金融交易安全认证系统方案 |
数据
在银行计算机系统中,首先需要界定数据安全防护范围,哪些数据是需要保护的核心数据呢: 根据人总行及VISA、MasterCard等国际金融组织的相关规范,客户账户密码(PIN,Personal Identification Number),不允许在除硬件密码设备之外的任何地出现明文,由此可以看出,PIN是银行数据安全系统中需要保护的核心。 在网络中传送的很多关键数据,也是亟需安全保护,例如信用卡制卡文件等,一旦被不法分子获取,就可轻松复制伪卡。 有的数据可能并不需要私密性保护,但是,在传输处理过程中,必须防止其被非法篡改,这类数据非常多,例如,柜台业务中的交易金额、账户号等等。 为保障银行利益,某些特定交易数据,必须采取防抵赖的措施,例如:网上银行交易等。
安全
对于在整个生存期内都不能以明文形式出现的数据,应采用全程加密的手段来保障其私密性。 对于需防篡改的数据,应采用信息校验的方式保障其完整性。 对于需抗抵赖的数据,应采用数字签名认证的方式来保证其不可否认性。 参照目前国际金融业普遍通行原则,信息的私密性与完整性一般都采用对称密钥算法(DES/3DES)来实现,而信息的不可否认性一般采用非对称密钥算法(RSA)来实现。 遵循行业规范,银行计算机系统中所用到的密钥,均必须通过硬件密码设备来保护,任何密钥不得以明文形式出现在硬件密码设备之外。故而,要实现银行计算机 系统数据安全,必须借助于硬件密码设备。
体系
那么,是否采用了硬件密码设备,就实现了数据的安全保护呢? 答案是否定的,硬件密码设备是搭建数据安全体系的基础,但远远不是全部。 完整的银行数据安全体系构建,应根据各个银行的实际情况,如网络结构、业务系统构架、安全管理制度等,有针对性地规划设计,是一个严谨的、全面的、且需 动态维护更新的系统,而绝不是采购几套设备、编写几套软件就能解决的。 搭建一套安全体系,必须站在全局的高度,自上而下,综合各种业务系统的特点。且体系的骨干必须是与业务的骨架相适应的。 根据对国内多家大小商业银行实际状况的调查了解,并归纳总结后,设计了银行数据安全系统,构筑金融安全整体防护体系。
部署图
总行部署一套交易安全认证系统TSSC,商用数据库密钥库版本,Oracle或DB2。目标:高可用性、可靠性;支持数量众多的终端密钥,支持大并发读写。
交易安全认证系统一方面面向所有的业务系统(应用),向它们提供安全功能服务,如各类PIN功能、MAC功能、签名/验签功能,等等;另一方面面向加密机,对加密机进行统一集群管理,提升加密机使用效率并保证位业务系统提供高效、不间断的密码服务。
交易安全认证系统架构
交易安全认证系统构成如图所示:
安全服务系统构成交易安全认证系统由以下几类模块组成: 监控服务模块:向监控中心提供密钥存储中心的各类管理、运行状态、等等监控信息。 服务接入模块:向业务系统(应用系统),提供服务通讯接入服务功能。 安全服务模块:完成各类安全服务的处理。安全服务模块,包括多类,每一类提供提供不同类型的服务。安全服务模块,可以随着业务场景的扩展,进行扩展。 设备管理模块:交易安全认证系统还建有内部服务通道,用于完成本中心内部各模块之间的信息交换,建立了两类服务通道: 监控服务通道:用于缓存本中心要向监控中心发送的监控请求。 安全服务通道:用于缓存要处理的安全服务请求。用户可以通过配置,建立多个安全服务通道,用户可以采用自己喜爱的标准对建立安全服务通道,例如根据服务密钥的不同,建立:DES密钥服务通道、非对称密钥服务通道、令牌服务通道;也可以根据业务系统不同,建立:核心服务通道、其它业务系统服务通道,等等。
设备管理功能描述
加密设备的集中安全管理 将内部各业务系统、尤其是数量庞大的密码机、密码键盘(包含ATM密钥、POS密钥)的密钥的产生、分发、处理、存储以及销毁等生命周期的各个环节进行集中安全管理,将密钥、设备、口令的安全管理流程化、制度化,提升整体安全性。 加密机共享 支持将一台、多台或一组加密机多应用系统共享使用,而互不影响。同时,设备的共享使用提高产品利用率,降低投资成本。 加密机实时监控 支持实时监控加密机的健康状态,及时发现故障加密机及时卸载,保障业务的连续性。同时,对修复后的加密机实现智能上线,降低配置的复杂性,减少人工干预。 加密机热备或负载均衡 可以针对两台加密机实现双机热备功能,即两台加密机处于主-备状态,当主加密机出现故障时,自动调用备用加密机,保障业务的可持续性。同时,也支持多台加密机的负载均衡,即针对应用调用加密机时,实现处理的智能负载,保障处理性能的最大化。 加密机设备透明增加,故障设备自动卸载 支持加密机透明增加,可以与原有加密机组自动实现负载均衡。同时,自动监测故障设备,将其智能卸载。 支持加密机分组管理、分组应用 支持加密机分组,将不同加密机组应用到不同业务系统中,并且每个组中加密机实现负载均衡。