DID動(dòng)態(tài)口令卡在銀行安全網(wǎng)絡(luò)系統(tǒng)中的應(yīng)用

一、銀行網(wǎng)絡(luò)安全建設(shè)的意義
　　銀行金融網(wǎng)絡(luò)系統(tǒng)是以總行為中心，覆蓋各個(gè)支行和多個(gè)營(yíng)業(yè)網(wǎng)點(diǎn)的網(wǎng)絡(luò)系統(tǒng)。從金融系統(tǒng)的特殊性來(lái)看，銀行網(wǎng)絡(luò)系統(tǒng)對(duì)的安全性有著很高的要求，如果對(duì)網(wǎng)絡(luò)的安全問(wèn)題考慮不周，將可能直接影響整個(gè)網(wǎng)絡(luò)的正常運(yùn)行，造成網(wǎng)絡(luò)泄密、延誤，同時(shí)，可能影響到社會(huì)的穩(wěn)定，甚至危害金融秩序。因此，有必要對(duì)網(wǎng)絡(luò)的安全進(jìn)行全方位、多角度的設(shè)計(jì)。
二、網(wǎng)絡(luò)安全需求分析
　　出于銀行金融系統(tǒng)特殊職能的要求，以及客戶終端登錄和電話委托交易的需求，銀行安全系統(tǒng)網(wǎng)絡(luò)必須在嚴(yán)格受控的模式下運(yùn)行，這就提出網(wǎng)絡(luò)安全性的需求：將任何對(duì)安全系統(tǒng)網(wǎng)絡(luò)構(gòu)成威脅的因素和行為拒于合法訪問(wèn)網(wǎng)絡(luò)資源之外，并同時(shí)保證終端遠(yuǎn)程登錄的實(shí)時(shí)性和準(zhǔn)確性。現(xiàn)有金融系統(tǒng)的網(wǎng)絡(luò)中普遍存在著如下安全問(wèn)題：
　　1)由于在終端登錄以及信息傳輸?shù)炔僮鞯倪^(guò)程中使用的是靜態(tài)口令字，很容易被非法分子竊取口令字；
　　2)在鏈路層，由于采用公用信道（DDN、X.25），使得傳輸信道本身存在安全隱患。非法入侵者可以通過(guò)搭線，偵聽(tīng)等方式，很容易地竊取到網(wǎng)絡(luò)中的信息；
　　3)目前被廣泛采用的開(kāi)放性的網(wǎng)絡(luò)互聯(lián)協(xié)議——TCP/IP協(xié)議，使非法入侵者很容易進(jìn)行協(xié)議的分析、篡改和假冒。
　　以上是銀行系統(tǒng)網(wǎng)絡(luò)中存在的較為突出的幾個(gè)安全問(wèn)題。實(shí)際上，網(wǎng)絡(luò)所面臨的安全問(wèn)題遠(yuǎn)遠(yuǎn)不止以上三種，因此，有必要對(duì)現(xiàn)有網(wǎng)絡(luò)安全進(jìn)行全方面的考慮和設(shè)計(jì)，加入必要的技術(shù)手段，消除以上的安全隱患。為了解決網(wǎng)絡(luò)的安全保密性問(wèn)題，最有效和可靠的辦法是采用口令保護(hù)措施。本方案就此有針對(duì)性的提出了采用本公司開(kāi)發(fā)研制的SDK－01身份認(rèn)證系統(tǒng)，對(duì)銀行的靜態(tài)口令登錄系統(tǒng)進(jìn)行改造，解決了靜態(tài)口令字容易泄密的安全隱患。
　　三、動(dòng)態(tài)身份認(rèn)證技術(shù)
　　身份認(rèn)證技術(shù)發(fā)展到今天已經(jīng)成為網(wǎng)絡(luò)信息系統(tǒng)中比不可少的一部分，扮演著網(wǎng)絡(luò)系統(tǒng)看門(mén)人的角色。強(qiáng)有力的身份認(rèn)證技術(shù)能夠在網(wǎng)絡(luò)和信息資源周?chē)鷺?gòu)筑一個(gè)安全屏障，確保只有授權(quán)用戶才能進(jìn)入。但目前各網(wǎng)絡(luò)系統(tǒng)對(duì)用戶身份認(rèn)證的核心是靜態(tài)的用戶口令，這種機(jī)制雖然能夠?yàn)橄到y(tǒng)提供一定的安全保護(hù)，但也存在如下缺陷：（1）為了便于記憶，大多數(shù)網(wǎng)絡(luò)用戶選擇常用詞作口令，因此很容易被猜到；（2）一個(gè)口令多次使用，容易造成泄露和被黑客或心懷叵測(cè)的人猜測(cè)到；（3）黑客可從網(wǎng)上截獲口令；（4）口令自動(dòng)破譯工具使猜測(cè)口令的時(shí)間大大縮短，甚至克服了口令加密的問(wèn)題。
