1、 网上银行网上银行3.03.0系统安全策略系统安全策略财务管理财务管理财务管理财务管理 路安全路安全企业业务部企业业务部 网上银行处网上银行处 第1页主要内容主要内容第2页一、物理与环境安全1 1、区域安全、区域安全2 2、设备安全、设备安全3 3、安全管理规章、安全管理规章第3页1 1、物理安全界限、物理安全界限-专用电脑中心、密钥管理中心、网络控制中心机房2 2、物理进入控制、物理进入控制-保安、机房门禁3 3、在安全区域内工作、在安全区域内工作-业务操作区与设备区隔离区域安全区域安全第4页1、设备定位与保护设备定位与保护-专用机架、口令保护2、电力供给与电缆安全电力供给与电缆安全-UPS
2、双路电源，互为备份3、设备维护设备维护-购置硬件与软件厂商技术支持、专业维护队伍设备安全设备安全第5页 1、人员管理 2、系统操作规范 3、机房与设备维护要求安全管理安全管理第6页二、网络安全第7页防火墙与路由器INTERNETINTERNET客户防火墙防火墙网上银行系统分行分行防火墙中国银行安全通道1000兆防火墙兆防火墙 NETSCREEN第8页 总行网络监控中心总行网络监控中心-天阗入侵检测系统，严防黑天阗入侵检测系统，严防黑客入侵客入侵动态入侵检测第9页三、系统安全第10页 中中国国银银行行网网上上银银行行采采取取了了国国际际著著名名厂厂商商（IBMIBM）安安全全操操作作系系统统，与
3、与国国际际一一流流商商业业银银行行电电子子银银行行服服务务看看齐，足以确保网上银行系统安全。齐，足以确保网上银行系统安全。1、操作系统安全第11页 1 1、严格用户访问管理、严格用户访问管理-用户注用户注册口令册口令5 5次错误锁定、连续次错误锁定、连续3 3天被锁定天被锁定则用户死锁则用户死锁 2 2、系统访问管理、系统访问管理-IP-IP地址识别、地址识别、硬件编码地址识别、系统访问时间控硬件编码地址识别、系统访问时间控制制2、系统访问控制第12页四、应用安全身份管理身份管理身份证件分发身份证件分发身份认证身份认证通信保护通信保护保密性保密性完整性完整性不可否定性不可否定性访问控制访问控制
4、授权授权安全审计安全审计历史追踪历史追踪缺点分析缺点分析第13页1、可靠身份管理（1）普通口令）普通口令-两次口令校验 网上银行登录口令、密钥保护口令（2）电子令牌）电子令牌-实体检测 口令保护、数据不可读出（3）数字证书）数字证书-强身份认证 重新建设CA认证中心 三重校验，身份确认三重校验，身份确认第14页USERIDUSERID和密码和密码示例示例第15页电子令牌 USBKEY/IC USBKEY/IC卡卡 USBKEY/IC卡经过产生和识别网上电子交易数字签名（电子签名或电子图章），达到识别交易者身份和验证交易数据真伪目，保证网上交易不可否定性(Nonrepudiation)；同时作为
5、身份认证强力工具。第16页口令-定时更换第17页口令-定时更换第18页 为配合网上银行安全系统改造，我行重建为配合网上银行安全系统改造，我行重建CACA认证中心。新认证中心。新CACA系统支持当地化系统支持当地化128128位对称加密位对称加密算法，算法，10241024位证书署名，同时支持位证书署名，同时支持NetscapeNetscape和和IEIE中英文版本。中英文版本。电子证书载体采取经过国家密码主管机构认电子证书载体采取经过国家密码主管机构认可可USBKEY/ICUSBKEY/IC卡，保障密钥和证书安全。卡，保障密钥和证书安全。CA电子证书第19页电子证书与身份证比较姓名：王家业编号
6、：452801197312061538签发者：北京市公安局 海淀分局公布时间：-04-05使用期：住址：北京市海淀区学院南路9号颁发给：WANGJIAYE序列号：10E7 D8F3 8078 ADEC 1100 0ED4 8BB2 EEBB签发者：C=CN，S=BEIJING，L=BEIJING，O=BANK OF CHINA，CN=INTERNET BANKING，BANK OF CHINA有效起始时间：年12月6日有效终止时间：2012月6日Email：wangjybank-of- 公钥：RSA(1024 bits)38ighwejb第20页企业电子证书详细信息-示例第21页2、通信保护-
7、保密性加密解密明文明文密文KK采取采取128128位对称加密算法、位对称加密算法、SSLSSL安全套接层协议，确保交安全套接层协议，确保交易数据保密性易数据保密性第22页加密解密KKK密文B公钥B私钥通信保护-保密性采取采取10241024位位RSARSA非对称加密算法，确保交易非对称加密算法，确保交易数据保密性数据保密性第23页通信保护-完整性明文摘要A公钥解密加密摘要密文A私钥明文明文摘要SHA1数字摘要算法SHA1散列算法明文摘要相等？第24页通信保护-数字署名数字署名：数据完整性中发送方操作验证数字署名：接收方操作署名目标：信息是由署名者发送；验署名目标：信息自签发后到收到过程中，没有
8、被篡改、没有仿冒、不是重发性攻击；第25页发送方信息散列函数摘要私钥加密（署名）数字署名数字署名信息散列函数摘要公钥解密摘要信息被确认比较二者如一致接收方通信保护-数字署名第26页网上银行中数字署名-示例第27页3、访问控制-登录三重办法1 1、USERID USERID 唯一性，确保有效识唯一性，确保有效识别操作员别操作员2 2、USERIDUSERID与口令、电子令牌耦与口令、电子令牌耦合校验合校验3 3、USERIDUSERID与与CACA电子证书耦合校电子证书耦合校验验第28页访问控制-应用三重办法1 1、操作员对不一样产品、功效控制、操作员对不一样产品、功效控制2 2、操作员对不一样
9、账号控制、操作员对不一样账号控制3 3、操作员对不一样账号授权级别控制、操作员对不一样账号授权级别控制第29页4、审计-客户操作统计 对对用户每一个操用户每一个操作作,网上银行都做了详网上银行都做了详细细LOGLOG记载，方便用户记载，方便用户掌握资金汇划过程中掌握资金汇划过程中相关操作信息相关操作信息第30页审计-客户操作统计第31页审计-系统日志统计 对客对客户每一笔交易处理全过程户每一笔交易处理全过程,银行系统都做了详细银行系统都做了详细LOGLOG统计，方便统计，方便银行维护和审计人员掌握资金汇划银行维护和审计人员掌握资金汇划过程中相关处理信息过程中相关处理信息第32页 2月，我行网上银行系统顺利经过了全球四大咨询评定企业排名第二德勤企业“互联网安全与控制审计”。我行成为国内同业首家经过安全审计评定商业银行权威结论 第33页
