商业银行的网上银行安全技术研究与设计（转载）

1.       引言

随着Internet技术与电子商务应用的不断发展和深入，商业银行提供网上支付服务已成为人们进行电子交易的基本手段和方法。在商业银行提高网上货币交易的方便性、快捷性的同时，如何确保网上银行的安全性、可靠性与保密性，已越来越受到人们的重视。

我国的网上银行，一般都建立在传统的电子银行基础之上，其涉及的内容较为广泛，主要包括三个方面，一是通过支付网关，即B to C与B to B的支付模式，完成网上支付服务；二是针对企业客户和个人客户提供各种网上银行服务；三是银行本身的信息服务，如银行信息发布、网络办公系统等。国内的商业银行竞相建立自己的网上银行，如招商银行、工商银行、中国银行、建设银行等，目前一些中小商业银行也在跃跃欲试，我国银行业的电子化和信息化建设将进入一个全新的时期。

为了提供基于Internet的网上银行服务，商业银行必须将原有的银行专用网络延伸至Internet，以扩展传统的电子银行服务，这无疑使网上银行的安全性、可靠性、保密性受到严峻的挑战。网上银行的不安全因素使银行业面临严重的威胁和风险，甚至带来巨大的经济损失和不可弥补的灾难。网上银行的安全问题与安全技术成为当前金融业的一个重大研究课题。

2.       网上银行安全性要求分析

网上银行中的各种数据和信息与客户以及银行业务处理息息相关，出不得半点差错，对安全性的要求极高。由于网上银行是基于IP网络的技术，而IP网络中存在许多的安全隐患，例如，IP网络基于TCP/IP协议簇，是开放性的，黑客们利用网络中存在的缺陷和管理上的漏洞，非法窃取、篡改、甚至破坏系统中的资源，特别是其中的数据。目前网络欺骗、漏洞扫描和使用软件臭虫（Bug）是入侵者常用的手段，而支持这些手段的方法和工具越来越丰富，使得人们对他们的攻击愈加不易察觉。这些都使网络的通信安全更加复杂和困难。网上银行不同于一般的企业网站或电子商务网站，相对来说它的安全性要求更高，为此应该重点进行如下分析与设计。

（1）物理安全。

网上银行不采用ISP（Internet service Provider，因特网服务提供商）方式来建设，而是购置和建立专门的、自主的网络系统和设备，包括服务器、通信设备（路由器、交换机等）、机房设备（UPS、电源、机架等）等自成体系，确保系统的相对独立和物理安全。

（2）操作系统安全。

银行的服务器操作系统大都采用Unix或Linux，以满足稳定性、实时性、安全性的要求。近年来国产操作系统技术进步很快，一批优秀的国产中文操作系统，如红旗Linux，在银行业也有了实际案例。网络中的一些设备，如智能的或是高性能的路由器、交换机、硬件防火墙也带有特定的操作系统，操作系统中往往存在这样那样的系统漏洞，配置不当也会产生潜在的安全问题，为此应进行必要的安全性能的设计与测试。

（3）应用软件安全。

网上银行应用软件系统的安全，直接关系到系统的成败。从应用系统安全、模块安全、功能安全到一个操作界面的安全，都与软件开发与实施的每一阶段密不可分。目前商业银行的应用软件系统一般采用银行自主开发、软件供应商定制开发、与科研院所和软件公司合作开发、购买成熟的软件产品等方式实现。无论采用哪种方式建立应用软件系统，都可能会存在安全缺陷，所以都应该将系统的安全、可靠放在第一位来考虑。例如采用Web技术开发的B/S计算模式的应用软件是基于HTTP协议的，由于HTTP协议是一个无状态的协议，所以在设计和实现时应将软件的安全性进行严格控制。

（4）数据保密性与完整性。

网上银行的数据要求绝对安全和保密，用户基本信息、用户支付信息、业务处理信息、数据交换信息等的丢失、泄漏和篡改都会时商业银行产生不可估量的损失。在Internet这样一个开放式的环境中，如何确保数据输入和传输的完整性、安全性和可靠性，如何防止对数据的非法篡改，如何实现数据非合法性操作的监控与制止是网上银行系统重点解决的问题。

（5）身份真实，不可抵赖。

    网络通信的双方进行安全通信之前首先要确认对方的身份，由通信的任何一方来确认双方身份都显得不公正、不安全，这就需要公认的第三方来对双方证实身份，这是网上银行提供安全可靠服务的前提。用户还需承认在网上银行中所做的操作，即行动的不可抵赖性。采用有效的方法和手段实现身份真实性和操作不可抵赖性是网上银行可信的基础。

3.       安全控制技术在网上银行的实现

（1）防火墙技术。

防火墙技术已成为网上银行安全技术中的关键技术之一。人们采用防火墙（Firewall）技术来保护内部系统不受来自外界的安全威胁，诸如黑客入侵、窃取、拷贝、更改内部数据等。防火墙可限定来自源IP和去往目标IP的数据包是否可以通过，限定源和目的主机的端口号，限定特定的服务是否可以访问，如限定FTP（File Transfer Protocol，文件传输协议）、HTTP（Hypertext Markup Language，超文本传输协议）、Telnet（远程登录），也可以根据一定的安全策略制订数据包过滤的规则，将这些设置保存在ACL（Access Control Lists，访问控制表）中并应用。防火墙一般安装在网关或关键位置处。

代理服务机制在防火墙中用一个Internet 中公用的IP地址代替内部与外部的IP地址，当内部向外部请求时，隐藏了内部的IP与网络结构。外部要获得内部的服务，必须通过防火墙的审查才能通过，并负责把请求转换给相应的内部主机。

