网上银行3.0系统的安全策略.pptx
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1、严格的用户访问管理---用户注 册口令5次错误锁定、连续3天被锁定 则用户死锁
2、系统访问管理---IP地址识别、 硬件编码地址识别、系统访问时间控 制
四、应用安全
• 身份管理
– 身份证件分发 – 身份认证
• 通信保护
– 保密性 – 完整性 – 不可否认性
• 访问控制
– 授权
• 安全审计
– 历史追踪 – 缺陷分析
CA电子证书
为配合网上银行安全系统改造，我行重建CA 认证中心。新CA系统支持本地化的128位对称
加密算法，1024位证书签名，同时支持 Netscape和IE中英文版本。
电子证书载体采用经过国家密码主管机构认 可的USBKEY/IC卡，保障密钥和证书安全。
电子证书与身份证的比较
• •
颁发给：WANGJIAYE 序列号：10E7 D8F3 8078 ADEC
A私 钥
明文摘要
加密
摘要的密文
A公 钥
解密
SHA1 散列 算法 明文摘要◎
相等？
明文摘要
通信保护-数字签名
• 数字签名：数据完整性中发送方的操作 • 验证数字签名：接收方的操作
• 签名目的：信息是由签名者发送的； • 验签名目的：信息自签发后到收到的过程中，
没有被篡改、没有仿冒、不是重发性攻击；
通信保护-数字签名
银行系统都做了详细的LOG记录， 方便银行维护和审计人员掌握资金 汇划过程中的相关处理信息
权威结论
2001年2月，我行网上银行系统顺利通 过了全球四大咨询评估公司排名第二的德 勤公司的“互联网安全与控制审计” 。
我行成为国内同业首家通过安全审计评估 的商业银行
• 1、Genius only means hard-working all one's life. (Mendeleyer, Russian Chemist) 天才只意味着终身不懈的努力。20.8.58.5.202011:0311:03:10Aug-2011:03
设备安全
1、设备定位与保护--专用机架、口令保护
2、电力供应与电缆安全--UPS双路电源，互为备份
3、设备维护--购买硬件与软件厂商技术支持、专
业维护队伍
安全管理
1、人员管理
2、系统操作规范
3、机房与设备维护规 定
二、网络安全
防火墙与路由器
1000兆防火墙 NETSCREEN
客户
INTERNET
•
姓名：王家业
1100 0ED4 8BB2 EEBB签发者： • 编号：
C = CN，S = BEIJING， L =
452801197312061538
BEIJING， O = BANK OF CHINA， CN = INTERNET BANKING ，BANK
•
签发者：北京市公安局
OF CHINA
• ……
企业电子证书详细信息-示例
2、通信保护-保密性
K
K
明文
密文
明文
加密
解密
采用128位对称加密算法、SSL安全套接层协议，确保交易 数据的保密性
通信保护-保密性
采用1024位的RSA非对称加密算法，确保交易 数据的保密性
B公
B私
钥
钥
K
K的密文
K
加密
解密
通信保护-完整性
明文
Biblioteka BaiduSHA1
数字 摘要 算法
海淀分局
• 有效起始时间：2002年12月6日 • 有效终止时间：2005年12月6日 • Email：wangjy@bank-of-
china.com • 公钥：RSA (1024 bits)
• 发布时间：2000-04-05
• 有效期：10年
• 住址：北京市海淀区学院 南路9号
38ighwejb
• 2、Our destiny offers not only the cup of despair, but the chalice of opportunity. (Richard Nixon, American President )命运给予我们的不是失望之酒，而是机会之杯。二〇二〇年八月五日2020年8月5 日星期三
访问控制---应用三重措施
1、操作员对不同产品、功能的控制 2、操作员对不同账号的控制 3、操作员对不同账号的授权级别控制
4、审计---客户操作记录
对用户每一个操作,
网上银行都做了详细 的LOG记载，方便用 户掌握资金汇划过程 中的相关操作信息
审计---客户操作记录
审计---系统日志记录
对客户每一笔交易的处理全过程,
