网银新一代液晶按键usbkey安全分析

《网银新一代液晶按键usbkey安全分析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、坚石诚信ETO-KEY—网银新一代液晶按键安全分析网上银行由于其方便性，己经成为人们H常住活中经常使用的平台，银行用户可以不出家门，就可以通过互联网完成支付、转帐、交费等众多业务，省去了银行排队，携带大量现金等即费时繁琐，又不安全的原始业务形式。随着网银业务的广泛普及，网银的安全性也是大家非常关注的一个问题。简单的用户名/密码方式己经被屏弃淘汰，取而代之的是十分安全的PKI数字证书认证体系，该体系主要通过数字证书屮的RSA非对称密钥完成数据传输的安全性，保证了数据传输小的完整性，保密性和不可抵赖性。很多专业文章介绍了PKI数字证书的安全性所在，这里不做过多的介绍。在PKI体系中，RSA

2、私钥代表一个人的身份，那么如何保护私钥的安全是保证PKI体系安全的关键所在，目前网银中使用的USBKey就能够很好的解决这个问题。USBKey是一个USB设备，内部主要是一个智能卡硕件，智能卡本身可以保证在侦件内部产牛RSA公私钥对，私钥不可导出或者复制，任何关于私钥的运算全部在智能卡内完成。这种USBKey的主要代表，如坚石诚信科技公司推出的ET199Auto,有如下特点：•硕件上的安全性坚石诚信ET199Auto做为数字证书的安全载体,敏感数据都被安全地保存在ET199Auto的安全存储区域屮，未授权用八是无法接触到这些信息的。数据的签名和加密操作全部在ET199Auto内部完成,

3、私钥从生成的时刻起就一肓保存其小，可有效的杜绝黑客程序的攻击。ET199Auto的安全性还在于贡•使用的加密算法都是被广泛公开，业界公认的，经受了多年考验的标准算法。同时，一流的芯片封装工艺也保证了芯片内数据的安全性。•硬件上的兼容性坚石诚信ET199Auto采用无驱无软设计，使用高速USB通讯协议，在Windows系统屮不需安装驷动，即插即用。另外，USBKey插入计算机后白动安装所需软件，方便易用，人大节省了维护成木。•先进的中间件坚石诚信ET199Auto能够碾件产牛512,1024和2048位的RSA密钥对，硬件实现RSA的各种运算。同时提供符合业界广泛认可的PKCS#11和M

4、icrosoftCryptoAPI两种标准的接口。任何兼容这两种接口的应用程序，都可以立即集成ET199Auto进行使用。ET199Auto也针对多个第三方的软件产品进行了兼容性优化，内置大容量的安全存储器，可以同时存储多个数字证书和用户私钥及其他数据。也就是说，多个PKI应用程序可以共用同一个ET199Autoo综上，USBKey可以有效的保证RSA私钥的安全，那么网银使用这种产品后就真能高枕无忧了吗？虽然目前使用USBKey的网银业务没有发生过被盗取的案例，但从理论上还是存在一个安全隐患的，即虽然私钥是安全的，但传给私钥进行签名运算的数据是什么，川户并不知道，这个数据对能是被黑客篡

5、改后的非法数据，虽然网银中也有很多措施预防这种情况，但根木的杜绝这种情况只有新一代的液品按键USBKey才能完成。用户要签名的数据显示在USBKey的液晶屏幕上，用户必须按键确认后，USBKey屮的私钥才完成运算。坚石诚信科技公司推出的ETO-KEY就是这样的新一代USBKey产品。ETO-KEY是在锁内将要签名的信息通过液晶屏显示出來，川户所看见的就是要传给银行服务器真止进行交易的信息，所见即所签。使整个交易过程无懈可击，是网上银行的坚强后盾。ETO-KEY采用32智能卡芯片，有60K的安全存储空间，支持1024/2048位RSA密钥运算，可以在网上进行交易签名。ETO-KEY除了具

6、备一般USBKey的功能外,能将网银系统传入的要签名的信息根据银行系统自定义的规则，通过液品屏显示出來给客八进行交易确认，所见即所签，防止数据在客八端被黑客程序、木马病毒等纂改，确保数据在客户端的安全性。下而就详细的分析一下网银系统中集成液晶按键USBKey所需要明确的两个部分。第一部分：约定复核签名报文解析格式因为要在液晶屏上显示签名交易信息，因此银行要给出报文的显示规则。这样USBKey内部在COS中按照规则解析签名报文，并显示到屏幕上。同时服务器端也要按照这个规则进行解析，用于验证签名使用。冃前使用的有XML报文等，编码有UTF8,GB2312等。第二部分：独立复核签名算法利用E

7、TO-KEY进行复核签名，盂要具备以下前提条件：■待签名数据的原文被传入。只有传入原文，才能在ETO-KEY硬件中对接收到的待签名数据进行解析，根据内置的规则提収关键信息，通过液品屏幕显示出來，从而触发复核签名流程；■待签名数据的格式与内置的规则匹配。只有这样，ETO-KEY硬件才能提取到要显示的关键信息；■所用的Hash算法被硬件支持。只有使用ETO-KEY硬件内置的算法，才能在复核后对硬件中的待签名数据进行相应的Hash计算。并后继使用私钥