一、銀行網絡安全建設的意義
　　銀行金融網絡系統(tǒng)是以總行為中心，覆蓋各個支行和多個營業(yè)網點的網絡系統(tǒng)。從金融系統(tǒng)的特殊性來看，銀行網絡系統(tǒng)對的安全性有著很高的要求，如果對網絡的安全問題考慮不周，將可能直接影響整個網絡的正常運行，造成網絡泄密、延誤，同時，可能影響到社會的穩(wěn)定，甚至危害金融秩序。因此，有必要對網絡的安全進行全方位、多角度的設計。
二、網絡安全需求分析
　　出于銀行金融系統(tǒng)特殊職能的要求，以及客戶終端登錄和電話委托交易的需求，銀行安全系統(tǒng)網絡必須在嚴格受控的模式下運行，這就提出網絡安全性的需求：將任何對安全系統(tǒng)網絡構成威脅的因素和行為拒于合法訪問網絡資源之外，并同時保證終端遠程登錄的實時性和準確性?，F(xiàn)有金融系統(tǒng)的網絡中普遍存在著如下安全問題：
　　1)由于在終端登錄以及信息傳輸等操作的過程中使用的是靜態(tài)口令字，很容易被非法分子竊取口令字；
　　2)在鏈路層，由于采用公用信道（DDN、X.25），使得傳輸信道本身存在安全隱患。非法入侵者可以通過搭線，偵聽等方式，很容易地竊取到網絡中的信息；
　　3)目前被廣泛采用的開放性的網絡互聯(lián)協(xié)議——TCP/IP協(xié)議，使非法入侵者很容易進行協(xié)議的分析、篡改和假冒。
　　以上是銀行系統(tǒng)網絡中存在的較為突出的幾個安全問題。實際上，網絡所面臨的安全問題遠遠不止以上三種，因此，有必要對現(xiàn)有網絡安全進行全方面的考慮和設計，加入必要的技術手段，消除以上的安全隱患。為了解決網絡的安全保密性問題，最有效和可靠的辦法是采用口令保護措施。本方案就此有針對性的提出了采用本公司開發(fā)研制的SDK－01身份認證系統(tǒng)，對銀行的靜態(tài)口令登錄系統(tǒng)進行改造，解決了靜態(tài)口令字容易泄密的安全隱患。
　　三、動態(tài)身份認證技術
　　身份認證技術發(fā)展到今天已經成為網絡信息系統(tǒng)中比不可少的一部分，扮演著網絡系統(tǒng)看門人的角色。強有力的身份認證技術能夠在網絡和信息資源周圍構筑一個安全屏障，確保只有授權用戶才能進入。但目前各網絡系統(tǒng)對用戶身份認證的核心是靜態(tài)的用戶口令，這種機制雖然能夠為系統(tǒng)提供一定的安全保護，但也存在如下缺陷：（1）為了便于記憶，大多數網絡用戶選擇常用詞作口令，因此很容易被猜到；（2）一個口令多次使用，容易造成泄露和被黑客或心懷叵測的人猜測到；（3）黑客可從網上截獲口令；（4）口令自動破譯工具使猜測口令的時間大大縮短，甚至克服了口令加密的問題。
　　動態(tài)身份認證技術即利用動態(tài)身份認證技術實現(xiàn)對網絡用戶的身份鑒別，動態(tài)身份認證系統(tǒng)由DID動態(tài)口令卡提供隨機的、每分鐘一變的一次性口令，確保只有授權用戶才能訪問網絡資源，而非授權用戶通過非法途徑所取得的口令字無效。
　　SDK－01認證系統(tǒng)是由中科院DCS中心和福建凱特信息安全技術有限公司在國家密碼管理委員會辦公室的指導下聯(lián)合研制成功的基于DID（動態(tài)口令）技術的身份認證系統(tǒng)。它提供強有力的身份認證服務，達到保護客戶的網絡和信息資源安全的目的。SDK－01認證系統(tǒng)完全兼容目前認證服務器的國際標準RADIUS（遠程撥號用戶身份認證服務）協(xié)議，可以容易地集成到客戶現(xiàn)有的計算機主機和各種類型的網絡計算機系統(tǒng)中，包括公共交換網、局域網、廣域網、Internet和Intranet，從而最大程度地避免對現(xiàn)有系統(tǒng)的重復開發(fā)。
　　SDK－01認證系統(tǒng)由認證服務器、后備服務器、管理工作站、DID卡、認證服務接口函數（API）組成。
　　四、銀行安全方案介紹
　　1.安全方案的設計思路
　　銀行安全網絡需求的主要方面如下：
　?。蛻艚K端登錄：要求充分利用銀行網絡系統(tǒng)中的各個終端，根據相應權限來允許授權用戶進行登錄訪問金融網絡資源和進行相關業(yè)務操作，并采用安全措施屏蔽非法登錄。
　　＊電話委托交易：利用銀行網絡PSTN網以及普通城鄉(xiāng)電話網進行遠程委托交易。為防止非法搭線偵聽，在身份認證過程中需用動態(tài)口令來取代一成不變的靜態(tài)口令。
　　基于以上需求，我們安全方案的設計思路可以概括為：對授權用戶的動態(tài)身份認證。
　　訪問金融網絡資源和進行相關業(yè)務操作是銀行網絡系統(tǒng)的基本功能之一，為了確保只有合法的授權用戶才能訪問網絡資源和進行業(yè)務操作，我們對客戶終端登錄及電話委托交易網絡集成了SDK－01動態(tài)口令身份認證系統(tǒng)。該系統(tǒng)包括一個安全網關（防火墻）、DID認證服務器、管理工作站和分發(fā)給網絡用戶的DID卡。它運用具有世界領先水平的DID身份認證技術對用戶進行身份認證和鑒別，在不影響原網絡系統(tǒng)效率、可靠性的前提下，使銀行與各支行、營業(yè)所網點之間形成一個安全的金融網絡體系，消除了原先存在的不安全隱患。
