国密改造——银行系统国产密码改造应用

一、何为国密改造？

2012年，工信部和公安部通告了RSA1024算法被破解的风险，为保证金融行业各基础信息系统安全，中国人民银行要求各银行对网上银行等信息系统进行国产密码算法改造。2012年，中国人民银行向多家银行发布了《银行业国产密码应用总体规划》及《总体方案》征求意见稿；同年，人民银行转发了发改委的试点通知并建议网银用户5000万以上的银行参与网银系统国密算法改造试点项目。2014年国务院转发了多部门联合制定的《金融领域密码应用指导意见》（国办发【2014】6号），要求各金融机构5年内完成在网上银行、移动支付、网上证券等重点领域国产密码算法的全面应用。

二、改造要求

按照中国人民银行关于推进国产密码在金融领域应用的实施方案，银行需在网银系统对安全工具、安全基础设施进行国产密码算法的应用改造，改造需求包括：

1. 需使用包含国密数字证书和国密算法的USBKey（智能密码钥匙）；
2. 需使用基于国密算法的动态令牌；
3. 需使用通过使用国密专用浏览器建立国密SSL（Secure Sockets Layer，安全套接层）隧道连接到网银系统；
4. 需使用基于国密算法对交易等数据进行电子签名。

三、网银系统国密改造

前端改造：

密码控件厂商提供国密算法支持，替换之前的标准密码控件版本，引用最新的国密密码控件和提供最新的密码控件API。

前端对国密算法密码控件集成，替换之前的标密API引用，同时替换加密平台公钥信息。

前端提供最新控件下载入口，替换之前页面的控件下载链接。

控件解密改造：

网银后台根据密码控件厂商提供最新的国密算法API，重新集成新的密码控件解密API，对国密算法密码键盘加密后的上送数据进行对称解密

应用转加密改造：

登录密码：

前端更新密码控件为国密算法控件，加密所需的公钥为加密平台最新的国密公钥数据，最终网银前端上送到网银后台的登录密码密文数据为国密算法密文，网银应用先调用密码控件API做对称解密后，在调用加密平台制定的转加密API，最终返回的转加密后的密文，有如下两种情况：

• 国密控件调用最新的公钥加密后的密文，调用加密机转加密API1，返回的密文串与原先的标密转加密密文一致，则网银应用直接做密文验证即可。
• 国密密码控件调用最新的公钥加密后的密文，调用加密机转加密接口，返回的密文串与原先的标密转加密密文一致，此时判断用户是否首次使用新的密码控件登录，若是则调用加密特殊的转加密API2，转加密后的密文与标密一致，网银应用做验证，验证通过后调用转加密API3，返回国密算法密文数据，并保存在数据库中，否则直接与保存在数据库中的国密密文数据进行比对。

交易密码：

网银账号交易密码不在网银系统落地，在前端更新的情况下，密码控件加密后上送的密文是国密密文，加密平台需要提供转加密API给网银应用后台调用，转加密后返回新的密文库，待网银应用核心验证接口进行交易密码验证，验证通过后交易成功。