信息安全技术在金融数据传输系统中的应用Word文件下载.docx

1、其中安全平台是保证金融业务实现的前提条件，也正是在这一部分，供应商的技术水平不尽相同，导致了“网上银行”的安全性和系统性能差别较大。产生这种产品性能差异的关键在于安全算法，其中最重要的算法是RSA非对称密钥算法。它能提供较好的安全性能，但RSA算法的数学特性使得其所需计算量巨大，对CPU的性能有很高的要求，因此成为影响一些金融数据传输系统性能的根本原因。对于需要有大批量数据进行并行处理的金融系统，也不能选择该算法来实现系统的数据传输安全性，而大大忽视对金融系统性能的要求。另一种情况则相反，现在多数的大型企业内部都建有数据传输系统，而且也能对数据进行高速传输，但这往往只出现在对数据无需高强度的机

2、密性传输的情况下，因为对于这种只需在企业内部使用的数据传输系统虽然也对传输的数据进行一定的加密处理，其对密钥的常规管理方式还是不能实现数据传输的高度安全性和完整性。对于一个拥有时间和高速计算能力的黑客来说，这种数据传输系统将是轻而易举就能被攻破的。因此，本文的金融数据安全传输系统尝试在运用PKI安全体系的基础上，主要使用最新的硬件加密方式有效完成PKI加密计算和密钥管理，组成金融数据安全传输系统中的独立安全子系统，它同时又可以被系统以接口直接调用，从而保证金融数据传输的安全、可靠和高效。本系统的成功应用案例使我国的网络金融安全数据传输的解决方案出现了一个新局面。1.3本文主要内容PKI （Pu

3、blic Key Infrastructure）技术是一种基于公开密钥理论的技术，它提供了一种框架，用户可以在这个框架下实施基于非对称加密的安全服务，创建鉴定和认证过程所需的身份和相关信任，管理基于公/私密钥的加密，从而提供一个比以前基于对称加密的安全基础设施强得多的解决方案。PKI的核心是确定信息网络空间中各种行为主体的唯一性、真实性和合法性，解决信息网络空间中的信任问题，现在，世界各国都在研究开发自己的PKI产品，我国作为一个网络大国，发展和应用PKI技术是很有必要的。本文在这样一个背景下，通过深入研究相关的数据加密标准和数据传输协议的基础上，希望开发一个能提供金融数据安全传输系统（SDE

4、P），建立一个有实际使用价值的金融网络安全环境，为我国网络金融的安全应用和顺利发展提供一个基础软件系统。本文对数据交换系统中的数据加密过程作了分解，并对各通信协议作了详尽分析，TCP（Transmission Control Protocol）协议和SSL（Secure Socket Layer）是目前Internet应用最普遍的网络通信协议和安全通讯协议，SSL使用数字证书进行相互认证和交换会话密钥，在TCP通信基础上为上层建立了一个安全通道，对建立在TCP通信协议上的通信数据使用对称加密算法进行加密，从而保障数据传输过程中低层通信的安全性。SSL加密的强度在金融数据交换中还不够，比较容易破

5、译。并由于SSL不对应用层的消息进行数字签名，因此不能提供数据交换的不可否认性，这是SSL在金融数据交换系统中的最大不足。PKI作为一种新的安全技术，由公开密钥密码技术、数字证书、证书发放机构（CA）和关于公开密钥的安全策略等共同组成，PKI作为安全技术框架在本系统中使用。本系统同时使用了加密机/卡和USBKEY进行硬件加密，加密机/卡在服务器端作为底层接收客户端建立SSL安全通道的SSL认证处理模块。USBKEY在客户端作为用户证书存储介质，并使用一个SSL通信库建立到服务器的SSL安全通道。本文通过对SDEP安全机制实现原理的详细分析，尝试在使用PKI框架的基础下，进一步使用了硬件加密的方

