- 1、本文档共39页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
查看更多
精品资料/word可编辑
精品资料/word可编辑
PAGE / NUMPAGES
精品资料/word可编辑
HYPERLINK
KOAL Software 安全白皮书
格尔网上银行安全方案
版本:2.0
版本:2.0
日期:1999/12/21
上海格尔软件有限公司
格尔网上银行安全方案
目录
TOC \o 1-31 概述 1
2 网上银行安全需求分析 2
2.1 网上银行的业务安全分析 2
2.1.1 公共信息发布 2
2.1.2 网上帐户查询 6
2.1.3 网上支付和转账 9
3 格尔网上银行解决方案 12
1.1 高加密位数SSL代理 12
3.1.1 SSL 介绍 12
3.1.2 SSL工作流程 12
3.1.3 SSL代理的工作原理 14
3.1.4 SSL代理的特性 16
3.2 格尔PKI加密模块 17
3.2.1 加密模块 17
3.2.2 格尔PKI加密模块 17
3.3 格尔证书认证系统 20
3.3.1 证书认证系统 20
3.3.2 工作流程 21
4 格尔网上银行解决方案特性分析 24
附录 25
参考站点 25
名词术语 25
单钥密码体制和公钥密码体制 25
数字签名和数字信封 26
数字证书 27
概述
从第一家网络银行(Internet Bank)——Security First Network Bank(SFNB)1995年10月在网络上开业至今四年多。开业后的短短几个月,即有近千万人次上网浏览,给金融界带来极大震撼。于是更有若干银行立即紧跟其后在网络上开设银行,随即此风潮逐渐蔓延全世界,网络银行走进了人们的生活。
由于Internet无所不在,客户只要拥有帐号和密码便能在世界各地与Internet联网,处理个人交易。这不仅方便客户,银行本身也可因此加强与客户的亲和性。随着金融环境竞争加剧,银行不得不重新审视自身的服务方式。在我国,已经有许多商业银行纷纷推出了网上银行服务。
网上银行系统在蕴藏着无限商机的同时,也带来了风险,对于开设网上银行服务的提供者来说,当务之急就是要解决安全问题。为此,上海格尔软件公司在本文中介绍了一种网上银行系统安全方案。
在本文中所指的网上银行,包括了个人银行和企业银行两个概念,个人银行是指通过网络为个人银行业务提供服务,企业银行则是指通过网络为企业用户提供服务。两者相比,个人银行业务应该具有较简便的操作界面,而企业银行更注重整个环节的安全性。
从广义来讲,安全的概念可以包括数据安全,系统安全和信息安全三个方面,数据安全是指通过采用系统备份,磁盘镜像等安全手段以防止数据丢失;系统安全是指通过系统加固,边界防御,入侵检测等手段以防止黑客攻击系统破坏数据;而信息安全则主要是指通过加密技术防止信息和数据在公开网络传输上被窃听、篡改和顶替。信息安全包括四个功能:数据保密,身份认证,数据完整性和防止抵赖。本文并没有涉及到有关数据安全方面的概念,对系统安全作了一定的介绍,而对信息安全技术的实施则作了比较详细的方案设计。
本方案是基于上海格尔软件公司电子商务部开发的以下三个安全软件产品:PKI加密模块,SSL代理和Enterprise CA。这三个产品为解决网上银行系统中数据加密,身份认证,数据完整性和防止抵赖等信息安全问题提供了完整的解决方案。
网上银行安全需求分析
网上银行的业务安全分析
从功能划分,网上银行的业务可分为三类:
公共信息发布
公共信息发布用于介绍网上银行的业务范围流程,金融公共信息等。这类业务由于面向公众发布,不需要保证信息只能被特定团体或个人访问,需要的是保护信息不会被非法篡改。目前在Internet上比较多的黑客事件都是篡改公共Web站点的内容,制造虚假信息或涂改页面。如美国NASA和国防部站点被“黑”事件就是这类事件。对于银行来说,公共金融信息虽然是公开的,但是如果被篡改某些敏感数据,如银行利率等,很可能会造成不必要的麻烦,对银行的名誉也会造成不利的影响。因此,对这些内容的保护也是不能够忽视的。
Web站点内容被黑客篡改,是这些黑客通过主动攻击实现的。例如,黑客通过密码字典猜测信息系统的特权口令,在获得特权口令之后,登录进入系统,篡改发布内容,制造不良影响。对于这种情况,我们可以通过改进系统配置、增
文档评论(0)