银行安全解决方案

银行安全解决方案篇一：工行网上银行系统安全解决方案工行网上银行安全系统解决方案 1方案概述 通过使用“数字证书+动态密码+终端度量”的认证技术保证身份认证安全性。数字证书动态密码卡承载数字证书、私钥和动态密码产生等，既可用于 PC 机网银系统的身份认证，也可用于手机网银系统的身份认证。终端度量引擎能够判断交易业务是否运行在注册的终端设备上。在终端上运行输入防篡改插件和安全交互程序能有效阻止攻击者对输入的修改重传，输入防篡改插件中运行安全算法和随机数字键盘算法保障输入是一个伪序列，在数字证书动态密码卡 中有相应算法来恢复出真实输入值。 用户输入关键业务信息（如交易额、接收方账号、接收方姓名等） ，在客户端加密处理后安全地（使用 SSL）传给服务器，服务器解密业务数据，此时并不直接进行业务处理，而是暂时缓存服务器端，同时服务器使用安全短信或安全邮件将关键业务信息安全地传给客户端相应设备，客户端通过手机或邮件确认本次交易信息，并将确认信息通过短信或邮件传给服务器端，服务器收到客户端的正确确认信息后，开始进行关键业务信息后续处理，如果为否定确认，服务器就拒绝本次交易。 本方案从保证客户端安全性、用户身份安全性、交易业务数据安全性和整体系统安全性的角度来保证网络银行的安全性，从而为银行提供技术保障。本方案可以根据银行具体需求分步实施，逐级提高安全性，从而使银行能灵活实施方案中的内容。 2体系架构使用 PC 登陆网银系统的架构 ? 服务器侧 身份认证服务器 认证用户身份，使用数字证书和动态密码对用户进行身份认证。同时运行终端设备度量引擎系统，对终端进行可信性评估。 交易确认短信服务器 用于确认用户的交易信息的准确性。可以兼作带外身份认证用。 交易确认安全邮件服务器：用于确认用户的交易信息的准确性，向用户发送交易信息，接收用户对交易信息的确认结果，并解析交易确认结果。 （注:交易确认短信服务器和交易确认安全邮件服务器选择其一使用） 。可以兼作带外身份认证用。 网银站点服务器 提供用户登陆网银和业务操作界面，流程转发等。 业务处理服务器 处理用户的业务请求。 终端设备度量引擎终端设备度量引擎包括：终端度量信息收集模块、度量信息注册模块、度量信息生成模块、度量信息校验模块、行为分析判断模块、交互应答模块等。按照终端信息收集策略，终端度量信息收集模块主动收集和注册的度量信息相关的终端度量信息，如网卡信息、操作系统信息、浏览器信息、IP 地址所在的地理位置、机器名称、访问者行为信息等；根据具体安全策略，度量信息注册模块选择网卡信息、操作系统信息、浏览器信息、IP 地址所在的地理位置、机器名称、访问者行为信息等中某些项的度量值（如完整性值）作为注册信息。对于探测到的终端静态信息度量处理（完整性运算）后，和事先注册的终端静态信息进行匹配处理后作出判断，这个相当于对访问者和使用的终端进行绑定，这个绑定并不唯一，可以根据使用环境的变换进行灵活增加和变更，但进行变更前必须通过一般身份认证。对于访问者行为信息的收集和分析，可以作为可选项，对于行为的判断使用行为分析算法才能给出结果。由于是身份认证侧主动收集终端度量信息，对于一个攻击者，无法阻止身份认证侧对终端的度量信息收集，所以通过终端度量认证，能阻止重传攻击、中间人攻击、连接劫持攻击。 ? 客户侧 数字证书动态密码卡：存放数字证书、私钥、产生动态密码，动态密码的显示程序在 PC 机上运行，用于显示动态密码。可以通过转接线直接插在 PC 机上使用。 阻止输入修改安全插件：当用户点击准备转账时，激发产生一次 Salt（Salt 可以是一个 OTP 值，可以考虑用基于 HMAC 算法产生，操作复杂，但安全性高。或使用卡的当前时戳作为 Salt，操作较为简单，但安全性低） ，本次产生的 Salt 作为输入的初始序列，输入值按照算法规则（根据每次 CC 值动态变换插入位置）插入到 Salt 中，来获得一个伪输入结果。