【正文】 .................20網(wǎng)上銀行安全解決方案2第 1 章 概述由于 Inter 無所不在，客戶只要擁有帳號和密碼便能在世界各地與Inter 聯(lián)網(wǎng)，處理個人交易。這不僅方便客戶，銀行本身也可因此加強與客戶的親和性。在我國，已經(jīng)有許多商業(yè)銀行紛紛推出了網(wǎng)上銀行服務(wù)。在方案中所指的網(wǎng)上銀行，包括了個人銀行和企業(yè)銀行兩個概念，個人銀行是指通過網(wǎng)絡(luò)為個人銀行業(yè)務(wù)提供服務(wù)，企業(yè)銀行則是指通過網(wǎng)絡(luò)為企業(yè)用戶提供服務(wù)。從廣義來講，安全的概念可以包括數(shù)據(jù)安全，系統(tǒng)安全和信息安全三個方面，數(shù)據(jù)安全是指通過采用系統(tǒng)備份，磁盤鏡像等安全手段以防止數(shù)據(jù)丟失；系統(tǒng)安全是指通過系統(tǒng)加固，邊界防御，入侵檢測等手段以防止黑客攻擊系統(tǒng)破壞數(shù)據(jù)；而信息安全則主要是指通過加密技術(shù)防止信息和數(shù)據(jù)在公開網(wǎng)絡(luò)傳輸上被竊聽、篡改和頂替。本文并沒有涉及到有關(guān)數(shù)據(jù)安全方面的概念，對網(wǎng)絡(luò)及系統(tǒng)安全作了一定的介紹，而對信息安全技術(shù)的實施則作了比較詳細(xì)的方案設(shè)計。這類業(yè)務(wù)由于面向公眾發(fā)布，不需要保證信息只能被特定團體或個人訪問，需要的是保護信息不會被非法篡改。如美國 NASA 和國防部站點被網(wǎng)上銀行安全解決方案3“黑”事件就是這類事件。因此，對這些內(nèi)容的保護也是不能夠忽視的。例如，黑客通過密碼字典猜測信息系統(tǒng)的特權(quán)口令，在獲得特權(quán)口令之后，登錄進入系統(tǒng)，篡改發(fā)布內(nèi)容，制造不良影響。 完善安全管理策略黑客一般是通過分析網(wǎng)絡(luò)管理上的漏洞以達到其攻擊目的。對于一個 Unix 系統(tǒng)，安全管理主要可分為四個方面：1. 防止未授權(quán)存取權(quán)限控制是系統(tǒng)安全的基本問題，即防止未被授權(quán)的用戶進入系統(tǒng)。2. 防止泄密數(shù)據(jù)保密也是系統(tǒng)安全的一個重要問題。3. 防止用戶濫用系統(tǒng)資源一個系統(tǒng)不應(yīng)被一個有意試圖使用過多資源的用戶損害，因為在高負(fù)載的情況下系統(tǒng)的安全性能往往會降低。因此系統(tǒng)管理員必須通過一些系統(tǒng)命令如 PS 命令，記帳程序 df 和 du 出過多占用 CPU 的進程和大量占用磁盤的文件。網(wǎng)上銀行安全解決方案44. 維護系統(tǒng)的完整性大多數(shù)情況下，維護系統(tǒng)完整是系統(tǒng)管理員的責(zé)任，例如：周期地備份文件系統(tǒng)，系統(tǒng)崩潰后運行磁盤掃描檢查，修復(fù)文件系統(tǒng)，檢測用戶是否正在使用可能導(dǎo)致系統(tǒng)崩潰的軟件。因此系統(tǒng)管理員可以將以下幾個方面作為維護的重點：系統(tǒng)配置　仔細(xì)研究最新的系統(tǒng)維護文檔，完善系統(tǒng)各方面的安全配置，降低安全風(fēng)險。系統(tǒng)隔離　將內(nèi)網(wǎng)和外網(wǎng)進行隔離，確保銀行業(yè)務(wù)前置機、業(yè)務(wù)主機和數(shù)據(jù)庫服務(wù)器只處于內(nèi)網(wǎng)中，內(nèi)網(wǎng)和外網(wǎng)通過防火墻相連。