WEB网站系统安全解决专题方案.docVIP

网站系统安全需求分析 本文从数据安全和业务逻辑安全两个角度对应用系统安全进行需求分析，关键包含保密性需求、完整性需求、可用性需求三部分；随即对业务逻辑安全需求进行了分析，包含身份认证、访问控制、交易反复提交控制、异步交易处理、交易数据不可否认性、监控和审计等多个方面；最终还分析了系统中部分其它安全需求。 2.1 数据安全需求 2.1.1 数据保密性需求 数据保密性要求数据只能由授权实体存取和识别，预防非授权泄露。从现在中国应用安全案例统计数据来看，数据保密性是最易受到攻击一个方面，通常表现为用户端发生数据泄密，包含用户基础信息、账户信息、登录信息等泄露。在应用系统中，数据保密性需求通常关键表现在以下多个方面： A．用户端和系统交互时输入各类密码：包含系统登录密码、转账密码、凭证查询密码、凭证交易密码等必需加密传输及存放，这些密码在应用系统中只能以密文方法存在，其明文形式能且只能由其正当主体能够识别。 以网银系统为例，在网银系统中，通常存有四种密码：系统登录密码、网银转账密码、柜面交易密码及一次性密码。系统登录密码用来认证目前登录者为指定登录名正当用户，网银用户登录密码和网银转账密码由用户在柜面开户时指定，用户在首次登录网银系统时，系统必需强制用户修改初始密码，通常要求长度不得少于六位数，且不能是类似于111111、1234567、9876543等简单数字序列，系统将进行检验。