6、式，将USBKEY和加密机/卡作为硬件加密方式通过接口和系统相连，并对接口作了设计分析，从而使硬件加密方式成为整个安全系统实现数据安全传输的重要组成。1.4本文篇章结构全文共分五章，首先说明数据安全传输系统研究背景，指出目前技术机制的现状和不足，然后介绍了本系统的金融业务需求，接着进行SDEP架构分析设计，其中重点介绍安全子系统的架构设计。文章具体结构安排如下：第一章引言部分说明数据安全传输系统研究背景，指出目前金融数据传输系统的现状和不足，引出课题研究的意义，并说明本文主要内容；针对本文所用到一些技术方法，第二章介绍信息通信平台的相关技术，其中包括安全加密技术、通信协议、PKI安全体系、硬件

7、加密方式；为了提高金融数据安全传输系统的性能和安全性，第三章对开放式基金的业务流程以及主要参与人做了详尽分析，对系统数据传输逻辑和处理流程以及安全子系统等关键部分进行了进一步的分析；本文工作的重点是SDEP系统包括其中的SDEP安全子系统设计，因此在第四章重点介绍了基于PKI的SDEP系统架构设计、安全子系统结构设计以及SDEP硬件加密设计和相关的接口设计；最后第五章对本文工作进行了总结，分析了本系统与同类数据传输系统的不同并指出未来的工作展望。第二章金融数据传输系统技术基础2.1安全技术概述随着信息技术的发展，计算机技术及其通信网络地不断普及，计算机通信网络在不断改变人们的工作、生活方式，使

8、信息的获取、传递、处理和利用更加高效、迅速。随着科学技术不断发展，网络已经成为人们生活的一个组成部分，在各行各业迅速的应用。但是在另一个方面，随之而来的网络数据安全问题也越来越突出，在网络安全领域，攻击随时可能发生，系统随时可能崩溃，用户的数据可能被窃取、篡改等。如网站、银行、电子商务网站遭受黑客攻击；用户身份被盗用，信用卡等被盗用；网络通信数据被窃听等。因此，保证信息系统的安全和用户数据的机密性是IT信息系统必需考虑的问题，特别是在涉及到经济利益的金融业IT信息系统中，要求特别高。计算机网络安全针对不同的应用情况，其安全的要求也不同，一般包括对使用IT信息系统的人员的身份认证、数据本身的存储

9、安全、数据在网络传输过程中的安全6。2.2信息安全四要素在诸多信息安全的属性中，机密性、真实性、完整性、不可否认性是四个基本属性,实际上就是信息安全的四个核心属性，可以反映出信息安全的基本概貌。这是四个方面的含义如下：1、机密性即在网络上传递的信息是绝对保密的。确保数据只能为与预期的接收者使用或读出，而不能为其他的任何实体使用或读出，即，防止除指定接收方之外的任何第三方都不能截获数据并得到其内容。机密性通常与诸如SSL或DES等数据加密机制相关，其目的是保护在网络（例如互联网）上传输的数据不被他人得到。对于机密性保护机制的强度有两个关键要素。第一个是加密密钥的长度。通常，密钥越长，加密就越强壮

10、。第二个是加密周期，或密钥修改的频度。这个周期可以是基于固定值或基于会话协商的值。2、真实性真实性反映了信息与信息系统的行为不被伪造、篡改、冒充。如在电子数据传输过程中，交换数据的双方是通过网络联系的，信息可能被修改、删除、插入，真实性难以保证。因此，要求能够对传输中的数据信息真实性进行鉴别。3、完整性即通过网络传递的信息是完整的，在传输过程中间没有被非法修改。数据的完整性包括，数据的内容是否完备、数据传送的次序是否一致以及是否重复等。完整性能够可靠地确保数据在从源到目的地传送的过程中没有被修改。数据的完整性一般使用信息摘要安全技术来保证数据没有被修改或增减。4、不可抵赖性即发送信息的一方在发

