商业银行基于动态口令认证技术构建双因素强身份认证平台技术解决方案OK.docx

《商业银行基于动态口令认证技术构建双因素强身份认证平台技术解决方案OK.docx》由会员分享，可在线阅读，更多相关《商业银行基于动态口令认证技术构建双因素强身份认证平台技术解决方案OK.docx（46页珍藏版）》请在第一文库网上搜索。

1、商业银行基于动态口令认证技术构建双因素强身份认证平台技术建议方案1概述41.1 现状及存在的问题412解决问题的办法41.3 建设目标41.4 主要部署内容52需求分析63建议解决方案73.1 方案设计的主要依据73.2 方案采用的技术标准83.3 解决方案实现原理83.4 解决方案示意图93.5 方案说明93.5.1 企业网上银行93.5.2 个人网上银行113.5.3 电话银行133.5.4 手机艮行133.5.5 POS/ATM/CDM/自助银行143.5.6 银行综合业务系统15357银行信贷业务系统163.5.8 银行内部管理信息系统163.5.9 VPN接入173.5.10 rr平

2、台维护183.6 防中间人攻击解决方案203.7 关于动态密码的安全性263.8 关于用户体验263.9 关于交易责任厘清273.10 关于与应用系统的整合273.11 关于账户管理273.12 安全性与可靠性说明273.12.1 安全性保证273.12.2 可靠性保证343.13 方案实施后的意义354实施方案364.1 业务需求和差异分析364.2 客户化程序开发374.3 系统测试384.4 技术培训和业务培训394.5 系统上线444.6 系统升级维护451概述随着互联网技术的发展，现代商业银行的多种传统业务也逐步向互联网转移，越来越多的新型银行业务也迅速发展，基于互联网（包括有线/无

3、线）的电子渠道业务已成为现代新型商业银行的主要业务渠道。11现状及存在的问题随着银行电子银行、信用卡业务的开展，由于用户网上银行、信用卡信息及密码被盗造成经济损失的案例越来越多，如何防止银行用户的信息及密码被非法获取导致客户资金被盗，成为当前银行必须要解决的问题。1）目前，商业银行在网上银行业务中采用证书或者动态口令提高了网银用户口令的安全性，但是还存在其他电子渠道应用的口令安全问题：2）在POSATMCDM上使用信用卡、借记卡，普遍存在用户的交易密码被盗的可能。3）新增的手机银行业务业必须采用动态口令认证以提高交易的安全性。4）使用电话银行业务时，一旦回拨，液晶屏上会显示出用户的账号和密码，

4、用户的信息及密码全部泄露。5）网上银行大众版的用户目前还在使用静态口令方式进行认证，存在安全隐患。6）一般用户在银行中有多个账户、采用多种形式进行业务办理，现在没一种方式都需要口令保护（动态口令、动态口令、证书等），管理不统一，给用户的使用和银行的管理带来极大的不便。12解决问题的办法建立一个功能完善、认证方式全面、维护简便、接口标准的统一身份认证管理平台，引入支持硬件令牌、手机令牌、短信令牌、刮刮卡令牌等动态密码方式，同时也支持静态口令集中管理的技术手段，为银行的多个业务系统提供安全校验及身份验证，增加包括电子银行系统在内的多个系统的安全性能。1.3 建设目标1）建立一个统一的用户身份认证管

5、理平台、全面的身份认证手段，为银行的从内部管理、综合业务、信贷、网上银行、手机银行、信用卡业务、国际业务、基金业务等提供认证服务。2）提供能够快速部署、维护便捷、完善的管理平台软件，能够对用户的行为进行实时监控，对用户和管理员提供全面的稽查、审计和自动报表功能，实现用户的不可否认性。3）本系统要求适应银行系统安全规定，严格遵循国际安全管理、安全控制、安全规程等相关技术标准和业务规范。4）建立标准的认证接口规范，以便于银行技术人员能够利用该系统提供的开发平台实现技术人员完成业务的二次开发，能快速实现对新业务的拓展。5）稳定性：能同时实现大量设备的接入，保证系统稳定性。6）兼容性：系统本身具有向下

