网上银行数字证书应用设计

技　Ｔｅｃｈｎｏｌｏｇｙ　应用设计　理部广州开发中心　罗雄清　依托于互联网技术发展起来的网上银行，是信息时　解密的密码算法。其中一个密钥对外公开，称为公钥；另　一代银行业发展的方向。目前各商业银行都在大力发展网　上银行，使其成为银行间业务竞争的新平台。作为现代　个密钥由密钥持有人持有，称为私钥。这一对密钥之　间存在着相互依赖的关系，即用其中一个密钥加密的信　息只能由另一个密钥才能解密。如果使用公钥作为加密　密钥，私钥作为解密密钥，则可实现多个用户加密的信　电子商务的重要组成部分，网上银行所利用的数字证书　技术能有效地保护用户资金安全。　数字证书（Ｄｉ￣ｔＭ　Ｃｅｒｔｉｉｆｃａｔｅ）是用于标识和证明网　息只能由唯一的私钥持有人解密；反之，私钥持有人用　私钥加密向外发布的信息，则任何一个获得公钥的用户　都可以解密。前者可用于数据加密，后者可用于数字签　名。　络通信双方身份的数字信息文件，为在虚拟的互联网环　境中进行通信和交易提供了一种有效的身份验证方式。　在网上进行电子商务活动时，交易双方需要使用数字证　书来证明自己的身份，并使用数字证书来进行有关交易　操作。　数字签名（Ｄｉ￣ｔＭ　Ｓｉｇｎａｔｕｒｅ）是数字证书的重要应　用之一，是电子签名的主要实现形式。数字签名能够保　证在网上进行的电子交易信息的完整性和不可否认性。　ＰＩＬｌ（Ｐｕｂｌｉｃ　Ｋｅｙ　Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ，公钥基础设施）是一　种利用公钥密码算法为电子商务提供安全基础平台的　技术和规范。遵循ＰＫＩ规范建立的密钥和证书管理体　系，能够为网络应用提供加密和数字签名等信息安全服　务。在ＰＫＩ机制中，数字证书是ＰＫＩ的核心元素，ＣＡ（认　证中心）是ＰＫＩ的核心执行者。数字证书由ＣＡ签发，同　２００５年４月１日我国正式施行《电子签名法》，在法律上　确立了电子签名与传统手写签名或盖章具有同等的法　律效力，为数字签名和数字证书的应用和推广奠定了法　律基础。　时ＣＡ负责管理数字证书。用户向ＣＡ提出证书申请，　ＣＡ确认用户身份，审查用户资格，决定是否签发数字证　书。成功申请数字证书的用户都有一对公钥和私钥，公　钥连同用户的身份信息、ＣＡ的数字签名等数据构成用　一、数字证书的原理　户数字证书，私钥则单独由用户妥善保存。　数字证书用户的公钥以数字证书的形式对外公开，　公钥密码算法是使用一对相互匹配的密钥进行加　用于身份认证，解决交易双方身份确认问题。在网上发　中国金融电脑２００６年第７期・３７　维普资讯 http://www.cqvip.com

术　Ｔｅｃｈｎｏｌｏｇｙ　送交易时，发送方使用接收方的公钥对数据加密，而接　收方则使用自己的私钥解密，这样信息就可以安全地送　到接收方。即使在传输过程中被第三方截获，由于没有　相应的私钥，无法进行解密，解决了数据保密问题。用户　上银行留存交易的签名，防止交易发起人日后对交易的　抵赖。　３．数据完整性　对用户的交易数据进行签名和使用Ｈａｓｈ算法处理　后，网上银行系统能够识别交易数据在传输过程中是否　被他人篡改，因此能够保证交易数据的真实性和完整　性。　使用自己的私钥对信息进行加密，由于私钥只有用户本　人持有，这样就产生了别人无法生成的密文文件，形成　数字签名。