11、送动作完成后不能否认其行为，也就是人们常说的“白纸黑字”，“防抵赖”。在无纸化的电子数据交换方式下，要在交换信息的传输过程中为参与交换的实体提供可靠的标识。不可抵赖性能够可靠地确定接受到的数据与发送的数据的一致，并且确保发送该数据的实体与其所宣称的身份一致。信息安全的四要素之间的关系如图2-1。数据的机密性是整个数据安全体系的基础，数据的真实性和完整性能保证数据交换的双方传送是正确的数据，不可抵赖性用来验证各方的身份，完成性和身份认证经常密切相关，而机密性优势使用公共密钥来实现，这样有助于对数据发送方的进行身份验证。信息安全的四要素是以“机密性”为基础、相互关联、缺一不可的一个整体7。图2-1

12、 信息安全四要素之间的关系2.3数据安全机制一个完整的信息安全体系，其是对信息处理的不同阶段、对不同的数据采用各种相应的安全技术手段而组成一个安全有机体8。从目前安全技术及其相应措施来看，主要由访问控制、监控和扫描、检测、安全审计、病毒防护、安全协议、攻击防护以及加密认证与密钥管理手段组成，它们组成信息安全技术的体系结构，如图2.2。图2-2 信息安全技术的体系结构本系统主要专注于在“加密技术层”、“安全认证层”和“安全协议层”结合本系统的实际应用提供相应的安全解决方案。2.4数据加密技术2.4.1加密技术概述互联网给人们带来很多方便，同时也给商家带来无限商机，然而在互联网上进行文件传输、电子

13、邮件商务往来过程中又存在许多不安全因素，这种不安全性是互联网存在基础TCP/IP协议所固有的，包括其他一些基于TCP/IP的服务。为了能解决这一矛盾，我们主要使用对数据加密和基于加密技术的数字签名。通过数据加密技术，可以在一定程度上提高数据传输的安全性，保证传输数据的完整性。在数据加密系统中，密钥控制了数据的加密和解密过程，一个加密系统的全部安全性是基于密钥的，而不是基于算法，所以加密系统的密钥管理是一个非常重要的问题。数据加密的基本过程就是对原来为明文的文件或数据按某种算法进行处理，使其成为不可读的一段代码，通常称为“密文”，使其只能在输入相应的密钥之后才能显示出本来内容，通过这样的途径来达

14、到保护数据不被非法人窃取、阅读的目的9。该过程的逆过程为解密，即将该编码信息转化为其原来数据的过程。任何一个加密系统至少包括下面四个组成部分：1、加密的报文，也称明文； 2、加密后的报文，也称密文；3、加密解密设备或算法；4、加密解密的密钥。数据加解密的实现及其过程如图2.3。图2-3 加密-解密实现组成结构图2.4.2加密算法分类加密技术是电子数据交换过程中的主要安全措施，数据交换双方可根据需要在信息交换的阶段使用。目前，加密技术通常分为两大类：“对称式”和“非对称式”。1、对称加密/对称密钥加密/专用密钥加密 对称式加密就是加密和解密使用同一个密钥，即，加密方和解密方使用相同的密钥对数据进

15、行加解密的操作，实现数据的保护。在使用对称加密算法加密数据时需要对密钥进行特殊的保管，以防泄露。对称加密的过程如图2-4。图2-4 对称加密过程现在一般通用的对称加密算法有DES、3DES、RC2、RC4、AES、SSF-33 等。对称加密处理简单，计算量少，加密解密速度快，但是其密钥管理困难。一般适合对大数据量进行加解密。2、非对称加密/公开密钥加密 非对称式加密就是加密和解密所使用的不是同一个密钥，通常有两个密钥，称为“公钥”和“私钥”，它们两个必须配对使用，否则不能打开加密文件。这里的“公钥”是指可以对外公布的，“私钥”则只能由持有人一人知道。这样就很好地保证了密钥的安全性，因为使用对称