身份管理 身份管理
通信保护 通信保护
认证 保密 授权 完整 不可否认
访问控制 访问控制
安全审计 安全审计
1、可靠的身份管理
• （1）普通口令---两次口令校验 网上银行登录口令、密钥保护口令
• （2）电子令牌---实体检测 口令保护、数据不可读出
• （3）数字证书---强身份认证 重新建设CA认证中心 三重校验，身份确认
网上银行3.0系统的安全策略
财务管理
路安全
公司业务部 网上银行处
主要内容
一、物理与环境安全
1、区域安全 2、设备安全 3、安全管理规章
区域安全
1、物理安全界限--专用电脑中心、密钥管理中心、网络控制中心
机房 2、物理进入控制---
保安、机房门禁 3、在安全区域内工作---
业务操作区与设备区隔离
信息
摘要
数字 签名
散列函数
私钥加密（签名）
数字 签名
摘要
公钥解密
信息 被确认
散列函数
比较两者 如一致
发送方
信息
摘要 接收方
网上银行中的数字签名-示例
3、访问控制---登录三重措施
1、USERID 唯一性，确保有效识 别操作员 2、USERID与口令、电子令牌的 耦合校验 3、USERID与CA电子证书的耦 合校验
USERID和密码—示例
电子令牌
USBKEY/IC卡
USBKEY/IC卡通过产生和识别网上电子交易
的数字签名（电子签名或电子图章），达到识别 交易者身份和验证交易数据真伪 的目的，保证网上交易的 不可否认性(Nonrepudiation)； 同时作为身份认证的强力工具。
口令---定期更换
口令---定期更换
中国银行 安全通道
网上银行系统
分行
防火墙
防火墙
防火墙 分行
动态入侵检测
总行网络监控中心--天阗入侵检测系统，严防黑 客入侵
三、系统安全
1、操作系统安全
中国银行网上银行采用了国际著 名厂商（IBM）的安全操作系统， 与国际一流商业银行的电子银行服 务看齐，足以保证网上银行的系统 安全。
2、系统访问控制
• 3、Patience is bitter, but its fruit is sweet. (Jean Jacques Rousseau , French thinker)忍耐是痛苦的，但它的果实是甜蜜的。11:038.5.202011:038.5.202011:0311:03:108.5.202011:038.5.2020
2、系统访问管理---IP地址识别、 硬件编码地址识别、系统访问时间控 制
四、应用安全
• 身份管理
– 身份证件分发 – 身份认证
• 通信保护
– 保密性 – 完整性 – 不可否认性
• 访问控制
– 授权
• 安全审计
– 历史追踪 – 缺陷分析
CA电子证书
为配合网上银行安全系统改造，我行重建CA 认证中心。新CA系统支持本地化的128位对称
加密算法，1024位证书签名，同时支持 Netscape和IE中英文版本。
电子证书载体采用经过国家密码主管机构认 可的USBKEY/IC卡，保障密钥和证书安全。
电子证书与身份证的比较
• •
颁发给：WANGJIAYE 序列号：10E7 D8F3 8078 ADEC
A私 钥
明文摘要
加密
摘要的密文
A公 钥
解密
SHA1 散列 算法 明文摘要◎
相等？
明文摘要
通信保护-数字签名
• 数字签名：数据完整性中发送方的操作 • 验证数字签名：接收方的操作
• 签名目的：信息是由签名者发送的； • 验签名目的：信息自签发后到收到的过程中，
没有被篡改、没有仿冒、不是重发性攻击；
通信保护-数字签名
银行系统都做了详细的LOG记录， 方便银行维护和审计人员掌握资金 汇划过程中的相关处理信息
权威结论
2001年2月，我行网上银行系统顺利通 过了全球四大咨询评估公司排名第二的德 勤公司的“互联网安全与控制审计” 。
我行成为国内同业首家通过安全审计评估 的商业银行
• 1、Genius only means hard-working all one's life. (Mendeleyer, Russian Chemist) 天才只意味着终身不懈的努力。20.8.58.5.202011:0311:03:10Aug-2011:03
设备安全
1、设备定位与保护--专用机架、口令保护
2、电力供应与电缆安全--UPS双路电源，互为备份
3、设备维护--购买硬件与软件厂商技术支持、专
业维护队伍
安全管理
1、人员管理
2、系统操作规范
3、机房与设备维护规 定
二、网络安全