　　這樣，一方面合法的授權用戶可以通過DID動態(tài)口令卡從總行內部網終端登錄，或是從支行以及各個營業(yè)網點通過專線的方式登錄，在經過掛在網絡上的SDK－01認證服務器進行身份認證之后，便可登錄進入銀行網絡系統(tǒng)進行相應的操作；另一方面，遠程用戶也可以使用DID動態(tài)口令卡通過普通城鄉(xiāng)電話網登錄到銀行的遠程撥號訪問服務器，近而通過SDK－01認證服務器的身份認證，確定其為合法授權用戶后，才允許其進行電話委托交易。在身份認證的過程中，用戶和銀行方面不必擔憂因登錄認證時間跨度過大而造成口令失竊，引起金融秩序的紛亂。
　　相關安全網絡的具體配置請參閱“銀行安全計算機網絡結構圖”。
　　2.銀行安全網絡示意圖
圖1　　銀行安全網絡結構圖
　　3.安全性能分析
　　網絡的信息安全應該從兩方面入手，一是應該具有正確的信息安全意識、詳細周全的安全策略、嚴格的安全保密制度；二是具有良好的安全保密解決方案，以及優(yōu)良、可靠的安全加密設備。本方案采用動態(tài)口令認證的網絡安全技術，系統(tǒng)投入運行后，將具有以下功能：
　　(1)杜絕假冒合法授權用戶
　　由于系統(tǒng)采用SDK－01動態(tài)身份認證技術，避免因采用靜態(tài)口令而帶來的種種弊端，確保了只有合法用戶才能訪問網絡資源，從而擴大和增強了銀行網絡的各項功能，免除后顧之憂。
　　(2)免除惡意破壞
　　由于非法入侵者無法在相當短的動態(tài)口令有效期內破譯或竊取口令，即使獲得了單次登錄口令也無法延用至下次，所以他們不能從事上述的網絡破壞活動，也就不能利用網絡協(xié)議自身的“后門”進入網絡，這樣，也就不可能給他們機會進行破壞活動。
　　五、DK－01身份認證系統(tǒng)的使用說明
　　SDK－01動態(tài)身份認證系統(tǒng)是由SDK－01認證服務器和DID動態(tài)口令卡兩部分組成,兩者動態(tài)口令的生成是基于時間同步。在本方案中,可將　SDK－01認證服務器掛在中心行的一級網絡上,所有訪問該網絡的請求都要經過認證服務器的認證,只有授權用戶才能被允許進行訪問。
　　DID動態(tài)口令卡經過管理工作站進行初始化后,分發(fā)至用戶手中,用戶進行終端登錄或電話委托交易時,首先打開終端登錄窗口,輸入DID卡的編號或用戶姓名,此時,終端通過調用認證服務接口函數（API）來請求掛在銀行網絡中心的SDK－01認證服務器提供認證服務，認證服務器接收用戶信息后，根據系統(tǒng)信息庫中的相應用戶信息計算出用戶當前的八位動態(tài)口令（Pcurrent）,再與用戶終端傳輸來的DID卡上的動態(tài)口令（Plogin）進行比較,若Plogin=Pcurrent,則系統(tǒng)認為該用戶為授權用戶,允許其登錄進行訪問;而在用戶端,用戶開啟DID卡,輸入正確的操作口令后,DID卡產生八位動態(tài)口令（Plogin）,隨即傳送至認證服務器進行認證。整個過程的流程示意圖如下:
　　六、嵌入動態(tài)身份認證技術后銀行網絡發(fā)展前景
嵌入SDK－01動態(tài)身份認證系統(tǒng)后，銀行就能夠以強有力的安全身份認證為基礎，拓展自己網絡金融系統(tǒng)的功能，發(fā)展出許多新興的銀行業(yè)務，例如：
　　1.網絡繳費：銀行可在安全的網絡銀行系統(tǒng)的基礎上，與郵電、工商、電力、稅務、交通等部門聯(lián)合開展網絡繳費業(yè)務，使上網的企業(yè)和個人用戶通過動態(tài)身份認證后，即可方便地通過銀行網絡系統(tǒng)繳費，而不必擔心資金被盜用。
　　2.網絡證券交易：網絡證券交易是銀行系統(tǒng)一個非常重要的業(yè)務方向。將銀行網絡系統(tǒng)與證券交易所的交易系統(tǒng)相連，向客戶提供在線的證券交易服務。經過動態(tài)身份認證后，授權客戶可以實時地進行證券交易，客戶的資金流動由銀行網絡系統(tǒng)完成。
　　3.網絡商場：網絡商場是一種基于INTERNET的網上服務機制，為上網者提供購物服務，在付款資金流動方面，它需要有安全的身份認證機制作為前提。網絡商場的付款操作需要銀行介入，建立了安全的網絡銀行系統(tǒng)，銀行就可方便地與網絡商場連接，支持網絡商場的付款功能。
4.移動辦公：由于采用的是SDK－01動態(tài)口令身份認證系統(tǒng)，無須任何讀卡設備，因此可以放心地、隨時隨地進行遠程訪問、網絡會議等一些移動辦公業(yè)務。　　
（相關圖片稍后上傳）

銀行安全網絡結構圖

SDK－01動態(tài)身份認證系統(tǒng)認證原理流程圖