　　動(dòng)態(tài)身份認(rèn)證技術(shù)即利用動(dòng)態(tài)身份認(rèn)證技術(shù)實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)用戶的身份鑒別，動(dòng)態(tài)身份認(rèn)證系統(tǒng)由DID動(dòng)態(tài)口令卡提供隨機(jī)的、每分鐘一變的一次性口令，確保只有授權(quán)用戶才能訪問(wèn)網(wǎng)絡(luò)資源，而非授權(quán)用戶通過(guò)非法途徑所取得的口令字無(wú)效。
　　SDK－01認(rèn)證系統(tǒng)是由中科院DCS中心和福建凱特信息安全技術(shù)有限公司在國(guó)家密碼管理委員會(huì)辦公室的指導(dǎo)下聯(lián)合研制成功的基于DID（動(dòng)態(tài)口令）技術(shù)的身份認(rèn)證系統(tǒng)。它提供強(qiáng)有力的身份認(rèn)證服務(wù)，達(dá)到保護(hù)客戶的網(wǎng)絡(luò)和信息資源安全的目的。SDK－01認(rèn)證系統(tǒng)完全兼容目前認(rèn)證服務(wù)器的國(guó)際標(biāo)準(zhǔn)RADIUS（遠(yuǎn)程撥號(hào)用戶身份認(rèn)證服務(wù)）協(xié)議，可以容易地集成到客戶現(xiàn)有的計(jì)算機(jī)主機(jī)和各種類(lèi)型的網(wǎng)絡(luò)計(jì)算機(jī)系統(tǒng)中，包括公共交換網(wǎng)、局域網(wǎng)、廣域網(wǎng)、Internet和Intranet，從而最大程度地避免對(duì)現(xiàn)有系統(tǒng)的重復(fù)開(kāi)發(fā)。
　　SDK－01認(rèn)證系統(tǒng)由認(rèn)證服務(wù)器、后備服務(wù)器、管理工作站、DID卡、認(rèn)證服務(wù)接口函數(shù)（API）組成。
　　四、銀行安全方案介紹
　　1.安全方案的設(shè)計(jì)思路
　　銀行安全網(wǎng)絡(luò)需求的主要方面如下：
　?。蛻艚K端登錄：要求充分利用銀行網(wǎng)絡(luò)系統(tǒng)中的各個(gè)終端，根據(jù)相應(yīng)權(quán)限來(lái)允許授權(quán)用戶進(jìn)行登錄訪問(wèn)金融網(wǎng)絡(luò)資源和進(jìn)行相關(guān)業(yè)務(wù)操作，并采用安全措施屏蔽非法登錄。
　?。娫捨薪灰祝豪勉y行網(wǎng)絡(luò)PSTN網(wǎng)以及普通城鄉(xiāng)電話網(wǎng)進(jìn)行遠(yuǎn)程委托交易。為防止非法搭線偵聽(tīng)，在身份認(rèn)證過(guò)程中需用動(dòng)態(tài)口令來(lái)取代一成不變的靜態(tài)口令。
　　基于以上需求，我們安全方案的設(shè)計(jì)思路可以概括為：對(duì)授權(quán)用戶的動(dòng)態(tài)身份認(rèn)證。
　　訪問(wèn)金融網(wǎng)絡(luò)資源和進(jìn)行相關(guān)業(yè)務(wù)操作是銀行網(wǎng)絡(luò)系統(tǒng)的基本功能之一，為了確保只有合法的授權(quán)用戶才能訪問(wèn)網(wǎng)絡(luò)資源和進(jìn)行業(yè)務(wù)操作，我們對(duì)客戶終端登錄及電話委托交易網(wǎng)絡(luò)集成了SDK－01動(dòng)態(tài)口令身份認(rèn)證系統(tǒng)。該系統(tǒng)包括一個(gè)安全網(wǎng)關(guān)（防火墻）、DID認(rèn)證服務(wù)器、管理工作站和分發(fā)給網(wǎng)絡(luò)用戶的DID卡。它運(yùn)用具有世界領(lǐng)先水平的DID身份認(rèn)證技術(shù)對(duì)用戶進(jìn)行身份認(rèn)證和鑒別，在不影響原網(wǎng)絡(luò)系統(tǒng)效率、可靠性的前提下，使銀行與各支行、營(yíng)業(yè)所網(wǎng)點(diǎn)之間形成一個(gè)安全的金融網(wǎng)絡(luò)體系，消除了原先存在的不安全隱患。