關(guān)閉所有不必要的文件共享。日志記錄　打開日志記錄功能，保存系統(tǒng)的訪問日志記錄，對其進行分析，可以有助于發(fā)現(xiàn)有問題的訪問情況?？诹畈呗浴≈贫ㄍ晟频目诹畈呗?，限制口令的最小長度和最長有效期，檢查口令的質(zhì)量。以下是一個簡化的虛擬網(wǎng)上銀行網(wǎng)絡(luò)結(jié)構(gòu)圖：網(wǎng)上銀行安全解決方案5圖 1 網(wǎng)上銀行網(wǎng)絡(luò)結(jié)構(gòu)圖從圖中可以看到整個網(wǎng)絡(luò)體系分為：Inter，非軍事區(qū)（DMZ ），Intra以及銀行內(nèi)部網(wǎng)四部分。這些網(wǎng)段由兩個網(wǎng)關(guān)連為一體。非軍事區(qū)是所有用戶可以訪問的區(qū)域，而 Intra 則只有特定用戶才能訪問，通過對防火墻的合理配置可以避免內(nèi)部服務(wù)器被攻擊，可以采用多級防火墻配置（如在非軍事區(qū)和 Inter 之間用防火墻隔離）以提供更強的網(wǎng)絡(luò)安全保護。通過這種隔離進一步增強了系統(tǒng)的安全保證。它能同時連接受到保護的網(wǎng)絡(luò)和 Inter 兩端，但受到保護的網(wǎng)絡(luò)無法直接接到 Inter，Inter 也無法直接接到受到保護的網(wǎng)絡(luò)。最簡單的防火墻是雙主機系統(tǒng)（具有兩個網(wǎng)絡(luò)連接的系統(tǒng)）。它依據(jù)起點、終點、端口號和每一數(shù)據(jù)包中所含的數(shù)據(jù)包種類信息控制數(shù)據(jù)包的流動。它阻擋別人進入內(nèi)部網(wǎng)絡(luò)。即使要讓外界的一些人進入防火墻之內(nèi)，也無法讓每一個人進入服務(wù)器。最好的例子是先連接到防火墻，然后從該處再連接到另一個系統(tǒng)。利用客戶端軟件連接代理服務(wù)器后，代理服務(wù)器啟動它的客戶端軟件（代理），然后傳回數(shù)據(jù)。 在網(wǎng)上銀行系統(tǒng)中，由于 Web 服務(wù)器需要連接到 Inter，因此，我們建議在 Web 服務(wù)器和 Inter 之間架設(shè)一個 IP 過濾防火墻。例如，對于銀行帳戶和密碼，入侵者可能嘗試枚舉攻擊，由于密碼長度有限且均為數(shù)字，密碼空間比較小。入侵攻擊的特點是在一個攻擊源同時發(fā)出密集攻擊數(shù)據(jù)。普通情況下，一個用戶連接后不會非常頻繁的查詢數(shù)據(jù)（每分鐘最多不超過 5 次查詢），而且查詢的帳戶號碼也有限（每分鐘最網(wǎng)上銀行安全解決方案7多不超過 10 個帳戶）。這種攻擊模式是能夠被檢測到的。自動預(yù)警甚至可以通過尋呼機通知系統(tǒng)管理員。對于銀行系統(tǒng)由于數(shù)據(jù)來源多、數(shù)據(jù)量大、數(shù)據(jù)類型復(fù)雜，將面臨大量的攻擊事件以及內(nèi)部違規(guī)事件等。銀行系統(tǒng)對于內(nèi)部違規(guī)操所面臨的問題主要表現(xiàn)在內(nèi)部人員違規(guī)操作的安全隱患，第三方維護人員違規(guī)操作的安全隱患，以及內(nèi)部最高用戶權(quán)限的違規(guī)操作等安全隱患等，大量的違規(guī)操作將對銀行系統(tǒng)信息資產(chǎn)的機密性、完整性、可行性等造成嚴(yán)重的破壞。而這些屬于信息安全范疇。 身份驗證傳統(tǒng)銀行業(yè)務(wù)的身份驗證方案主要是通過口令或 PIN 來實現(xiàn)的，它具有以下兩個特點：1. PIN 一般為 48 個數(shù)字，范圍比較窄。