整的應(yīng)用安全接口。應(yīng)用軟件開發(fā)者不需要了解安全實現(xiàn)具體細節(jié)，只需使用 PKI SDK 就可以方便地為應(yīng)用系統(tǒng)實現(xiàn)基于 PKI 技術(shù)的安全保障機制。 PKI SDK(KPSDK)中相關(guān)的證書開發(fā)包包括：證書 SDK 開發(fā)包（證書有效期驗證、證書 CRL 驗證、證書簽名驗證、證書鏈驗證、證書解析）；CRL 下載開發(fā)包（ CRL 的下載）；數(shù)字簽名 SDK 開發(fā)包（數(shù)字簽名驗證、用戶證書驗證、 CRL 驗證）；加密算法開發(fā)包（ B6 ASN、對稱加密 、非對稱加密、摘要、協(xié)議開發(fā)包、郵件安全協(xié)議、 SPKM 安全協(xié)議、 SSL 安全協(xié)議、IPSEC 安全協(xié)議。 XXX 信用社網(wǎng)上銀行系統(tǒng) CA 應(yīng)用解決方案 45 系統(tǒng)整體架構(gòu) 柜 面 系 統(tǒng) / 綜 合 業(yè) 務(wù) 系 統(tǒng) /網(wǎng) 銀 業(yè) 務(wù) 系 統(tǒng)二 級 R A 操 作 終 端 二 級 R A 管 理 終 端交 換 機防 火 墻交 換 機路 由 器。 。 。L D A P 鏡 像 服 務(wù) 器O C S P 鏡 像 服 務(wù) 器銀 行 業(yè) 務(wù) 數(shù) 據(jù) 庫c R L 分 布 點C A 中 心網(wǎng) 銀 用 戶SSL通道S S L 通 道S S L 認 證 網(wǎng) 關(guān)簽 名 驗 證 服 務(wù)器時 間 戳 服務(wù) 器銀 行 W E B 服務(wù) 器圖 14： XXX 信用社網(wǎng)上銀行系統(tǒng) CA 應(yīng)用架構(gòu)圖 所需設(shè)備清單 名稱 數(shù)量 備注 RA 中間件 1 必要 SSL 網(wǎng)關(guān) 1 必要（或雙擊熱備） SVS 服務(wù)器 1 必要 時間戳服務(wù)器 1 可選 LRA 受理終端 若干 PC、管理員授權(quán)卡 等 數(shù)字證書 若干 含 USBKEY 介質(zhì) 各種程序開發(fā)包或驅(qū)動軟件 待定 XXX 信用社網(wǎng)上銀行系統(tǒng) CA 應(yīng)用解決方案 46 XXX 是一個基于公鑰基礎(chǔ)架構(gòu)的第三方認證中心，它提供了針對網(wǎng)上銀行的強有力的用戶認證和數(shù)字證書管理功能，方便與網(wǎng)上銀行系統(tǒng)的快速集成，為用戶提供有效實施 PKI 所必需的管理能力。 網(wǎng)銀用戶（主要分為銀行內(nèi)部用戶和普通網(wǎng)銀用戶）使用基于國際 標準的數(shù)字證書，將大大降低了不健全或錯誤的證書管理所帶來的安全風險，同時也降低了保障最佳安全運營的持續(xù)成本，使開展網(wǎng)上銀行業(yè)務(wù)的部門能夠快速地將數(shù)字證書技術(shù)與他們現(xiàn)存的網(wǎng)上銀行系統(tǒng)合并，確保數(shù)據(jù)具有更高的安全性。 XXX 的技術(shù)優(yōu)勢主要體現(xiàn) 在以下幾個方面： ? 優(yōu)化部署： XXX 的 CA 數(shù)字證書能很容易地在大型系統(tǒng)中部署，為桌面部署提供內(nèi)置支持，使證書能立即與網(wǎng)上銀行應(yīng)用相融合。它能很方便地進行設(shè)置和安裝，并且提供了所有所需的支持的全面基礎(chǔ)架構(gòu) —— 如證書目錄 CRL 發(fā)布和實時確認的 OCSP 響應(yīng) —— 皆為“開裝即用”。 ? 整體安全性好：針對網(wǎng)上銀行系統(tǒng)進行了全方位的安全設(shè)計和規(guī)劃，確保網(wǎng)上銀行系統(tǒng)的整體安全，保障內(nèi)部員工和外網(wǎng)用戶對現(xiàn)有應(yīng)用進行真正的安全訪問。 ? 方便快捷地系統(tǒng)改造：十分容易的實現(xiàn)證書與用戶賬號實現(xiàn)綁定，對原網(wǎng)上銀行系統(tǒng)最小化的改造即可達 到證書認證、賬號綁定與數(shù)據(jù)簽名的三大功能。 ? 使用透明性：加入了 CA 數(shù)字證書后，對系統(tǒng)性能影響十分小，用戶使用透明性非常高。 XXX 信用社網(wǎng)上銀行系統(tǒng) CA 應(yīng)用解決方案 47 Xxx 提供對 全行用戶數(shù)字證書業(yè)務(wù)的受理和信息維護，利用 SSL 安全網(wǎng)關(guān)、簽名驗證服務(wù)器、時間戳服務(wù)器等安全設(shè)備對網(wǎng)銀業(yè)務(wù)提供應(yīng)用安全服務(wù)。根據(jù)客戶的實際需求， CA系統(tǒng)提供一套良好的應(yīng)用接口系統(tǒng) (API)，便于系統(tǒng)的二次開發(fā)和應(yīng)用。 XXX 公司 系統(tǒng)工程師具備豐富的售后服務(wù)與技術(shù)支持經(jīng)驗以及突發(fā)事件的應(yīng)急處理能力，可以保證在最短的時間解決問題和故障。我們采用 PDR 安全保障模型來處理 XXX 信用 社銀行網(wǎng)絡(luò)系統(tǒng)出現(xiàn)的突發(fā)事件，如圖 15 所示： 圖 15： PDR 安全保障模型