使用数字签名，能够确认信息是由签名者发　送的，签名者无法否认，实现信息的不可否认性。采用单　向的Ｈａｓｈ算法（散列算法）对信息进行处理后，能够保　证信息自签名后至接收到为止未作过任何修改，解决了　数据完整性问题。数字证书的出现从技术上解决了网上　交易面临的几个根本问题：交易双方身份认证、数据保　密、交易不可否认性和数据完整性。　二、数字证书在网上银行的作用　网上银行依托于互联网，通过互联网向用户提供　全天候的实时金融交易服务，能够在任何时间、任何　地点、以任何方式（“三Ａ”服务：Ａｎｙｔｉｍｅ、Ａｎｙ—　ｗｈｅｒｅ、Ａｎｙｈｏｗ）为用户提供服务。网上银行没有银行　大厅，没有营业网点和柜台工作人员，顾客只要通过　计算机与国际互联网连接，就可以进入网上银行选择　所需的服务。它的出现使金融交易的形态发生了根本　性的变化，即从“真实型”转变为“虚拟型”，同时也　更具开放性。　由于网上银行的以上特性，安全成为网上银行自　诞生之日起，就需要考虑和解决的关键问题。应用数字　证书能够解决网上银行用户身份认证问题，满足交易不　可否认性、数据完整性和保密性。　１．身份认证　网上银行需要识别登录的用户是否为网上银行的　合法用户。用户进入网上银行后只能操作自己名下的账　户，而无法操作他人账户。由ＣＡ颁发的用户数字证书　是用户网上交易的唯一有效身份证明，网上银行通过认　证用户的数字证书，允许合法用户登录网上银行进行交　易，拒绝非法用户登录。　２．不可否认性　网上银行提供数字签名功能，用户进行账户交易　（如汇出资金或支付购物款项）时使用私钥进行签名。网　３８・中国金融电脑２００６年第７期　４．数据保密性　用户和网上银行服务器在发送数据前分别使用对　方的公钥进行加密，密文只能被对方读取，实现交易数　据的保密性。由于网上银行系统大多数都提供ＳＳＬ协议　（Ｓｅｃｕｒｉｔｙ　Ｓｏｃｋｅｔ　Ｌａｙｅｒ，安全套接层协议）实现用户和系　统服务器传输链路上的加密，能够保证信息在传输过程　中的秘密性，因此网上银行一般不再使用用户数字证书　对数据进行加密。　网上银行应用数字证书能够加强用户身份认证和　保护用户资金安全，有效地提高网上银行的安全性。当　前国内先进的网上银行系统大都已经使用用户数字证　书来提高安全性，如工商银行推出了“ｕ盾”数字证书，　建设银行提供了文件形式数字证书和ＵＳＢ　Ｋｅｙ数字证　书供用户灵活选用。　三、网上银行数字证书应用设计方案　当前网上银行提供的服务主要有转账／汇款、付款、　理财、查询等。在进入网上银行之前，用户还需要输入　ＩＤ、登录密码等身份识别要素进行登录。下面分环节对　网上银行数字证书的应用进行阐述。　１．登录　网上银行登录是指用户通过互联网提供用户ＩＤ、　登录密码等身份识别信息，网上银行系统对用户身份进　行验证后，允许合法用户进入网上银行，操作自己账户　的过程。　由于使用“用户ＩＤ＋密码”作为用户身份识别的登　录方式，存在恶意分子非法获取他人ＩＤ和密码，从而冒　充他人身份登录网上银行的风险，因此系统的安全强度　有待提高。数字证书有安全的保存方式，不易被人盗取，　因此在网上银行的登录环节增加用户数字证书验证，能　够有效提高用户身份鉴别的安全性，防止冒充他人身份　维普资讯 http://www.cqvip.com