6、完全兼容的能力。相对独立，接口简单，易与现有的应用系统连接，对正在运行的应用系统仅需做极小改动。采用专用认证服务器进行认证，保障现有应用系统的完整性，保护系统资源。7）安全性：系统具有全面的黑客防护能力和防篡改能力，从而保证所辖系统资源及敏感信息安全。系统的关键数据在数据库中以加密形式存储，并通过完善、周密的密钥管理机制管理数据库主密钥和各级密钥。1.4 主要部署内容1）信贷系统登录身份认证：在原来证书身份认证的基础上增加了动态密码身份认证的登录方式,用户可以选择动态密码或证书任意一种方式登陆信贷系统。如果客户选择了动态密码认证方式，则登录页面直接跳到信贷系统的登录首页，输入客户号和动态密码进

7、行登录。2）POS/ATwCDM、自助银行动态密码认证：为防止客户卡被非法复制而导致客户资金被盗，在自助银行上的取款密码可以采用动态密码方式，这样就有效防止的客户卡被非法复制而导致的资金损失。3）网上支付密码：在网上进行购物、购买基金、购买机票等支付业务时，可以采用动态密码进行支付合法性的验证。4）网上银行进行对外转账、自助缴费、自助贷款等资金类业务时，可选择采用动态密码验证的方式保证交易的合法性。5）电话银行进行对外转账、自助缴费、自助贷款等业务时，可选择采用动态密码验证的方式保证交易的合法性。6）网上银行大众版登录验证：网上银行大众版登录可选择采用动态密码身份认证，这样可将大众版的支付金额

8、限额适当地提高。7）VPN登录认证系统：VPN登录可以采用动态密码身份认证，提高登录系统的安全性。8）内部管理身份认证系统：针对银行内部系统安全管理、网络安全管理可以采用动态密码身份认证，保证各系统安全性。2需求分析通过多年为银行客户提供强身份认证服务，并通过众多的巨大数量用户项目实施过程(全国超过150万用户量的金融项目，安盟具有超过60%的市场份额)，完善了认证平台系统，并积累了丰富银行客户实施、运维经验。基于对商业银行电子渠道业务的深刻理解，我们认为作为完善的身份认证系统应该能够满足一下技术要求和产品特性，以实现建立银行业务统一身份认证平台的目标。需求描述单一令牌支持多种应用系统完整的解

9、决方案可以让银行使用一个令牌可以访问多个银行的应用和服务，这样可以使银行的投资最大化。一个令牌可以支持多种终端设备和不同使用渠道完整的解决方案可以让用户在不同的终端设备(笔记本电脑、台式机、智能电话、普通手机、PDA及其它电子终端)和不同使用渠道(INTERNET,PHONE,GSM,WAP等等)使用同一个令牌。为不同类别的客户提供不同的令牌银行可以根据不同用户的使用频率、风险级别等因素来决定采用何种认证方式。例如：短信可以让较少使用网银的客户使用；硬件令牌发放给使用网银较多；刮刮卡令牌可以发给手机银行的客户等。统一认证平台支持多种应用系统统一的认证平台可以支持银行的多种应用(网银、电话银行、

10、手机银行、ATM/CDM/POS等)，统一的AP1可以方便银行应用的集成。统一认证平台支持多种不同的认证方法统一认证平台支持OTP、挑战/应答，主机返回码(HRC),这样可以增强应用系统的安全性，防范和抵御各种攻击，例如：OTP和C/R可以防止键盘记录或网上拦截,HRC可以防止钓鱼网站，短信确认可以防范中间人攻击.统一认证平台符合国际多种法规的要求统一认证平台可以使银行增强电子银行的安全性，同时也可以使银行符合国内外多种法规以及金融行业的规定，例如：银监会，STANDARDSINEUROPE(ECBS),U.K(FSA),N.AMERICA(FFIEC),JAPAN(FSA),ASIA(BSP

