手机银行网络安全方案的设计
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
基于VPN的方案如图2所示。这种方案中，当手机有
52
来自百度文库
中国金融电脑
2009·3
技术应用
网络
CA��� 服务器
证技术来保障互联网通信的安 全。
三、 两种方案的比较
应用服务器
移动网络 GPRS/CDMA
基于WAP的解决方案较之 VPN解决方案存在以下不足。
互联网 WAP�� 网关 外网防火墙
企业内网 其他服务器
(1)依赖运营商的WAP网 关。在安全方案中包含运营商的 WAP网关这一银行无法掌控的
图1 基于WIM的解决方案
因素，使得企业的统一安全管理 不甚完美。不仅如此，通信协议
业务需求要访问银行资源时，向银行VPN网关发出连接 请求，VPN网关在收到请求后，与手机建立IPSec SA， 手机将自己的证书信息发送给VPN网关；VPN网关在收 到手机证书后，通过证书服务器对用户证书信息进行确 认；如果认证通过，VPN网关便为该移动终端分配一个 内网IP，此时VPN连接建立成功；安全管理服务器在收 到登入用户信息以后，会通过用户手机号查询出用户所 分配的安全策略，然后将该安全策略应用到内网防火墙 上；当客户向银行某业务发起请求时，内网防火墙将检 查其合法性。 该方案中，依靠智能手机操作系统中的VPN客户端 来同VPN网关进行连接，利用IPSec的加密技术和CA认
被窃取，如果遗失的手机被他人非法使用，很容易造成 用户身份认证信息的泄漏。非法用户可以利用保存在手 机中的用户信息冒充他人登录其银行账户。
二、安全接入方案
1.基于WAP的解决方案
WIM(WAP Identity Module，WAP身份识别模块) 是WAP Forum定义的一个抗篡改的设备。它被用来执行 无线传输层和应用层的安全功能，还包括保存及处理用 户的ID和权限等所必需的功能。 WIM可解决移动网络安全方面的两个基本问题。 (1)在WAP网关和手机之间实行WTLS(Wireless Transport Layer Security，无线传输层安全协议)。 WTLS从某种意义上等同于今天互联网上的SSL协议，它 提供双方的验证和校验。WIM通过保存在智能卡中的加 解密算法来执行这些任务。 (2)通过数字证书签名来保障应用层的安全。 PKI(Public Key Infrastructure,公钥基础设施)提供了一 个高可信度的构架来发放和管理数字证书。
一、移动网络风险分析
在移动网络发展过程中，其网络一直受到安全问 题的困扰，再加上手机需要通过移动网络接入互联网， 这样移动网络和IP网络的双重安全威胁使得手机银行的 安全问题更加严重。这样的安全问题概括起来有两种风 险。 (1)通信链路的安全风险。由于手机通信是通过一个 开放的电子通信系统，黑客只要采用专用的全频扫描设 备，便可捕获移动通信信号。此外，当移动网络接入互 联网以后，黑客可以使用网络探针对数据包进行捕获和 分析。黑客截获通信数据后，他可以设法对接收到的数 据进行修改、删除，造成通信双方的损失。 (2)手机自身的安全风险。手机的遗失和被窃是导致 安全隐患的重要原因。手机体积小巧，特别容易遗失或
该方案的结构图如图1所示。在这种方案中，客户使 用带WIM功能的手机向CA服务器申请证书；CA服务器 审查用户申请，通过后给客户发证书；用户和WAP网关 使用证书和密钥建立安全的WTLS会话；然后WAP网关 和银行内部的应用服务器建立安全的SSL会话，从而实现 对信息机密性和数据完整性的需求。
2.基于VPN的解决方案
VPN网关
移动网络 GPRS/CDMA
应用服务器 企业内网
性，并能满足用户认证等需 求，选择基于VPN的解决 方案无疑是一种集方便、灵 活、标准等特性于一体的解 决方案。 FCC
互联网 外网防火墙 内网防火墙
其他服务器
安全管理服务器
图2 基于VPN的解决方案
栏目编辑：王晓军 wangxiaojun@fcc.com.cn
CA��� 服务器
受WAP协议限制，可扩展性小。 (2)WAP网关自身的安全隐患。数据在WAP网关处 将WTLS和SSL进行协议转换，因此在在一定时间内，数 据在WAP网关以明文形式存在，入侵者可能利用这一隐 患攻击WAP网关，从而获得未加密的信息。 (3)手机SIM卡需要有WIM模块。这一额外的需求使 得方案的可用性大打折扣。 相比之下，基于IPSec VPN的解决方案没有以上限 制。该方案不需要运营商的WAP网关支持；常见的智能 手机，其操作系统自带VPN程序；普通手机也可以通过 SIM卡或SD卡扩展的方式，将VPN程序集成到手机里。 要实现可信的手机银行 移动网络信息安全，必须全 面保障通信的机密性、完整
FINANCIAL COMPUTER OF CHINA 2009·3
53
技术应用
网络
手机银行网络安全方案的设计
中国农业银行股份有限公司数据中心 邹进
随着通信技术的发展和智能手机普及率的提高， 人 们对在 “任何时间” 、 “任何地点” 、 “任何通信设备” 都能 获得银行所提 供的金融服务的需 求也 逐渐升温。在终 端设备上，各种智能手机的操作系统平台(如Windows Mobile、Palm、Symbian等)都具备了同电脑相当的网 络接入能力。同时，公共移动网络GPRS/CDMA覆盖面 广，接入成本也在不断降低。这些硬件条件为手机银行 的发展提供了良好的土壤。然而，在设计移动网络信息 交换系统时，不但要考虑到有线网络的各种安全问题， 同时又应该注意到移动网络特有的安全威胁。因此，建 立一个可信的移动网络信息安全交换系统是设计移动网 络信息交换系统的重中之重。
