【正文】 器、防火墻的使用、 IIS訪問(wèn)安全 ? 系統(tǒng)登錄安全 證書認(rèn)證中心和證書（ CA） 、公鑰密碼體制、 動(dòng)態(tài)密碼卡、 USB Key 密碼策略、賬戶鎖定策略 ? 傳輸加密措施（ SSL等） 第三方認(rèn)證 SSL傳輸加密、身份驗(yàn)證 ? 應(yīng)用權(quán)限控制 按崗位職責(zé)的授權(quán)控制（功能、數(shù)據(jù)、角色） ? 基于數(shù)字證書的安全 Intra應(yīng)用 128位的加密通道 ? 數(shù)據(jù)庫(kù)安全防護(hù) 數(shù)據(jù)庫(kù)系統(tǒng)安全審核、 數(shù)據(jù)庫(kù)用戶權(quán)限控制 ? 備份方案：雙機(jī)熱備份 資金管控的安全建議方案 P48 版權(quán)所有 169。19932022 金蝶軟件 (中國(guó) )有限公司 資金管控的安全方案 第 三 方 外 部 應(yīng) 用E A SE A S客 戶 端 AE A S 服 務(wù) 器 B網(wǎng) 上 銀 行銀 企 互 聯(lián) 身 份及 安 全 通 道雙 身 份 認(rèn) 證傳 統(tǒng) 身 份 （ U s e r / P w d )銀 企 網(wǎng) 關(guān)統(tǒng) 一 身 份認(rèn) 證 服 務(wù) 器對(duì)稱密鑰( A amp。 B 共享 )對(duì)稱密鑰對(duì)稱密鑰( A amp。 B( A amp。 B 共享共享 ))O R M R P C ： 數(shù) 據(jù) 加 密 傳 輸動(dòng) 態(tài) 密 碼 卡 數(shù) 據(jù) 庫(kù)移 動(dòng) 硬 件 身 份E A S 雙 身 份 認(rèn) 證校 驗(yàn) 動(dòng) 態(tài) 密 碼數(shù) 字 摘 要 校 驗(yàn)關(guān) 鍵 業(yè) 務(wù) 進(jìn) 行二 次 身 份 認(rèn) 證動(dòng) 態(tài) 密 碼 卡移 動(dòng) 硬 件 身 份EAS系統(tǒng)可以集成 USBKEY方式進(jìn)行登錄，通過(guò)安全 SSL加密通道訪問(wèn) EAS服務(wù)器，同時(shí)對(duì)于關(guān)鍵業(yè)務(wù)可以采用 USBKEY進(jìn)行用戶身份認(rèn)證，對(duì)于調(diào)用銀企的數(shù)據(jù)進(jìn)行簽名驗(yàn)證處理，保證資金系統(tǒng)的安全性。 P49 版權(quán)所有 169。19932022 金蝶軟件 (中國(guó) )有限公司 EAS安全管理工具 —— 動(dòng)態(tài)密碼鎖 ? 動(dòng)態(tài)密碼鎖是用戶登錄應(yīng)用系統(tǒng)時(shí)，依據(jù)安全算法，認(rèn)證系統(tǒng)會(huì)在密碼卡的專用芯片和認(rèn)證服務(wù)器上同時(shí)生成動(dòng)態(tài)密碼，經(jīng)過(guò)比較，若雙方密碼相同，則為合法用戶，否則為非法用戶 。 ? 在這種方式下，用戶每次使用的密碼都不相同，即使黑客截獲了一次密碼，但在用戶退出登錄后，它也無(wú)法利用這個(gè)密碼來(lái)仿冒合法用戶的身份，因?yàn)槊艽a已經(jīng)過(guò)期 。 ? 動(dòng)態(tài)密碼鎖采取的是一次一密的認(rèn)證方式，每次需要錄入密碼進(jìn)行登錄校驗(yàn)，非硬件身份認(rèn)證方式。 P50 版權(quán)所有 169。19932022 金蝶軟件 (中國(guó) )有限公司 基于證書的雙身份認(rèn)證 ? 對(duì)于資金等安全性要求較高的系統(tǒng)，為提高身份認(rèn)證的安全級(jí)別，需要支持基于第三方 CA證書的用戶身份認(rèn)證； ? 為保護(hù)證書和私鑰，應(yīng)采取 USB KEY存儲(chǔ)證書和私鑰； ? 為了防止內(nèi)部安全漏洞，需要執(zhí)行 雙管理員 機(jī)制： ? EAS安全管理員和 EAS超級(jí)管理員必須由不同人員擔(dān)當(dāng) ? USB KEY的管理（包括用戶綁定等等）應(yīng)交由 EAS安全管理員處理，EAS超級(jí)管理員則無(wú)權(quán)處理； ? EAS用戶的創(chuàng)建和權(quán)限分配可由 EAS超級(jí)管理員管理，但 EAS安全管理員不允許處理此項(xiàng)業(yè)務(wù)； ? 為了防止內(nèi)部安全漏洞，需要結(jié)合雙安全管理員機(jī)制，在證書身份認(rèn)證的基礎(chǔ)上，增加另一維度的身份認(rèn)證，如： EAS傳統(tǒng)命名身份認(rèn)證 。 P51 版權(quán)所有 169。