11、,MAS,HKMA,CBRC)等强大的统一认证平台可以满足银行对安全性、可靠性、可用性、可扩展性的要求统一认证平台的设计充分考虑到了银行的业务特点和需求，包括：高可用(HA)、灾难恢复(DR)和业务连续性(BC),它可以处理银行大量用户、多种令牌、海量交易及对大并发交易的支持。安全的认证统一解决方案可以防范和抵御各种攻击统一认证平台的安全性设计可以支持不同的认证技术可方法，可以防范各种攻击，如：KEY1OGGER,PHISHING1.0,PHISHING2.0,PHARMING,MAN-IN-THE-MIDD1E等；基于角色的控制也可以提高银行系统的安全性，防范内部职权滥用金融领域证明了的统一

12、认证平台，且可以快速实施统一认证平台已经被许多银行客户成功使用，事实证明其是非常强壮、可靠稳定，具有极强的可扩展性；经验证明其可以在很短的时间内部署完成，可以为银行节省实施费用3建议解决方案由于动态口令的安全性、经济性和方便性，本方案基于动态口令实现企业的统一身份认证平台。3.1方案设计的主要依据（1）安全合规:根据国家重要信息系统等级保护条例，对于等保二级以上的系统，应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别，其中一种具有不可复制和篡改。动态口令身份认证令牌作为不可复制和篡改的个人持有物，通过与账户绑定后，能够作为唯一性的身份信息使用。（2）整体安全:身份认证系统是银行电子渠道

13、业务今后各种业务应用的安全基础，因此系统的设计必须从一个完整的安全体系结构出发，综合考虑信息化系统、应用系统及其相关的各种实体和环节，综合使用不同层次的不同的安全手段，为身份认证系统建设提供全方位的安全管理和安全服务。（3）统一身份认证平台:对于各种形态的应用系统，以及各类不同安全等级的业务操作，用户能够通过一个令牌设备即可实现对所有应用系统的认证需求。（4）技术标准:完善的身份认证系统在设计和实现上必须遵循一系列的国际、国内技术和行业标准，这样才能保证它所服务的实体之间能够安全地互联互通，不会造成互操作问题。（5）技术安全机制保证:令牌上显示的动态密码是通过专用加密算法计算得出，不可预测，只

14、在一定期限内有效（一般3分钟），且使用一次即失效（即一次一密），具有足够的安全性保证。相对单纯的用户名口令认证，双因子认证（2FA,2FactorAuthentication）除了要求用户输入其知道的信息（如帐号密码）外，还要求对其所拥有其他的凭证（如令牌）等进行认证。对于认证要求较高的业务应用，还应能够提供用户和应用系统身份双向认证的功能，即应用认证用户的同时，用户也能确认应用系统自身的有效性和真实性。（6）系统稳定可靠:作为业务入口的认证平台，认证服务器一旦出现问题将使得业务应用瘫痪。因此，认证系统技术上应支持集群多机热备份，并能实现负载均衡。（7）系统可扩展性良好:各类业务系统的用户随着

15、时间的推移将越来越多，因此身份认证平台能够具备良好的扩展性，容量能够随着用户的增多而动态地增加。同时，身份认证平台还能根据用户业务发展情况，不断增加认证功能或模块，确保认证平台的功能也能随着用户的需求而不断平滑扩展。（8）易用和易维护:安全性的加强往往需要牺牲终端用户的使用方便，因此在保证安全的同时，确保用户能够方便、快速地掌握高强度认证的使用方法，不但能够加快身份认证系统的建设，还能大大减轻网络管理员的维护工作和客服中心的日常服务工作。（9）良好的用户体验:由于人的惰性，以及安全意识和习惯，不愿也不可能设置、记忆和定期更新密码，动态口令只需要用户持有身份认证令牌，并安全保管自己的身份认证令牌，既可实现密码安全；登录过程也不改变原有的习惯，对客户端使用人员没有IT技能要求，只需要增加输入动态密码即可；对客户端环境没有要求，动态密码与客户端的应用环境无关，且无需任何安装客户端程序。3.2 方案采用的技术标准信息技术安全技术实体鉴别第一部分:概述GB/T15483.1-1999信息技术安全技术实体鉴别第二部分:采用对称加密算法的机制GB/T15483.2-1997信息技术安全技术信息技术安全性评估准则第二部分：安全功能要求GB/T18336.2