網(wǎng)上銀行系統(tǒng)的安全策略

1、12一、物理安全一、物理安全二、網(wǎng)絡(luò)安全二、網(wǎng)絡(luò)安全四、應(yīng)用安全四、應(yīng)用安全三、系統(tǒng)安全三、系統(tǒng)安全主要內(nèi)容主要內(nèi)容3一、物理與環(huán)境安全1 1、區(qū)域安全、區(qū)域安全2 2、設(shè)備安全、設(shè)備安全3 3、安全管理規(guī)章、安全管理規(guī)章41 1、物理安全界限、物理安全界限- 專用電腦中心、密鑰管理中心、網(wǎng)絡(luò)控制中心機房2 2、物理進入控制、物理進入控制- 保安、機房門禁3 3、在安全區(qū)域內(nèi)工作、在安全區(qū)域內(nèi)工作- 業(yè)務(wù)操作區(qū)與設(shè)備區(qū)隔離區(qū)域安全區(qū)域安全51、設(shè)備定位與保護設(shè)備定位與保護- 專用機架、口令保護2、電力供應(yīng)與電纜安全電力供應(yīng)與電纜安全- UPS雙路電源，互為備份3、設(shè)備維護設(shè)備維護- 購買硬件與

2、軟件廠商技術(shù)支持、專業(yè)維護隊伍設(shè)備安全設(shè)備安全61、人員管理2、系統(tǒng)操作規(guī)范3、機房與設(shè)備維護規(guī)定安全管理安全管理7二、網(wǎng)絡(luò)安全1、防火墻與路由器2、動態(tài)入侵檢測8防火墻與路由器INTERNETINTERNET客戶防火墻防火墻網(wǎng)上銀行系統(tǒng)分行分行防火墻中國銀行安全通道1000兆防火墻兆防火墻 NETSCREEN9 總行網(wǎng)絡(luò)監(jiān)控中心總行網(wǎng)絡(luò)監(jiān)控中心-天闐入侵檢測系統(tǒng)，嚴防黑天闐入侵檢測系統(tǒng)，嚴防黑客入侵客入侵動態(tài)入侵檢測10三、系統(tǒng)安全1 1、操作系統(tǒng)安全、操作系統(tǒng)安全 2 2、系統(tǒng)訪問控制、系統(tǒng)訪問控制11 中國銀行網(wǎng)上銀行采用了國際中國銀行網(wǎng)上銀行采用了國際著名廠商（著名廠商（IBMIBM）

3、的安全操作系統(tǒng)，）的安全操作系統(tǒng)，與國際一流商業(yè)銀行的電子銀行服與國際一流商業(yè)銀行的電子銀行服務(wù)看齊，足以保證網(wǎng)上銀行的系統(tǒng)務(wù)看齊，足以保證網(wǎng)上銀行的系統(tǒng)安全。安全。 1、操作系統(tǒng)安全12 1 1、嚴格的用戶訪問管理、嚴格的用戶訪問管理-用戶用戶注冊口令注冊口令5 5次錯誤鎖定、連續(xù)次錯誤鎖定、連續(xù)3 3天被鎖天被鎖定則用戶死鎖定則用戶死鎖 2 2、系統(tǒng)訪問管理、系統(tǒng)訪問管理-IP-IP地址識別、地址識別、硬件編碼地址識別、系統(tǒng)訪問時間控硬件編碼地址識別、系統(tǒng)訪問時間控制制2、系統(tǒng)訪問控制13四、應(yīng)用安全身份管理身份管理通信保護通信保護訪問控制訪問控制安全審計安全審計認證認證保密保密授權(quán)授權(quán)完

4、整完整不可否認不可否認 身份管理身份管理 身份證件分發(fā)身份證件分發(fā) 身份認證身份認證 通信保護通信保護 保密性保密性 完整性完整性 不可否認性不可否認性 訪問控制訪問控制 授權(quán)授權(quán) 安全審計安全審計 歷史追蹤歷史追蹤 缺陷分析缺陷分析141、可靠的身份管理 （1）普通口令）普通口令-兩次口令校驗 網(wǎng)上銀行登錄口令、密鑰保護口令 （2）電子令牌）電子令牌-實體檢測 口令保護、數(shù)據(jù)不可讀出 （3）數(shù)字證書）數(shù)字證書-強身份認證 重新建設(shè)CA認證中心 三重校驗，身份確認三重校驗，身份確認15USERIDUSERID和密碼和密碼示例示例16電子令牌 USBKEY/IC USBKEY/IC卡卡 USBK