19932022 金蝶軟件 (中國(guó) )有限公司 USB Key身份認(rèn)證 ? USB Key身份認(rèn)證 基于 USB Key的身份認(rèn)證方式是近幾年發(fā)展起來(lái)的一種方便、安全、可靠的硬件身份認(rèn)證技術(shù)，很好地解決了用戶個(gè)人私鑰的安全可靠存儲(chǔ)，并提供 USB接口與現(xiàn)今的電腦通用。 ? 它的內(nèi)部結(jié)構(gòu)不簡(jiǎn)單，它內(nèi)置了 CPU、存儲(chǔ)器、芯片操作系統(tǒng)（ COS），可以存儲(chǔ)用戶的密鑰或數(shù)字證書。 利用 USB Key內(nèi)置的密碼算法實(shí)現(xiàn)對(duì)用戶身份的認(rèn)證。 ? USB Key是一個(gè)二次硬件加密功能，在經(jīng)過(guò)系統(tǒng)的軟加密驗(yàn)證通過(guò)后，還需經(jīng)過(guò)一次第三方的硬件加密，主要用于部分客戶關(guān)心的關(guān)鍵功能。 ? EAS目前支持在銀企互聯(lián)中使用。 P52 版權(quán)所有 169。19932022 金蝶軟件 (中國(guó) )有限公司 EAS資金管控的硬件建議方案 ?硬件和網(wǎng)絡(luò)部署建議 對(duì)于企業(yè)來(lái)說(shuō)，不同的銀行都會(huì)提供相應(yīng)的前置機(jī)安裝系統(tǒng)，而對(duì)于企業(yè)，可能需要連接多家銀行，其中包括國(guó)有四大銀行和商業(yè)銀行。因此對(duì)于安裝銀行前置機(jī) (用來(lái)安裝銀行端軟件的 PC服務(wù)器 )以及金蝶 EAS的銀企互聯(lián)相關(guān)環(huán)境，請(qǐng)參照下面的建議。 ?銀行前置機(jī)環(huán)境建議 安裝前置機(jī)的系統(tǒng)環(huán)境配置要求建議如下： 必須遵照各銀行的前置機(jī)安裝環(huán)境要求，配置系統(tǒng)環(huán)境； 每 2家銀行的前置機(jī)軟件安裝到同一臺(tái) PC服務(wù)器上； 安裝銀行軟件的前置機(jī)必須安裝兩塊網(wǎng)卡，一塊接內(nèi)部網(wǎng)絡(luò)，一塊接互聯(lián)網(wǎng)或者專線 前置機(jī)和金蝶 EAS的數(shù)據(jù)庫(kù)或應(yīng)用服務(wù)器不能安裝在同一臺(tái)機(jī)器上； 前置機(jī)與金蝶 EAS的應(yīng)用服務(wù)器最好采用 100M以上的網(wǎng)線連接。 前置機(jī)要通過(guò)網(wǎng)絡(luò)劃分手段確保只能由 EAS服務(wù)器才能訪問(wèn) P53 版權(quán)所有 169。19932022 金蝶軟件 (中國(guó) )有限公司 EAS資金管控的網(wǎng)絡(luò)建議方案 網(wǎng)絡(luò)部署的建議，應(yīng)用服務(wù)器與客戶端之間，每個(gè) EAS客戶端與應(yīng)用服務(wù)器之間 通訊的帶寬占用約 128kbit/s；總部出口帶寬 =EAS外網(wǎng)最大并發(fā)數(shù) /3 128Kb/s。 ? 局域網(wǎng) 骨干網(wǎng)千兆，桌面百兆，已經(jīng)成為目前企業(yè)局域網(wǎng)的主流配置。 正常情況下數(shù)據(jù)庫(kù)服務(wù)器、應(yīng)用服務(wù)器之間至少采用 100M連接，在大數(shù)據(jù)量情況下， 建議數(shù)據(jù)庫(kù)服務(wù)器、應(yīng)用服務(wù)器之間采用千兆連接 ,需要配置千兆交換機(jī)和服務(wù)器千兆網(wǎng)卡。 ? 廣域網(wǎng) 連接方式 適用范圍 備注 PSTN/ISDN 個(gè)人或移動(dòng)用戶 不建議使用 DDN/FR/ATM 大中型分支機(jī)構(gòu) 數(shù)據(jù)專線 ADSL+VPN 個(gè)人、中小型分支機(jī)構(gòu) 為保證數(shù)據(jù)安全，與 VPN結(jié)合使用 寬帶城域網(wǎng) +VPN 各類分支機(jī)構(gòu)和個(gè)人 應(yīng)根據(jù)應(yīng)用規(guī)模選擇帶寬 類型 帶寬要求 線路質(zhì)量要求 局域網(wǎng) 客戶端到服務(wù)器： 10M以上 服務(wù)器之間： 100M以上 丟包率小于 %并且延遲小于 10ms 廣域網(wǎng) 客戶端到服務(wù)器： 128Kbps以上 服務(wù)器之間： 100M以上 丟包率小于 2%并且延遲小于 50ms ? 帶寬 P54 版權(quán)所有 169。19932022 金蝶軟件 (中國(guó) )有限公司 聯(lián)系方式： 業(yè)務(wù)咨詢熱線： 4008830830 金蝶網(wǎng)站： 謝謝！