登录网上银行的行为发生。　网上银行系统增加数字证书功能，不会增加用户　的操作，对于用户是透明的。在登录环节增加证书认证，　网上银行系统会自动从用户的计算机读取密钥，数据加　密后传送到网上银行服务器系统，服务器对用户进行验　证后，允许合法用户登录。　２．转账／汇款　用户通过网上银行进行转账或汇款时，用户账户　资金将发生转移，这是网上银行的重要交易行为。用户　在提交转账／汇款交易时，系统自动对交易数据进行签　名，以保证交易的完整性和不可否认性，同时也对用户　的身份进行验证。网上银行服务器对交易签名进行留　存，以备日后查证。转账，汇款交易的数字签名流程如图　１所示。　＜　银转账／汇款页亘）　银转账　汇款页亘一）　ｉ　输入对方账号、转账金额等信息　ｌ　　【对报文使用Ｈａｓｈ算法计算摘要　ｌ　签名：信息摘要使用私钥进行加密　ｌ　密文附在交易报文后发送到服务器　ｌ　验签：服务器对密文进行解密　ｌ　使用Ｈａｓｈ算法计算交易报文的摘要　ｌ　完整性检查：比较信息摘要与　解密后的数据　ｌ　系统对交易和签名进行留存　图１转账／汇款交易的数字签名流程　技　Ｔｅｃｈｎｏｌｏｇｙ　３．付款　网上购物付款也涉及用户账户资金的转移。用户在　网上银行进行网上购物付款时，对用户的付款交易增加　签名，网上银行给商户转账时，商户返回的确认交易也　使用签名，可以对用户的付款交易和商户的收款确认进　行身份认证和防止交易抵赖。　４．理财　理财类交易如外汇买卖、股票基金买卖等，虽然资　金划出后有等值的外汇、股票存入账户，但也涉及用户　账户资金的转移，也需要使用数字签名防止交易抵赖。　５．查询　查询是网上银行业务量最大的交易。查询类交易如　账户查询、交易查询等都不涉及用户资金的转移，因此　可以不使用数字证书，也有利于减少网上银行系统的资　源开销。　网上银行交易及数字证书的作用如表１所示。　表１　网上银行交易及数字证书的作用　类别　内容　数字证书作用　身份认证　数据完整性　不可否认性　登录　１．用户登录　、／　１．同城转账　、／　、／　、／　转账　２．异地汇款　、／　、／　、／　付款　１．购物付款　、／　、／　、／　１．外汇买卖　、／　、／　理财　２．证券业务　、／　、／　１．账户查询　查询　２．交易查询　四、网上银行数字证书应用需注意的问题　１．系统效率与安全性　数字证书实现信息安全保护的实质是运用公钥和　私钥对传输信息进行加解密。加解密需要进行大量的运　算，会消耗系统资源。系统效率与安全往往存在着矛盾，　如何在保证系统安全的情况下提高系统的运行效率，使　网上银行系统既安全又快捷，是数字证书在网上银行应　用设计时要加以考虑的问题。　（下转第４４页）　中国金融电脑２００６年第７期・３９　维普资讯 http://www.cqvip.com

术　Ｔｅｃｈｎｏｌｏｇｙ　分配的地址来的网络流量；边界路由器不应该转发定向　广播；在边界路由器或防火墙设置某些类型数据包（如　３．控制　ＤｏＳ攻击的控制策略就是阻止ＤｏＳ攻击，包括：关　闭被攻击的有漏洞的网络服务，修补系统的漏洞；根据　攻击的特点在路由器上对数据包进行过滤，如源地址过　ＩＣＭＰ）的最高流量；对关键资源（ＩＳＰ，防火墙，Ｗｅｂ服务　器）提供足够的富裕容量和冗余；与ＩＳＰ配合进行预防　性的安全控制；建立事故发生时与ＩＳＰ协同响应的联系　方法；配置基于网络的入侵检测系统识别ＤｏＳ和ＤＤｏＳ　攻击流量；为了检测从外部进来的ＤｏＳ攻击，需要在防　火墙外部署探测器；让ＩＳＰ协助检测在ＩＳＰ网络上发生　的ＤｏＳ攻击；建立正常情况下的网络带宽和主机资源利　滤，数据包类型过滤；通知ＩＳＰ配合进行数据包过滤；将　目标系统切换到新的地址，恢复域名解析。　