　　這樣，一方面合法的授權(quán)用戶可以通過(guò)DID動(dòng)態(tài)口令卡從總行內(nèi)部網(wǎng)終端登錄，或是從支行以及各個(gè)營(yíng)業(yè)網(wǎng)點(diǎn)通過(guò)專(zhuān)線的方式登錄，在經(jīng)過(guò)掛在網(wǎng)絡(luò)上的SDK－01認(rèn)證服務(wù)器進(jìn)行身份認(rèn)證之后，便可登錄進(jìn)入銀行網(wǎng)絡(luò)系統(tǒng)進(jìn)行相應(yīng)的操作；另一方面，遠(yuǎn)程用戶也可以使用DID動(dòng)態(tài)口令卡通過(guò)普通城鄉(xiāng)電話網(wǎng)登錄到銀行的遠(yuǎn)程撥號(hào)訪問(wèn)服務(wù)器，近而通過(guò)SDK－01認(rèn)證服務(wù)器的身份認(rèn)證，確定其為合法授權(quán)用戶后，才允許其進(jìn)行電話委托交易。在身份認(rèn)證的過(guò)程中，用戶和銀行方面不必?fù)?dān)憂因登錄認(rèn)證時(shí)間跨度過(guò)大而造成口令失竊，引起金融秩序的紛亂。
　　相關(guān)安全網(wǎng)絡(luò)的具體配置請(qǐng)參閱“銀行安全計(jì)算機(jī)網(wǎng)絡(luò)結(jié)構(gòu)圖”。
　　2.銀行安全網(wǎng)絡(luò)示意圖
圖1　　銀行安全網(wǎng)絡(luò)結(jié)構(gòu)圖
　　3.安全性能分析
　　網(wǎng)絡(luò)的信息安全應(yīng)該從兩方面入手，一是應(yīng)該具有正確的信息安全意識(shí)、詳細(xì)周全的安全策略、嚴(yán)格的安全保密制度；二是具有良好的安全保密解決方案，以及優(yōu)良、可靠的安全加密設(shè)備。本方案采用動(dòng)態(tài)口令認(rèn)證的網(wǎng)絡(luò)安全技術(shù)，系統(tǒng)投入運(yùn)行后，將具有以下功能：
　　(1)杜絕假冒合法授權(quán)用戶
　　由于系統(tǒng)采用SDK－01動(dòng)態(tài)身份認(rèn)證技術(shù)，避免因采用靜態(tài)口令而帶來(lái)的種種弊端，確保了只有合法用戶才能訪問(wèn)網(wǎng)絡(luò)資源，從而擴(kuò)大和增強(qiáng)了銀行網(wǎng)絡(luò)的各項(xiàng)功能，免除后顧之憂。
　　(2)免除惡意破壞
　　由于非法入侵者無(wú)法在相當(dāng)短的動(dòng)態(tài)口令有效期內(nèi)破譯或竊取口令，即使獲得了單次登錄口令也無(wú)法延用至下次，所以他們不能從事上述的網(wǎng)絡(luò)破壞活動(dòng)，也就不能利用網(wǎng)絡(luò)協(xié)議自身的“后門(mén)”進(jìn)入網(wǎng)絡(luò)，這樣，也就不可能給他們機(jī)會(huì)進(jìn)行破壞活動(dòng)。
　　五、DK－01身份認(rèn)證系統(tǒng)的使用說(shuō)明
　　SDK－01動(dòng)態(tài)身份認(rèn)證系統(tǒng)是由SDK－01認(rèn)證服務(wù)器和DID動(dòng)態(tài)口令卡兩部分組成,兩者動(dòng)態(tài)口令的生成是基于時(shí)間同步。在本方案中,可將　SDK－01認(rèn)證服務(wù)器掛在中心行的一級(jí)網(wǎng)絡(luò)上,所有訪問(wèn)該網(wǎng)絡(luò)的請(qǐng)求都要經(jīng)過(guò)認(rèn)證服務(wù)器的認(rèn)證,只有授權(quán)用戶才能被允許進(jìn)行訪問(wèn)。