卡内有相应的输入恢复程序，来获得真实的输入值。这个插件阻止了对输入值的拦截后，修改重传。插件每次启动会产生一个随机数字键盘，以便于用户输入业务数据，并且随机数字键盘的输入值不是真实的数据，移动存储智能卡中有相应算法来恢复出真实输入业务值。 安全交互程序：从安全输入窗口接收输入值，并传送给移动存储智能卡。这个程序作完整性保护，无法修改。 PC：用户登陆网银系统的终端，同时用于显示动态密码。 手机：接收和发送交易确认信息 使用手机登陆网银系统的架构 数字证书动态密码卡直接插在手机上使用，存放数字证书、私钥、产生动态密码。动态密码的显示程序在手机上运行，用于显示动态密码。? 服务器侧 身份认证服务器：认证用户身份，使用数字证书和动态密码对用户进行身份认证，验证签名。同时运行终端设备度量引擎系统，对终端进行可信性评估。 交易确认短信服务器：用于确认用户的交易信息的准确性，向用户发送交易信息，接收用户对交易信息的确认，并解析交易确认结果。 交易确认安全邮件服务器：用于确认用户的交易信息的准确性，向用户发送交易信息，接收用户对交易信息的确认，并解析交易确认结果。 （注:交易确认短信服务器和交易确认安全邮件服务器选择其一使用） 。 网银站点服务器：提供用户登陆网银和业务操作界面、流程转发、密钥协商、加密/解密运算等。 业务处理服务器：处理用户的业务请求。 终端设备度量引擎 终端设备度量引擎包括：终端度量信息收集模块、度量信息注册模块、度量信息生成模块、度量信息校验模块、行为分析判断模块、交互应答模块等。按照终端信息收集策略，终 端度量信息收集模块主动收集和注册的度量信息相关的终端度量信息，如网卡信息、操作系统信息、浏览器信息、IP 地址所在的地理位置、机器名称、访问者行为信息等；根据具体安全策略，度量信息注册模块选择网卡信息、操作系统信息、浏览器信息、IP 地址所在的地理位置、机器名称、访问者行为信息等中某些项的度量值（如完整性值）作为注册信息。对于探测到的终端静态信息度量处理（完整性运算）后，和事先注册的终端静态信息进行匹配处理后作出判断，这个相当于对访问者和使用的终端进行绑定，这个绑定并不唯一，可以根据使用环境的变换进行灵活增加和变更，但进行变更前必须通过一般身份认证。对于访问者行为信息的收集和分析，可以作为可选项，对于行为的判断使用行为分析算法才能给出结果。由于是身份认证侧主动收集终端度量信息，对于一个攻击者，无法阻止身份认证侧对终端的度量信息收集，所以通过终端度量认证，能阻止重传攻击、中间人攻击、连接劫持攻击。? 客户侧 数字证书动态密码卡：存放数字证书、私钥、产生动态密码，动态密码的显示程序在手机上运行，用于显示动态密码。 动态密码自动输入插件：当用户需要向动态密码输入框输入动态密码时，插件自动获得数字证书动态密码卡 产生的动态密码，并输入到动态密码输入框，从而代替用户手动输入的麻烦。该组件为可选。 阻止输入修改安全插件：当用户点击准备转账时，激发产生一次 Salt（Salt 可以是一个 OTP 值，可以考虑用基于 HMAC 算法产生，操作复杂，但安全性高。或使用卡的当前时戳作为 Salt，操作较为简单，但安全性低） ，本次产生的 Salt 作为输入的初始序列，输入值按照算法规则（如间隔插入等，或设计更复杂的规则，根据每次 CC 值动态变换插入位置）插入到 Salt 中，来获得一个伪输入结果。卡内有相应的输入恢复程序，来获得真实的输入值。这个插件一定程度上能阻止对输入值的拦截修改重传攻击。 安全交互程序：从安全输入窗口接收输入值，并传送给移动存储智能卡。这个程序作完整性保护，无法修改。 手机：用户登陆网银业务系统，显示动态密码。接收和发送交易确认信息（可选） 。 