防火墙与路由器
1000兆防火墙 NETSCREEN
客户
INTERNET
•
姓名：王家业
1100 0ED4 8BB2 EEBB签发者： • 编号：
C = CN，S = BEIJING， L =
452801197312061538
BEIJING， O = BANK OF CHINA， CN = INTERNET BANKING ，BANK
•
签发者：北京市公安局
OF CHINA
• ……
企业电子证书详细信息-示例
2、通信保护-保密性
K
K
明文
密文
明文
加密
解密
采用128位对称加密算法、SSL安全套接层协议，确保交易 数据的保密性
通信保护-保密性
采用1024位的RSA非对称加密算法，确保交易 数据的保密性
B公
B私
钥
钥
K
K的密文
K
加密
解密
通信保护-完整性
明文
Biblioteka BaiduSHA1
数字 摘要 算法
海淀分局
• 有效起始时间：2002年12月6日 • 有效终止时间：2005年12月6日 • Email：wangjy@bank-of-
china.com • 公钥：RSA (1024 bits)
• 发布时间：2000-04-05
• 有效期：10年
• 住址：北京市海淀区学院 南路9号
38ighwejb
• 2、Our destiny offers not only the cup of despair, but the chalice of opportunity. (Richard Nixon, American President )命运给予我们的不是失望之酒，而是机会之杯。二〇二〇年八月五日2020年8月5 日星期三
访问控制---应用三重措施
1、操作员对不同产品、功能的控制 2、操作员对不同账号的控制 3、操作员对不同账号的授权级别控制
4、审计---客户操作记录
对用户每一个操作,
网上银行都做了详细 的LOG记载，方便用 户掌握资金汇划过程 中的相关操作信息
审计---客户操作记录
审计---系统日志记录
对客户每一笔交易的处理全过程,
身份管理 身份管理
通信保护 通信保护
认证 保密 授权 完整 不可否认
访问控制 访问控制
安全审计 安全审计
1、可靠的身份管理
• （1）普通口令---两次口令校验 网上银行登录口令、密钥保护口令
• （2）电子令牌---实体检测 口令保护、数据不可读出
• （3）数字证书---强身份认证 重新建设CA认证中心 三重校验，身份确认
网上银行3.0系统的安全策略
财务管理
路安全
公司业务部 网上银行处
主要内容
一、物理与环境安全
1、区域安全 2、设备安全 3、安全管理规章
区域安全
1、物理安全界限--专用电脑中心、密钥管理中心、网络控制中心
机房 2、物理进入控制---
保安、机房门禁 3、在安全区域内工作---
业务操作区与设备区隔离
信息
摘要
数字 签名
散列函数
私钥加密（签名）
数字 签名
摘要
公钥解密
信息 被确认
散列函数
比较两者 如一致
发送方
信息
摘要 接收方
网上银行中的数字签名-示例
3、访问控制---登录三重措施
1、USERID 唯一性，确保有效识 别操作员 2、USERID与口令、电子令牌的 耦合校验 3、USERID与CA电子证书的耦 合校验
USERID和密码—示例
电子令牌
USBKEY/IC卡
USBKEY/IC卡通过产生和识别网上电子交易
的数字签名（电子签名或电子图章），达到识别 交易者身份和验证交易数据真伪 的目的，保证网上交易的 不可否认性(Nonrepudiation)； 同时作为身份认证的强力工具。
口令---定期更换
口令---定期更换
中国银行 安全通道
网上银行系统
分行
防火墙
防火墙
防火墙 分行
动态入侵检测
总行网络监控中心--天阗入侵检测系统，严防黑 客入侵
三、系统安全
1、操作系统安全
中国银行网上银行采用了国际著 名厂商（IBM）的安全操作系统， 与国际一流商业银行的电子银行服 务看齐，足以保证网上银行的系统 安全。
2、系统访问控制
• 3、Patience is bitter, but its fruit is sweet. (Jean Jacques Rousseau , French thinker)忍耐是痛苦的，但它的果实是甜蜜的。11:038.5.202011:038.5.202011:0311:03:108.5.202011:038.5.2020