52
来自百度文库
中国金融电脑
2009·3
技术应用
网络
CA��� 服务器
证技术来保障互联网通信的安 全。
三、 两种方案的比较
应用服务器
移动网络 GPRS/CDMA
基于WAP的解决方案较之 VPN解决方案存在以下不足。
互联网 WAP�� 网关 外网防火墙
企业内网 其他服务器
(1)依赖运营商的WAP网 关。在安全方案中包含运营商的 WAP网关这一银行无法掌控的
图1 基于WIM的解决方案
因素，使得企业的统一安全管理 不甚完美。不仅如此，通信协议
业务需求要访问银行资源时，向银行VPN网关发出连接 请求，VPN网关在收到请求后，与手机建立IPSec SA， 手机将自己的证书信息发送给VPN网关；VPN网关在收 到手机证书后，通过证书服务器对用户证书信息进行确 认；如果认证通过，VPN网关便为该移动终端分配一个 内网IP，此时VPN连接建立成功；安全管理服务器在收 到登入用户信息以后，会通过用户手机号查询出用户所 分配的安全策略，然后将该安全策略应用到内网防火墙 上；当客户向银行某业务发起请求时，内网防火墙将检 查其合法性。 该方案中，依靠智能手机操作系统中的VPN客户端 来同VPN网关进行连接，利用IPSec的加密技术和CA认
被窃取，如果遗失的手机被他人非法使用，很容易造成 用户身份认证信息的泄漏。非法用户可以利用保存在手 机中的用户信息冒充他人登录其银行账户。
二、安全接入方案
1.基于WAP的解决方案
WIM(WAP Identity Module，WAP身份识别模块) 是WAP Forum定义的一个抗篡改的设备。它被用来执行 无线传输层和应用层的安全功能，还包括保存及处理用 户的ID和权限等所必需的功能。 WIM可解决移动网络安全方面的两个基本问题。 (1)在WAP网关和手机之间实行WTLS(Wireless Transport Layer Security，无线传输层安全协议)。 WTLS从某种意义上等同于今天互联网上的SSL协议，它 提供双方的验证和校验。WIM通过保存在智能卡中的加 解密算法来执行这些任务。 (2)通过数字证书签名来保障应用层的安全。 PKI(Public Key Infrastructure,公钥基础设施)提供了一 个高可信度的构架来发放和管理数字证书。
一、移动网络风险分析
在移动网络发展过程中，其网络一直受到安全问 题的困扰，再加上手机需要通过移动网络接入互联网， 这样移动网络和IP网络的双重安全威胁使得手机银行的 安全问题更加严重。这样的安全问题概括起来有两种风 险。 (1)通信链路的安全风险。由于手机通信是通过一个 开放的电子通信系统，黑客只要采用专用的全频扫描设 备，便可捕获移动通信信号。此外，当移动网络接入互 联网以后，黑客可以使用网络探针对数据包进行捕获和 分析。黑客截获通信数据后，他可以设法对接收到的数 据进行修改、删除，造成通信双方的损失。 (2)手机自身的安全风险。手机的遗失和被窃是导致 安全隐患的重要原因。手机体积小巧，特别容易遗失或
该方案的结构图如图1所示。在这种方案中，客户使 用带WIM功能的手机向CA服务器申请证书；CA服务器 审查用户申请，通过后给客户发证书；用户和WAP网关 使用证书和密钥建立安全的WTLS会话；然后WAP网关 和银行内部的应用服务器建立安全的SSL会话，从而实现 对信息机密性和数据完整性的需求。
2.基于VPN的解决方案
VPN网关
移动网络 GPRS/CDMA
应用服务器 企业内网
性，并能满足用户认证等需 求，选择基于VPN的解决 方案无疑是一种集方便、灵 活、标准等特性于一体的解 决方案。 FCC
互联网 外网防火墙 内网防火墙
其他服务器
安全管理服务器
图2 基于VPN的解决方案
栏目编辑：王晓军 wangxiaojun@fcc.com.cn
CA��� 服务器
受WAP协议限制，可扩展性小。 (2)WAP网关自身的安全隐患。数据在WAP网关处 将WTLS和SSL进行协议转换，因此在在一定时间内，数 据在WAP网关以明文形式存在，入侵者可能利用这一隐 患攻击WAP网关，从而获得未加密的信息。 (3)手机SIM卡需要有WIM模块。这一额外的需求使 得方案的可用性大打折扣。 相比之下，基于IPSec VPN的解决方案没有以上限 制。该方案不需要运营商的WAP网关支持；常见的智能 手机，其操作系统自带VPN程序；普通手机也可以通过 SIM卡或SD卡扩展的方式，将VPN程序集成到手机里。 要实现可信的手机银行 移动网络信息安全，必须全 面保障通信的机密性、完整
FINANCIAL COMPUTER OF CHINA 2009·3
53
技术应用
网络
手机银行网络安全方案的设计
中国农业银行股份有限公司数据中心 邹进
随着通信技术的发展和智能手机普及率的提高， 人 们对在 “任何时间” 、 “任何地点” 、 “任何通信设备” 都能 获得银行所提 供的金融服务的需 求也 逐渐升温。在终 端设备上，各种智能手机的操作系统平台(如Windows Mobile、Palm、Symbian等)都具备了同电脑相当的网 络接入能力。同时，公共移动网络GPRS/CDMA覆盖面 广，接入成本也在不断降低。这些硬件条件为手机银行 的发展提供了良好的土壤。然而，在设计移动网络信息 交换系统时，不但要考虑到有线网络的各种安全问题， 同时又应该注意到移动网络特有的安全威胁。因此，建 立一个可信的移动网络信息安全交换系统是设计移动网 络信息交换系统的重中之重。