《网上银行安全系统框架》.pptVIP

北京远东网络安全研究院中科院信息安全国家重点实验室 内容提要 信息安全国家重点实验室介绍 网络安全技术 密码基础 PKI和X.509 SSL 网上银行安全系统 安全需求和建设目标 安全系统框架 安全系统解决方案 特点和优势 信息安全国家重点实验室介绍 信息安全领域内的唯一国家级重点实验室 国家商用密码管理委员会指定的四家定点研制机构之一 承接了包括863和973在内的众多国家重点支持的课题研究，并获得多个国家级奖项 拥有知名的密码学专家和大量专业技术人员 研究领域包括： 密码学算法和协议 加密芯片和加密卡/加密机 PKI构架和CA认证系统 安全传输系统和VPN 防火墙和入侵检测系统 动态口令认证系统 国家级网络应急响应中心 安全信息系统 国际标准ISO 7498-2和国标GB/T9387.2ZHONG中提出了一个关于网络信息系统的安全框架的参考模型，应该包含如下安全机制： 认证（Authentication）证明通信双方的身份与其声明的一致 访问控制（Access Control）对不同的信息和用户设定不同的权限，保证只允许授权的用户访问授权的资源 数据保密（Data Confidentiality）保证通信内容不被他人捕获，不会有敏感的信息泄露 数据完整性（Data Integrity）保证信息在传输过程中不会被他人篡改 抗否认（Non-repudiation）证明一条信息已经被发送和接收，发送和接收方都有能力证明接收和发送的操作确实发生了，并能够确定对方的身份 可审计 安全信息系统的三个层次 密码算法和技术 安全协议 身份认证协议 密钥管理协议 安全通信协议 电子商务协议 安全应用系统 密码算法 流密码算法 分组密码算法 对称密码算法 DES AES 非对称密码算法（公钥密码算法） RSA 椭圆曲线密码算法 数字文摘算法 对称密码算法 数据加密和解密使用相同的密钥，通信双方必须掌握相同的密钥，此密钥必须保密，不能公开。 对称密码算法 常见的对称密码算法 DES AES 优点 安全性好 数据处理效率高 缺点 密钥交换的方式是个难题 非对称密码算法 加密和解密所使用的密钥不同 “互补”的公钥和私钥 同时产生 一一对应 不可推算 用途不同 非对称密码算法 常见的公钥密码算法 RSA 优点 安全性好 解决了密钥交换的难题 缺点 实现代价高 运算效率低 数字文摘算法 单向性变换函数 雪崩特性 主要用途 进行完整性校验 用于数字签名 主要的数字文摘算法 MD5、SHA-1 数字签名 抗否认特性 先签名后加密的原则 数字签名的使用方式 常见的签名算法 RSA、ElGamal 、DSS/DSA 公钥基础设施PKI 证书认证中心CA，管理和维护证书和CRL 证书注册中心RA，实现证书与证书申请者身份属性之间的关系绑定 证书持有者，持有自身的证书并且使用数字签名 客户，通过信任的CA的证书（公钥）来验证他人（例如证书持有者）的数字签名和证书。 存储机构，存储和发布证书和CRL 公钥基础设施PKI X.509标准 国际电信联盟制定的证书标准，PKI的关键组成部分 规定了数字证书的格式和内容 规定了证书作废表CRL的格式和内容 不同CA系统互操作性的前提保证 X.509标准 证书的内容包括： 证书所遵循的协议版本号 证书序列号 签名算法标识 签发证书的CA名称 证书有效期 证书持有人的名称 公钥算法标识 公钥 扩展选项（证书中的公钥用途等可选项） CA的签名 X.509标准 CRL的内容包括： 所遵循的协议版本号 签名算法标识 发布CRL的CA名称 本次CRL更新时间 作废证书的序列号和作废时间列表 CA的签名 安全套接层协议SSL Netscape公司针对Internet环境的提出的安全通信协议 由SSL握手协议和SSL记录协议组成 综合使用了公钥密码技术和对称加密技术 属于传输层协议范畴，对上层应用透明 广泛应用于各种网络通信系统，成为事实上的业界标准 安全套接层协议SSL 安全套接层协议SSL SSL安全通道的特性 信道是经过认证的 信道是保密的 信道是可靠的 网上银行系统现状 业务类型 个人储蓄业务 对私中间业务 安全构架 没有全面的认证系统，WEB服务器自签证书 HTTPS安全通道，128比特密钥强度 没有业务签名机制 网上银行系统现状 优点 系统结构简单，易维护 客户操作简单 缺点 无法提供客户的对等身份认证机制 无法提供关键业务的签名机制 很难嵌入先进可靠的加密算法 网上银行系统的建设目标 建立一个基于公钥基础设施PKI的安全应用系统，系统的主要功能包括： 建立一个CA证书认证系统，为网上银行系统中的主体签发X.509证书 每个客户都拥有自己的证书和私钥，并且可以与服务器之间通过双向的