【方案】恒生银证转帐系统安全解决方案.docxVIP

恒生银证转帐体系数据加密及体系安全解决方案 银证转帐体系在近一年来异军突起，敏捷在全国范围内大面积地推广应用， 并且取得很多的银行、券商和广阔股民的火热支撑和支撑。可是，因为银证转帐体系是经过广域网来进行互连的，因而，怎么防备来自广域网上的歹意进犯便成为银证转帐体系的头等大事，也是银行、券商在展开银证转帐事务时最为担忧和担忧之事。 正是在此种局势下，恒生公司投入了很多的研制力气，历时两个月，推出了恒生银证转帐体系规范版，为各家银行、券商供给了一整套的体系安全解决方案。 一、体系特色 恒生银证转帐体系在体系安全方面，采纳了一系列加密办法和施行一整套的密钥办理体系，其特色如下： 选用了现在国际上规范的DES加密算法，DES算法自诞生以来，便得到了广泛应用，成为数据加密的工业规范，并被美国国家规范学会和美国银行协会用来维护通讯体系的现金和证券传送。 根据暗码学上三级加密体系原理，对密钥施行分级、涣散办理，进步体系的抗进犯才干。因为 DES算法是一种揭露加密算法，也就是说，除非在得到密钥的状况下，进犯者是无法破译密文的，因而，窃得密钥便成为进犯者的必经之途。因为恒生银证转帐体系对密钥施行分级、涣散办理，即便进犯者在窃得某些密钥的状况下仍无法对体系构成损伤，无法完成进犯的意图，然后大大进步了体系的抗进犯才干。 对买卖数据包进行MAC校验，防止进犯者上送虚伪数据包对体系形成损坏，进步了体系的抗进犯才干，确保银证两边资金安全。 对整个买卖数据包进行加密，完成了买卖数据的彻底密封。进犯者的榜首步往往是从侦听网上数据开端的，在对很多数据剖析后，然后施行进犯，因为恒生银证转帐体系对数据包进行加密，从根本上杜绝了进犯者剖析通讯数据的可能性，维护体系免遭进犯，不给进犯者待机而动。 层层防备，在一笔转帐买卖的过程中，信息交流的每一步均进行PIN加密和MAC校验。 体系安全剖析 按进犯者作案手法，可把进犯者分为登录型进犯者和监听型进犯者。 登录型进犯者作案方式：作案分子在窃得被进犯核算机上必定用户的口令后，用telnet, ftp, rlogin等一类长途登录软件进入这台核算机体系，然后进行损坏行为。 监听型进犯者作案方式：作案分子经过某些专用设备接入广域网，长时间监听网络数据，在把握很多数据后，假造买卖数据包，上送被进犯核算机，然后到达作案意图。此类进犯者水平很高，其作案手法也极端荫蔽，并且案子发生后，基本上无从清查作案分子，所幸的是，现在国内尚无此类案子发生。 对登录型进犯者的防备 恒生银证转帐体系由银行端前置机、证券端前置机经过广域网相连，构成银行网络、证券网络的前置网，其间，证券端前置机以DOS为操作体系，银行端前置机以UNIX为操作体系。 因为DOS是一种单进程体系，进犯者是无法登录证券端前置机的，这无形中对证券网络起到了维护效果；而银行端前置机因为是UNIX体系，并且若一家银行与多家证券相连，其IP地址必为多家券商所知，因而有必要采纳办法防止进犯者登录体系。 要防止进犯者登录体系，可采纳的办法： 采纳紧密的办理制度，谨防用户的口令的丢掉，进犯者必定想方设法得到用户口令，以便进入体系，进行损坏，因而用户口令是防止进犯者登录的榜首道防地。但因为现在INTERNET网上有许多破解用户口令的程序，仅靠办理人员保管好用户口令是不行的。 封闭UNIX上用于长途登录的服务端口，因为进犯者登录长途体系，有必要借助于UNIX机上的服务端口才干登录长途体系，封闭了此类端口，就断绝了进犯者登录的来历。可是银行因为某些事务上的需求，某些端口是不能封闭的，因而此办法也有其局限性。 购买路由器，经过路由器上的设置，过滤数据包，到达防止进犯者登录的妄图，有条件的还能够考虑购买防火墙产品。 对监听型进犯者的防备 尽管，现在国内尚无监听型进犯者的事例，可是，应该注意到因为INTERNET的蓬勃发展，国内使用核算机违法的水平越来越高，咱们不能不对此类进犯者进行防备，因为此类进犯者的作案手法是假造虚伪买卖数据包，因而，依托办理用户口令，封闭服务端口，或经过路由器、防火墙产品过滤数据包，都不能对其进行有用防备。 但从另一个方面来看，对此类进犯者能否进行有用防备，是查验一套软件产品是否安全可靠的重要规范。 对监听型进犯者进行防备首要采纳两种手法：对买卖数据悉数加密，防止进犯者监听；运用某项技能来判别买卖数据包的真伪。恒生银证转帐体系正是在这两个方面对进犯者进行防备的： 对整个数据包进行加密，完成了买卖数据的彻底密封，防止进犯者侦听网上数据包，不给进犯者剖析数据的时机。 选用信息授权码技能，在数据包增加MAC字段，用于判别买卖数据包的真伪，进步体系的抗进犯才干。 体系安全体系 因为恒生银证转帐体系选用了DES加密算法，DES算法是一种揭露加密算法，其安全性彻底依赖于密钥的保密性，从另一