防火墙产品还提供了数据加密和解密功能、审查跟踪功能、Web页面高速缓存功能、带宽管理功能、虚拟专网功能等扩展性的功能，丰富了防火墙的功效，增强了适用面和生命力。防火墙分为单一防火墙与多机防火墙系统两种。单一防火墙有硬件防火墙与软件防火墙两种，硬件防火墙把大都数的功能固化有芯片中，速度较快；软件防火墙是安装在网络主机或路由器上的软件，有的路由器已自带了防火墙。

多机系统的防火墙配置方案有很多，网上银行的防火墙系统大都是一个屏蔽子网，其配置如下图1所示。典型的做法是，外部防火墙和内部防火墙是两个包过滤路由器，分别来自过滤外部网络的数据包和内部网络的数据包。Web服务器上安装网上银行的Web应用服务系统。堡垒主机是一个特殊的服务器，用来抵御攻击，安装有安全的网络操作系统和服务必要的服务程序，如代理应用程序、身份验证程序等。屏蔽子网也称为“非军事区”、“停火区”，在这个子网里受到的安全不会影响到外部网络和内部网络，是一种比较安全的方案，被有较高安全性要求的应用场合（如网上银行）所大量采用。

（2）PKI与CA技术。

PKI（Public Key Infrastructure，公钥基础结构）提供了公钥加密和数字签名服务，其中包括了CA（Certificate Authority，认证机构），RA（Registration Authority，注册机构），通过SSL（Secure Socket Layer，安全套接字层）实现数据加密、身份验证和数字签名。从而保证网上银行中的验证、加密、完整性和不可否认性。在PKI系统中，CA服务器负责发放和管理符合国际标准的X.509v3数字证书，为了保证其认证的公正性、权威性、可依赖性，CA必须为可信赖的第三方组织所拥有；RA服务器负责实现证书与申请人身份、属性之间的绑定；SSL是符合安全协议的Internet标准，在一些常用的客户浏览器中已经集成，如Microsoft  IE。利用PKI与CA技术可以建立一个可信任和足够安全的网络，是建设网上银行的安全基石。

    我国已建立 “金融CA”，包括“根CA”和“品牌CA”。根CA由中国人民银行负责建设，在全国具有唯一性，“品牌CA”由中国人民银行组织其它金融机构共同建设。2000年6月，中国人民银行联合各商业银行建设了CFCA（China Finance Certificate Authority，中国金融认证中心）和支付网关。CFCA采用的是PKI技术，建成了SET CA和Non-SET CA两种体系，SET CA用于B To C的身份认证，Non-SET CA可用于B To C和B To B两种模式的身份认证。

SET PKI证书用来支持银行卡支付的SET交易。在商业银行中只需配备RA，PKI体系中的CA部份由CFCA完成。交易中的各方可在网上或去商业银行的网点申请证书。证书分为持卡人证书、商户证书和支付网关证书，分别分发给交易中的不同角色。但持卡人客户端必须安装电子钱包软件，商户必须安装SET商户软件，支付网关安装SET支付网关软件，并登录CFCA网站把在商业银行RA处审批通过取得密码后还需将运行电子钱包而产生的公钥卡号及密码等提交给CA，它们之间的交互过程如图2所示。Non-SET PKI证书的申请过程与SET PKI证书基本相同，证书分为个人普通证书、个人高级证书、企业高级证书和服务器站点证书。个人普通证书安全级别较低，用于小额交易；高级证书用于大额交易，服务器站点证书用于提供B To C交易的电子商务网站。

（3）防病毒技术。

计算机病毒是一段恶意的程序代码，它具有破坏性、传播性、隐匿性和针对性的特征，是网上银行的一个重大的安全隐患。病毒可通过储存介质、资源共享、Internet服务等途径感染。为了防治病毒，要在网上银行的每台服务器上安装反病毒软件，特别是Internet网关，应安装“病毒防火墙”。对于内部网络亦不能掉以轻心，一是要加强内部的管理工作，加强员工的病毒忧患意识；二是在内部的工作站上安装防病毒软件，防止入侵；三是在服务器群与内部网络之间也要构筑“病毒防火墙”。同时，使用网络版的防病毒软件，有利于病毒监控与集中整治，还有利于防病毒软件及时升级、及时打补丁，以应对最新的病毒。

（4）Java技术。

Java技术是网上银行的主流开发技术，它具有跨平台性，可复用程序高，支持的软件开发工具较多。J2EE（Java^TM 2 Platform Enterprise Edition，Java2企业开发平台）是基于Java技术的一个标准平台，支持JDBC（Java Database Connectivity，Java数据库连接）、CORBA（Common Object Request Broker Architecture，公共对象请求代理体系结构）、EJB（Enterprise JavaBeans，企业级Java组件）、Servlet、JSP（Java Server Pages，Java服务页面）、XML（eXtensible Markup Language，可扩展标记语言）等技术，是应用程序服务器的一种标准。采用Java技术使得中间件的编写更加容易、可扩展性得到加强，更利于多层应用程序体系结构的部署与实施。使用多层架构技术，可使同时访问网上银行的用户达上万，甚至几十万人，可整合系统的各种资源，如数据库资源、文件、事务处理等。

J2EE的应用服务软件有BEA Weblogic、IBM Websphere、Borland BES、JBOSS等，国产的有金蝶Apusic等，它们都有在网上银行或是大型电子商务应用的成功案例。

网上银行软件是系统安全的最后一道防线，在开发软件的系统分析阶段时要做好安全性的设计，如系统角色与权限的定义，组件划分，事务处理定义，数据验证等。一种网上银行层的体系结构如图3所示。

数据层是网上银行数据集中存储的地方，可用一种成熟的大型关系数据库，基于商业银行服务大都为Unix或Linux。