5、EY/ICUSBKEY/IC卡卡通通過產(chǎn)生和識別網(wǎng)上電子交易過產(chǎn)生和識別網(wǎng)上電子交易的數(shù)字簽名（電子簽名或電子圖章），達到識別的數(shù)字簽名（電子簽名或電子圖章），達到識別交易者身份和驗證交易數(shù)據(jù)真?zhèn)谓灰渍呱矸莺万炞C交易數(shù)據(jù)真?zhèn)蔚哪康?，保證網(wǎng)上交易的的目的，保證網(wǎng)上交易的不可否認性不可否認性(Nonrepudiation)(Nonrepudiation)；同時作為身份認證的強力工具同時作為身份認證的強力工具。 17口令-定期更換18口令-定期更換19 為配合網(wǎng)上銀行安全系統(tǒng)改造，我行重建為配合網(wǎng)上銀行安全系統(tǒng)改造，我行重建CACA認證中心。新認證中心。新CACA系統(tǒng)支持本地化的系統(tǒng)支持本地化的12

6、8128位對稱加位對稱加密算法，密算法，10241024位證書簽名，同時支持位證書簽名，同時支持NetscapeNetscape和和IEIE中英文版本。中英文版本。 電子證書載體采用經(jīng)過國家密碼主管機構(gòu)認電子證書載體采用經(jīng)過國家密碼主管機構(gòu)認可的可的USBKEY/ICUSBKEY/IC卡，保障密鑰和證書安全?？?，保障密鑰和證書安全。CA電子證書20電子證書與身份證的比較 姓名：王家業(yè) 編號：4528538 簽發(fā)者：北京市公安局 海淀分局 發(fā)布時間：2000-04-05 有效期：10年 住址：北京市海淀區(qū)學(xué)院南路9號頒發(fā)給：WANGJIAYE序列號：10E7 D8F3 8078 ADEC 110

7、0 0ED4 8BB2 EEBB簽發(fā)者：C = CN，S = BEIJING， L = BEIJING， O = BANK OF CHINA， CN = INTERNET BANKING ，BANK OF CHINA有效起始時間：2002年12月6日有效終止時間：2005年12月6日Email：wangjybank-of- 公鑰：RSA (1024 bits) 38ighwejb21企業(yè)電子證書詳細信息-示例222、通信保護-保密性加密解密明文明文密文KK采用采用128128位對稱加密算法、位對稱加密算法、SSLSSL安全套接層協(xié)議，確保交安全套接層協(xié)議，確保交易數(shù)據(jù)的保密性易數(shù)據(jù)的保密性23

8、加密解密KKK的密文B公鑰B私鑰通信保護-保密性采用采用10241024位的位的RSARSA非對稱加密算法，確保交易非對稱加密算法，確保交易數(shù)據(jù)的保密性數(shù)據(jù)的保密性24通信保護-完整性明文摘要A公鑰解密加密摘要的密文A私鑰明文明文摘要SHA1數(shù)字摘要算法SHA1散列算法明文摘要相等？25通信保護-數(shù)字簽名 數(shù)字簽名：數(shù)據(jù)完整性中發(fā)送方的操作 驗證數(shù)字簽名：接收方的操作 簽名目的：信息是由簽名者發(fā)送的； 驗簽名目的：信息自簽發(fā)后到收到的過程中，沒有被篡改、沒有仿冒、不是重發(fā)性攻擊；26發(fā)送方信息散列函數(shù)摘要私鑰加密（簽名）數(shù)字簽名數(shù)字簽名信息散列函數(shù)摘要公鑰解密摘要信息被確認比較兩者如一致接收方

9、通信保護-數(shù)字簽名27網(wǎng)上銀行中的數(shù)字簽名-示例283、訪問控制-登錄三重措施1 1、USERID USERID 唯一性，確保有效識唯一性，確保有效識別操作員別操作員2 2、USERIDUSERID與口令、電子令牌的與口令、電子令牌的耦合校驗耦合校驗3 3、USERIDUSERID與與CACA電子證書的耦電子證書的耦合校驗合校驗29訪問控制-應(yīng)用三重措施1 1、操作員對不同產(chǎn)品、功能的控制、操作員對不同產(chǎn)品、功能的控制2 2、操作員對不同賬號的控制、操作員對不同賬號的控制3 3、操作員對不同賬號的授權(quán)級別控制、操作員對不同賬號的授權(quán)級別控制304、審計-客戶操作記錄 對對用戶每一個操用戶每一個操作作, ,網(wǎng)上銀行都做了詳網(wǎng)上銀行都做了詳細的細的LOGLOG記載，方便用記載，方便用戶掌握資金匯劃過程戶掌握資金匯劃過程中的相關(guān)操作信息中的相關(guān)操作信息31審計-客戶操作記錄32審計-系統(tǒng)日志記錄 對客對客戶每一筆交易的處理全過戶每一筆交易的處理全過程程, ,銀行系統(tǒng)都做了詳細的銀行系統(tǒng)都做了詳細的LOGLOG記錄，記錄，方便銀行維護和審計人員掌握資金方便銀行維護和審計人員掌握資金匯劃過程中的相關(guān)處理信息匯劃過程中的相關(guān)處理信息33 2001