　　DID動(dòng)態(tài)口令卡經(jīng)過(guò)管理工作站進(jìn)行初始化后,分發(fā)至用戶手中,用戶進(jìn)行終端登錄或電話委托交易時(shí),首先打開(kāi)終端登錄窗口,輸入DID卡的編號(hào)或用戶姓名,此時(shí),終端通過(guò)調(diào)用認(rèn)證服務(wù)接口函數(shù)（API）來(lái)請(qǐng)求掛在銀行網(wǎng)絡(luò)中心的SDK－01認(rèn)證服務(wù)器提供認(rèn)證服務(wù)，認(rèn)證服務(wù)器接收用戶信息后，根據(jù)系統(tǒng)信息庫(kù)中的相應(yīng)用戶信息計(jì)算出用戶當(dāng)前的八位動(dòng)態(tài)口令（Pcurrent）,再與用戶終端傳輸來(lái)的DID卡上的動(dòng)態(tài)口令（Plogin）進(jìn)行比較,若Plogin=Pcurrent,則系統(tǒng)認(rèn)為該用戶為授權(quán)用戶,允許其登錄進(jìn)行訪問(wèn);而在用戶端,用戶開(kāi)啟DID卡,輸入正確的操作口令后,DID卡產(chǎn)生八位動(dòng)態(tài)口令（Plogin）,隨即傳送至認(rèn)證服務(wù)器進(jìn)行認(rèn)證。整個(gè)過(guò)程的流程示意圖如下:
　　六、嵌入動(dòng)態(tài)身份認(rèn)證技術(shù)后銀行網(wǎng)絡(luò)發(fā)展前景
嵌入SDK－01動(dòng)態(tài)身份認(rèn)證系統(tǒng)后，銀行就能夠以強(qiáng)有力的安全身份認(rèn)證為基礎(chǔ)，拓展自己網(wǎng)絡(luò)金融系統(tǒng)的功能，發(fā)展出許多新興的銀行業(yè)務(wù)，例如：
　　1.網(wǎng)絡(luò)繳費(fèi)：銀行可在安全的網(wǎng)絡(luò)銀行系統(tǒng)的基礎(chǔ)上，與郵電、工商、電力、稅務(wù)、交通等部門(mén)聯(lián)合開(kāi)展網(wǎng)絡(luò)繳費(fèi)業(yè)務(wù)，使上網(wǎng)的企業(yè)和個(gè)人用戶通過(guò)動(dòng)態(tài)身份認(rèn)證后，即可方便地通過(guò)銀行網(wǎng)絡(luò)系統(tǒng)繳費(fèi)，而不必?fù)?dān)心資金被盜用。
　　2.網(wǎng)絡(luò)證券交易：網(wǎng)絡(luò)證券交易是銀行系統(tǒng)一個(gè)非常重要的業(yè)務(wù)方向。將銀行網(wǎng)絡(luò)系統(tǒng)與證券交易所的交易系統(tǒng)相連，向客戶提供在線的證券交易服務(wù)。經(jīng)過(guò)動(dòng)態(tài)身份認(rèn)證后，授權(quán)客戶可以實(shí)時(shí)地進(jìn)行證券交易，客戶的資金流動(dòng)由銀行網(wǎng)絡(luò)系統(tǒng)完成。
　　3.網(wǎng)絡(luò)商場(chǎng)：網(wǎng)絡(luò)商場(chǎng)是一種基于INTERNET的網(wǎng)上服務(wù)機(jī)制，為上網(wǎng)者提供購(gòu)物服務(wù)，在付款資金流動(dòng)方面，它需要有安全的身份認(rèn)證機(jī)制作為前提。網(wǎng)絡(luò)商場(chǎng)的付款操作需要銀行介入，建立了安全的網(wǎng)絡(luò)銀行系統(tǒng)，銀行就可方便地與網(wǎng)絡(luò)商場(chǎng)連接，支持網(wǎng)絡(luò)商場(chǎng)的付款功能。
4.移動(dòng)辦公：由于采用的是SDK－01動(dòng)態(tài)口令身份認(rèn)證系統(tǒng)，無(wú)須任何讀卡設(shè)備，因此可以放心地、隨時(shí)隨地進(jìn)行遠(yuǎn)程訪問(wèn)、網(wǎng)絡(luò)會(huì)議等一些移動(dòng)辦公業(yè)務(wù)。　　
（相關(guān)圖片稍后上傳）

銀行安全網(wǎng)絡(luò)結(jié)構(gòu)圖

SDK－01動(dòng)態(tài)身份認(rèn)證系統(tǒng)認(rèn)證原理流程圖