中国银联网上转帐系统安全技术说明

《中国银联网上转帐系统安全技术说明》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、中国银联网上转帐系统安全技术说明2003年3月目录1.概述11.1背景说明11.2网络安全问题11.2.1.非授权访问11.2.2信息泄漏或丢失21.2.3拒绝服务攻击21.2.4利用网络传播病毒22.银联网上转帐系统技术框架简介32.1系统架构32.1.1系统架构图32.1.2网络说明32.2应用构架43.网上转账系统业务处理流程53.1交易流程图53.2流程说明53.3对帐清算处理64.网上转帐系统安全措施介绍74.1基本安全概念描述74.1.1PKI技术74.1.2SSL协议84.1.3数字证书94.2网上转帐系统安全流程描述94.2.1一般用户安全94.2.2CD会员卡用户安全104.

2、2.2.1CD卡用户身份认证114.2.2.2CD卡用户和交易平台间数据传输114.3数据传输安全124.3.1加密传输技术简介124.3.2加密传输安全策略144.3.2.1密码加密144.3.2.2消息鉴别144.3.2.3密钥管理144.3.2.4硬件加密机154.3.2.5数据加密传输环境154.3.3数据通道和传递安全（SSL）164.4数据存贮安全措施174.4.1数据库安全174.4.2病毒防护174.5访问控制安全措施184.5.1网络结构安全184.5.2防火墙194.5.2.1防火墙的作用194.5.2.3防火墙的防御机制194.5.3安全检测204.5.4访问控制安全综述

3、214.6物理环境安全措施224.7个性化安全措施224.7.1CD安全认证卡224.7.2转帐密码的保护234.7.3密钥的产生与存储234.7.4基于口令的密钥导出算法234.8管理措施244.8.1网络管理244.8.2权限管理244.8.3思想教育24中国银联网上转帐系统安全技术说明1.概述1.1背景说明为更好地推动银行卡跨行转账业务的全面开展，扩大业务受理途径，满足持卡人在互联网上开展业务的需求，在2002年11月“银联业务在现代通信技术环境下的发展”研讨会上，银联总部领导提出了“尽快在5个试点分公司实施互联网跨行转账业务”的要求。此举标志着互联网跨行转账业务从试点阶段进入实质性建设

4、阶段。互联网跨行转账业务去年3月底在上海地区4家银行开通以来，得到了各方面的支持，社会各界反应良好。现在上海地区开展该业务的银行数已经增至10家。由于互联网跨行转账业务利用互联网作为业务平台，对于网络安全问题的考虑就显得更为迫切和重要。本文档以《银行卡互联网跨行转账业务实施细则》为主要依据，提供了对于“网上转账系统”安全方案的解决办法。1.2网络安全问题互联网在早期的主要任务是发展，发展是第一位的，安全问题提不上议程。由于互联网特有的魅力，越来越多的人使用互联网，应用发展很快，互联网本身的技术发展却并不充分。那时由于互联网本身还很新，了解和研究互联网的人还不太多，网络安全问题也不突出。随着互联

5、网的快速发展，了解和研究互联网的人越来越多，研究互联网的人的意图各不相同，来自互联网的威胁开始出现，并且越来越严重。目前，计算机互联网络面临的安全性威胁主要有以下几个方面：1.2.1.非授权访问非授权访问，即黑客攻击，是指利用通讯软件，通过网络非法进入他人计算机系统，截取或篡改计算机数据，以及恶意攻击信息网络、金融网络资源和危害国家或社会公众信息资源安全的入侵行为。其主要目标就是对系统数据的非法访问和破坏。242003-3-5中国银联网上转帐系统安全技术说明世界各地频繁发生的黑客事件以及造成的巨大损失表明，保证合法用户对资源的合法访问以及防止网络黑客攻击，已经成为网络安全的主要内容。1.2.2

6、信息泄漏或丢失这种安全威胁包括两种情况，系统内部工作人员的泄露机密和外部人员通过非法手段截获机密信息。内部人员对数据的存储位置、信息重要性非常了解，这使得内部攻击更容易奏效。很多机密文件放在未经加密的或没有严格限制内部人员查阅的地址内，一旦黑客进入网络便可轻松地访问这些数据，使机密文件泄密。1.2.3拒绝服务攻击一种破坏性攻击，最早的拒绝服务攻击是“电子邮件炸弹”，它能使用户在很短的时间内收到大量电子邮件，使用户系统不能处理正常业务，严重时会使系统崩溃、网络瘫痪。1.2.4利用网络传播病毒计算机病毒程序很容易做出，有着巨大的破坏性，其危害已被人们所认识。单机病毒仅对个人计算机的数据造成巨大的破

7、坏，而通过网络传播的病毒无论是在传播速度、破坏性和传播范围等方面都是单机病毒所不能比拟的。除此之外，特洛伊木马（TrojanHorse），蠕虫（Worms）和“活门板”（TrapDoors）等也是一些常见的网络攻击方式。这些安全威胁可能引发的结果有非法使用资源、恶意破坏数据、数据窃取、数据篡改、假冒、伪造、欺骗、敲诈勒索等。种种结果对银行金融这样特殊性的行业来说，其损失都是不可估量的。必须将风险防