網(wǎng)上支付系統(tǒng)應(yīng)用安全設(shè)計(jì)方案-展示頁
2025-05-24 03:16本頁面
【正文】 轉(zhuǎn)換為與主機(jī)約定的ZPK加密的PIN，再傳到主機(jī)進(jìn)行驗(yàn)證。PIN的驗(yàn)證由業(yè)務(wù)主機(jī)和密碼機(jī)保障，因此僅考慮PIN在傳輸過程中的安全。3. 要求對(duì)登錄用戶的登錄密碼進(jìn)行驗(yàn)證，保證用戶登錄的合法性和正確性。2 軟件需求 客戶原始需求在用戶進(jìn)行網(wǎng)上交易的過程中，為保障用戶敏感信息的安全，維護(hù)用戶的利益，要求網(wǎng)上支付交易必須符合以下安全需求：1. 用戶PIN在交易過程中，不得以明文形式在硬件安全設(shè)備之外出現(xiàn)。VK RSA非對(duì)稱密鑰體系中的私鑰，私鑰的明文不能公開。RSA密鑰對(duì)RSA非對(duì)稱密鑰體系中的密鑰，每對(duì)RSA密鑰對(duì)都包含一把公鑰和一把私鑰。LMKLocal Master Key，本地主密鑰，用于工作密鑰或私鑰在本地存儲(chǔ)時(shí)進(jìn)行保護(hù)。PVKPIN Verify Key，PIN驗(yàn)證密鑰，用于加密、驗(yàn)證PIN。 名詞解釋基本術(shù)語說明PIN用戶的交易密碼，用戶在交易時(shí)通過密碼鍵盤輸入，由業(yè)務(wù)主機(jī)進(jìn)行驗(yàn)證。網(wǎng)上支付系統(tǒng)應(yīng)用安全設(shè)計(jì)方案 目的本文檔結(jié)合客戶需求，描述海航集團(tuán)網(wǎng)上支付系統(tǒng)應(yīng)用安全的設(shè)計(jì)方案。主要提供給客戶，作為系統(tǒng)方案交流的依據(jù)，以及提供給開發(fā)人員，作為整理開發(fā)手冊(cè)的基礎(chǔ)。密鑰信封存放密鑰明文的信封文件，其中，密鑰明文不可見，只有該信封被拆開后才能看到密鑰的明文。ZPKZone PIN Key，區(qū)域PIN密鑰，用于加密PIN。RSA一種國(guó)際標(biāo)準(zhǔn)的非對(duì)稱密鑰算法。PK RSA非對(duì)稱密鑰體系中的公鑰，公鑰的明文可以公開。用戶登錄密碼以下也簡(jiǎn)稱為登錄密碼，指用戶登錄系統(tǒng)時(shí)輸入的密碼，包括字母和數(shù)字，不定長(zhǎng)。2. 要求對(duì)交易的報(bào)文進(jìn)行完整性驗(yàn)證，防止交易報(bào)文被篡改。 需求分析需求要點(diǎn)需求要點(diǎn)說明需求要點(diǎn)的實(shí)現(xiàn)方式用戶PIN的安全用戶的PIN在網(wǎng)上交易過程中進(jìn)行轉(zhuǎn)發(fā)和驗(yàn)證時(shí)，明文僅允許在硬件安全設(shè)備中出現(xiàn)。采用RSA非對(duì)稱密鑰機(jī)制：l 提供網(wǎng)頁上的安全控件，用密碼服務(wù)平臺(tái)的公鑰加密PIN。交易報(bào)文的安全交易報(bào)文傳輸過程中，報(bào)文的發(fā)起方生成簽名，報(bào)文的接收方需驗(yàn)證簽名，以保證報(bào)文沒有被篡改。l 提供密碼服務(wù)平臺(tái)的安全服務(wù)，用相應(yīng)安全控件的公鑰驗(yàn)證簽名是否正確。l 用戶登錄時(shí)，由網(wǎng)頁上的安全控件提供密碼輸入的軟鍵盤功能（包含字符和數(shù)字輸入，且數(shù)字輸入隨機(jī)亂序），并且用密碼服務(wù)平臺(tái)的公鑰加密用戶登錄密碼。該功能在用戶第一次輸入登錄密碼或修改密碼時(shí)調(diào)用，應(yīng)用系統(tǒng)將PVK加密的登錄密碼密文保存到數(shù)據(jù)庫(kù)中。該功能在驗(yàn)證用戶的登錄密碼時(shí)調(diào)用。應(yīng)用服務(wù)器調(diào)用密碼服務(wù)平臺(tái)的API，訪問密碼服務(wù)平臺(tái)，完成安全服務(wù)功能。密碼服務(wù)平臺(tái)通過調(diào)用密碼機(jī)指令完成安全算法運(yùn)算，通過管理終端可以管理密碼服務(wù)平臺(tái)，通過監(jiān)控終端可以對(duì)密碼服務(wù)平臺(tái)的運(yùn)行狀況進(jìn)行實(shí)時(shí)監(jiān)控。安全控件分為兩部分
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1