ＤｏＳ攻击的证据收集通常是困难的，因此不建议收　集证据。　ＤｏＳ攻击情况下，很难识别攻击者。因为ＤｏＳ攻击　用率的性能基线指标，当偏离基线很大的时候进行报警　或记录日志；互联网健康监控。建立正常情况下，其他机　构的Ｗｅｂ站点的响应时间作为基准，以便在事故发生　时确定ＤｏＳ攻击的范围；在本地保存处理ＤｏＳ攻击需　要的电子资料，以便在Ｉｎｔｅｒｎｅｔ不可用的时候，仍然可以　访问。　通常使用无连接的协议，即使使用有连接协议也不需要　建立完全的连接，所以攻击者可以很容易地假冒源ｉｐ　地址。分布式ＤｏＳ攻击的真正发起者往往躲在多级连接　之外，也难以追查。　为了识别攻击者，可以在事后通过查找网络和系统　日志，来发现ＤｏＳ攻击前的侦查行为中的痕迹。　４．根除　２．识别和评估　如表３所示，其他一些无害的行为也可能产生类　似的现象。所以在进行识别的时候还需要进行正确的判　ＤｏＳ攻击通常不需要特殊的根除措施。如果是针对　主机的ＤｏＳ攻击，应该修复相关的漏洞。　５．恢复　断，例如：ＩＤＳ对基于网络的ＤｏＳ攻击很容易产生误报　警，只应该作为辅助手段来识别ＤｏＳ攻击；如果基于主　机的ＤｏＳ攻击导致系统崩溃，往往很难发现是ＤｏＳ攻　击引起的。　（上接第３９页）　ＤｏＳ攻击的恢复通常只需要将系统重新放到运行　状态，观察系统是否可以正常工作。西　用户。对于没有申请数字证书的无证书用户，为了保障　用户的资金安全，网上银行可以提供受限的服务，如提　供查询、限额转账等。对于有证书用户，网上银行提供全　功能服务。用户经理也可以根据用户情况和用户对安全　网上银行的交易类别有转账、汇款、付款等资金转　移类交易，也有账户查询、交易查询等不涉及资金转移　的查询类交易。对于资金转移类交易需要使用数字签名　提高安全性，对于查询类交易可根据系统资源情况确定　的要求，有针对性地进行网上银行产品营销。　４．数字证书的选择　数字证书的颁发和认证是一套完整的系统，包括证　是否应用数字证书，实现系统效率和安全的平衡。　２．证书应用与业务流程　数字证书在网上银行的应用不仅是技术的设计和　实现，也涉及网上银行业务流程的改变。用户证书申请、　书申请和审核的注册机构ＲＡ、颁发证书的ＣＡ等，提　供诸如密钥管理（包括密钥更新，密钥恢复和密钥委　托等）、证书管理（包括证书产生和撤销等）和策略管　理等服务。我国已经颁布的《电子签名法》对数字签　名和认证服务提供者都做了明确的规定，网上银行系　统应用数字证书在选择ＣＡ和数字证书时，既要考虑　认证系统的权威、公正和系统的完善性，又要考虑认证　系统的合法性。日圆　证书下载和移交、证书的遗失和报失、证书到期更换等　都涉及业务流程，需要加入网上银行整体业务流程中进　行考虑。　３．有证书用户与无证书用户　有些用户使用网上银行次数不多，资金量也较小，　用户可能不愿意使用数字证书，为了满足不同用户群的　需求，可以把网上银行用户群分为无证书用户和有证书　４４・中国金融电脑２００６年第７期