在網(wǎng)上銀行業(yè)務(wù)中，僅通過這樣的方式來進行身份驗證，存在很大的不足：，所以口令明文傳輸容易被截獲。，很難對錯誤 PIN 輸入進行限制。 錯誤次數(shù)限制會 給合法的用戶帶來了很大的不便。在網(wǎng)絡(luò)應(yīng)用中，目前采用較多的方法是動態(tài)口令（例如 Kerberos），令牌卡和數(shù)字證書認(rèn)證技術(shù)。SSL 協(xié)議是采用最為廣泛的數(shù)字證書身份認(rèn)證技術(shù)。網(wǎng)上銀行安全解決方案9簡單地說，SSL 就是在傳輸數(shù)據(jù)前，服務(wù)器和客戶雙方通過數(shù)字證書進行“握手”，驗證對方的數(shù)字證書是否合法，并且約定一個臨時的會話密鑰，對接下來要傳輸?shù)臄?shù)據(jù)進行加密。SSL 對 進行了擴展，支持客戶證書，這時服務(wù)器就可以驗證客戶的證書，只有那些擁有合法證書的用戶才能繼續(xù)保持與服務(wù)器的連接，如果配合口令驗證，就成為雙因子身份認(rèn)證。下表是數(shù)字證書同傳統(tǒng)口令模式的身份驗證在性能上的比較：口令方式 數(shù)字證書方式用戶登錄時口令在公開網(wǎng)絡(luò)上傳輸，有可能泄密私鑰由用戶保存，只需公布其公鑰。每個企業(yè)用戶應(yīng)該申請一張數(shù)字證書，當(dāng)企業(yè)用戶上網(wǎng)進行賬戶查詢時，通過 SSL 建立安全連接。然后將查詢請求和口令一起發(fā)送給業(yè)務(wù)前置機，由銀行業(yè)務(wù)主機對口令再次進行認(rèn)證。當(dāng)服務(wù)器通過 SSL 獲得用戶證書后，服務(wù)器應(yīng)用程序還要到 CA 服務(wù)器檢索該證書是否在廢止證書列表之中。圖 2 是網(wǎng)上銀行企業(yè)用戶的口令驗網(wǎng)上銀行安全解決方案10證方式。 數(shù)據(jù)加密Web 應(yīng)用數(shù)據(jù)加密的方案除了 SSL 以外，并沒有太多可供選擇的方案。另外 SSL 采用了會話密鑰的機制，每次握手時約定一個會話密鑰，會話結(jié)束，密鑰立刻失效，最大程度上保證了數(shù)據(jù)的保密性。圖 2 用戶身份驗證示意圖遞交口令的Web 服務(wù)器的用戶的表單的的銀行業(yè)務(wù)主機的 CA 服務(wù)器的建立 SSL 握手的1．SSL 服務(wù)器代理驗證用戶證書本身的合法性2。銀行業(yè)務(wù)主機再對口令進行驗證網(wǎng)上銀行安全解決方案11 網(wǎng)上支付和轉(zhuǎn)賬網(wǎng)上支付和轉(zhuǎn)賬在查詢的基礎(chǔ)上進一步給用戶提供了方便，用戶可以在網(wǎng)上進行支付、轉(zhuǎn)賬從而達到交易的目的，就目前而言，國內(nèi)很多網(wǎng)上銀行系統(tǒng)已經(jīng)開通了如下支付和轉(zhuǎn)賬業(yè)務(wù)：? 定期賬戶轉(zhuǎn)活期? 活期賬戶轉(zhuǎn)定期? 活期賬戶轉(zhuǎn)活期? 信用卡賬戶轉(zhuǎn)信用卡賬戶? 公用事業(yè)費代繳? 企業(yè)轉(zhuǎn)賬? 證券資金賬戶轉(zhuǎn)賬? 特約商戶網(wǎng)上支付和查詢相比，支付和帳戶轉(zhuǎn)帳的安全需求更高，除了必須具備查詢所需要的安全性之外，還需要應(yīng)該提供數(shù)據(jù)完整性和不可否認(rèn)性。SSL 由于對整個數(shù)據(jù)鏈路進行了加密，所以在一定程度上能夠保證完整性，但是公開網(wǎng)絡(luò)上的數(shù)據(jù)加密對完整性的保護只是