篇二：网银安全解决方案启明星辰金融事业部 网银安全解决方案 Ver 北京启明星辰信息技术股份有限公司 Venus Information technology 目 录 第 1 章 概述 .2 第 2 章 网上银行安全需求分析 .2 公共信息发布 .2 完善安全管理策略 .3 增加防火墙防护.5 配置入侵检测模块 .6 配置安全审计系统 .7 身份验证 .8 数据加密 .9 数据完整性 .11 不可否认性 .11 网上帐户查询 .7 网上支付和转账 .10 第 3 章 方案设计原则 .12 第 4 章 网银系统安全防护方案 .13 边界访问控制 .13 病毒防护 .14 防拒绝服务（DOS）攻击 .16 入侵检测与保护 .16 网络行为审计 .18 网页防篡改.20 第 1 章 概述由于 Internet 无所不在，客户只要拥有帐号和密码便能在世界各地与 Internet 联网，处理个人交易。这不仅方便客户，银行本身也可因此加强与客户的亲和性。随着金融环境竞争加剧，银行不得不重新审视自身的服务方式。在我国，已经有许多商业银行纷纷推出了网上银行服务。 网上银行系统在蕴藏着无限商机的同时，也带来了风险，对于开设网上银行服务的提供者来说，当务之急就是要解决安全问题。在方案中所指的网上银行，包括了个人银行和企业银行两个概念，个人银行是指通过网络为个人银行业务提供服务，企业银行则是指通过网络为企业用户提供服务。两者相比，个人银行业务应该具有较简便的操作界面，而企业银行更注重整个环节的安全性。 从广义来讲，安全的概念可以包括数据安全，系统安全和信息安全三个方面，数据安全是指通过采用系统备份，磁盘镜像等安全手段以防止数据丢失；系统安全是指通过系统加固，边界防御，入侵检测等手段以防止黑客攻击系统破坏数据；而信息安全则主要是指通过加密技术防止信息和数据在公开网络传输上被窃听、篡改和顶替。信息安全包括四个功能：数据保密，身份认证，数据完整性和防止抵赖。本文并没有涉及到有关数据安全方面的概念，对网络及系统安全作了一定的介绍，而对信息安全技术的实施则作了比较详细的方案设计。 第 2 章 网上银行安全需求分析 从功能划分，网上银行的业务可分为三类： 公共信息发布 公共信息发布用于介绍网上银行的业务范围流程，金融公共信息等。这类业务由于面向公众发布，不需要保证信息只能被特定团体或个人访问，需要的是保护信息不会被非法篡改。目前在 Internet 上比较多的黑客事件都是篡改公共 Web 站点的内容，制造虚假信息或涂改页面。如美国 NASA 和国防部站点被“黑”事件就是这类事件。对于银行来说，公共金融信息虽然是公开的，但是如果被篡改某些敏感数据，如银行利率等，很可能会造成不必要的麻烦，对银行的名誉也 会造成不利的影响。因此，对这些内容的保护也是不能够忽视的。 Web 站点内容被黑客篡改，是这些黑客通过主动攻击实现的。例如，黑客通过密码字典猜测信息系统的特权口令，在获得特权口令之后，登录进入系统，篡改发布内容，制造不良影响。对于这种情况，我们可以通过改进系统配置、增加防火墙防护、配置入侵检测模块和完善安全管理策略来实现安全保护，避免站点被非法篡改。 完善安全管理策略 黑客一般是通过分析网络管理上的漏洞以达到其攻击目的。很难定义怎样的系统管理才是完善的，因为完善的系统管理是各方面的总和，例如对路由器以及其他主机定期更改密码，采用不规则密码，关闭不必要的服务，关闭防火墙任何不使用的端口等。 对于一个 Unix 系统，安全管理主要可分为四个方面：1. 防止未授权存取 权限控制是系统安全的基本问题，即防止未被授权的用户进入系统。良好的用户意识，良好的口令管理(由系统管理员和用户双方配合)，登录活动记录和报告，用户和网络活动的周期检查是防止未授权存取的关键。 2. 防止泄密 数据保密也是系统安全的一个重要问题。防止已授权或未授权的用户相互存取对方的重要信息，经常性的文件系统查帐，su 登录和报告以及良好的用户保密意识都是防止泄密的手段。 3. 防止用户滥用系统资源 一个系统不应被一个有意试图使用过多资源的用户损害，因为在高负载的情况下系统的安全性能往往会降低。例如黑客通过占用整个磁盘空间来防止日志生成，不幸的是很多商业 UNIX 不能很好地限制用户对资源的使用。因此系统管理员必须通过一些系统命令如 PS 命令，记帐程序 df和 du 周期地检查系统.查出过多占用 CPU 的进程和大量占用磁盘的文件。同时安装某些监控软件也是有效的手段之一。 4. 维护系统的完整性 大多数情况下，维护系统完整是系统管理员的责任，例如：周期地备份文件 系统，系统崩溃后运行磁盘扫描检查，修复文件系统，检测用户是否正在使用可能导致系统崩溃的软件。 良好的安全管理策略对系统的安全水平起着至关重要的作用。因此系统管理员可以将以下几个方面作为维护的重点： 系统配置 仔细研究最新的系统维护文档，完善系统各方面的安全配置，降低安全风险。同时，周期性的维护系统，包括备份和安装补丁程序、订阅安全电子新闻。 系统隔离 将内网和外网进行隔离，确保银行业务前置机、业务主机和数据库服务器只处于内网中，内网和外网通过防火墙相连。 切断共享 Web 服务器上的系统配置尽可能地保证安全。关闭所有不必要的文件共享。停止所有与业务无关的服务器进程，如 Telnet、SMTP 和 FTP 等服务器守护进程。 日志记录 打开日志记录功能，保存系统的访问日志记录，对其进行分析，可以有助于发现有问题的访问情况。如有必要，使用专门的入侵检测模块。 口令策略 制定完善的口令策略，限制口令的最小长度和最长有效期，检查口令的质量。 专人专权 由专人负责系统安全和系统维护，减少不必要的用户管理权限，严格控制非系统管理员的权限和系统管理员的数量。 以下是一个简化的虚拟网上银行网络结构图： 篇三：银行人脸识别安全解决方案 银行人脸识别安全解决方案 系统概述 ： 银行账户实名制是我国重要的金融基础制度，为落实银行账户实名制，人民银行和公安部在 XX 年 6 月联合建设和运行了联网核查系统。借助于联网核查系统，银行多采用人工比对验证的方式，由于人工比对标准不一致、宽严条件个性化，难以对客户身份的真实性进行有效核查，不法分子利用虚假（或骗取）居民身份证开立假账户、假贷款等现象还时有发生。 同时银行存放的资金庞大，必须保证金库安全，对进出金库以及押运人员必须严格审核。 利用瑞为自主研发的先进的 RecoFace 人脸识别技术，可以真正实现更安全、更便捷的客户“人证合一”的有效核查。 如下图示： 版权所有?厦门瑞为信息技术有限公司 - 1 -1、精准、安全的实现客户真实身份的有效核验：规范柜员操作流程，可标准一致的对客户身份真实性进行核查，实现端到端的客户信息验证，有效防止虚假（或骗取）身份证开立假账户、假贷款等案件的发生，保护银行客户的资金安全； 2、全流程智能识别和存储模式，低成本、更高效： 智能人脸识别模式，1s 即可完成，人脸联网核查在VTM 中的应用，帮助银行减少 80%的人员投入。 人脸识别技术还可应用于： 1. VIP 客户识别 通过营业厅门口的摄像机对进入银行的客户进行人脸检测，并与后端的 VIP 客户人脸库进行比对，识别为 VIP的客户及时提醒大堂经理引导到专用贵宾室，可以大大提高 VIP 客户的满意度。 2. 金库身份鉴权 基于当前的密码验证或者指纹识别、身份证等，增加对人脸的加强式验证，可实现无须刻意停留或主动配合。 3. 押钞车司机身份验证 利用押钞车上的人脸身份验证终端，结合司机身份证以及人脸识别来确认是否是本人在开车，并通过网络回传给监控中心，确保在行车过程中可以随时随机监控，可有效区分照片和真实人脸，杜绝伪造。 版权所有?厦门瑞为信息技术有限公司 - 2 -