16、式的加密方法在网络上传输加密文件，不管用什么方法把密钥告诉对方，都有可能被窃听到。而非对称式的加密方法有两个密钥，其中的“公钥”是可以公开的，收件人解密时则使用自己的私钥。非对称加密的过程图2-5。图2-5 非对称加密过程RSA（Rivest， Shamir Adleman）算法是著名的非对称加密算法。它有如下的优点：（1）解决密钥管理问题，在其特有的密钥发放体制中，即使用户数大幅度增加，密钥也不会向外扩散。（2）由于密钥已事先分配，不需要在通信过程中传输密钥，安全性大大提高。（3）具有很高的加密强度。但是RSA存在的主要问题是算法的运算速度较慢。因此，在实际的应用中通常不采用这一算法对信息量

17、大的信息进行加密。2.5安全通信协议在网络的各层中存在许多协议，它们定义通过网络进行通信的规则，接收方和发送方同层的协议必须一致，否则一方将无法识别另一方发出的信息，以这种规则规定双方完成信息在计算机之间的传送。随着网络的普及，TCP通信协议成为目前最常用的网络通信协议。但是，由于TCP通信协议不能保证网络通信数据的安全，SSL通信又被逐步应用起来。2.5.1TCP通信协议TCP（Transmission Control Protocol）协议是Internet最基本的协议，广泛用于不同网络的互联。TCP作为IP的上层协议支持端节点之间通信，提供面向连接的流式通信形态的应用程序。TCP/IP参

18、考模型是一个抽象的分层模型，它和开放系统互联参考模型（OSI）基本对应，某些层是一致的。TCP/IP及其协议分层模型如图2-6。图2-6 TCP/IP及相应协议的分层模型TCP相当于OSI传输层所提供的服务，具有修正错误、顺序控制、流控制阻塞控制等功能。因此通信程序对通信时的错误或阻塞等低层的通信情况无需再过多考虑。IP处于OSI网络层，规定Internet网关之间、网关和主机之间的通信协议，它决定应该传送的网关的路由、实际通信的最大传送单位和把IP的数据报进行分割重组等。TCP通信协议为我们提供基于端到端数据包交换、快速传输数据的数据流通信服务模型，具有可靠数据传输、错误控制和数据丢失控制机

19、制，同时设计简单，接口清晰，可扩展性强10,11。2.5.2SSL通信协议SSL（Secure Socket Layer）是目前因特网应用最普遍的安全通讯协议，新的SSL协议又命名为TLS（Transport Layer Security）。SSL位于应用层和TCP层之间，建立用户与服务器之间的加密通信，确保信息传递的安全性。对建立在TCP通信协议上的通信数据使用对称加密算法进行加密，并使用数字证书进行相互认证和交换会话密钥，从而保障数据传输过程中低层通信的安全性。SSL基本组成部分如图2-7。SSL在客户和服务器之间建立一条加密通道，确保所传输的数据不被非法窃取，SSL安全加密机制功能是依靠

20、使用数字证书来实现的。任何用户都可以获得公共密钥来加密数据，但解密数据必须要通过相应的私人密钥。使用SSL安全机制时，首先客户端与服务器建立TCP连接，服务器把它的数字证书与公共密钥一并发送给客户端，客户端随机生成会话密钥，用从服务器得到的公共密钥对会话密钥进行加密，并把会话密钥在网络上传递给服务器，而会话密钥只有在服务器端用私人密钥才能解密，这样，客户端和服务端就建立了一个唯一的安全通道。图2-7 SSL通信协议的组成 SSL协议的主要用途是在两个通信应用程序之间提供私密性和可靠性，这个过程通过3个元素来完成：1、握手协议这个协议用于协调产生客户机和服务器之间会话的加密参数，实现客户机和服务

21、器之间的身份认证。当一个SSL客户机和服务器第一次开始通信时，它们在一个协议版本上达成一致，选择加密算法和认证方式，并使用公钥技术来生成共享密钥。SSL协议通信的握手步骤如下：（1）SSL客户机连接至SSL服务器，并要求服务器验证它自身的身份；（2）服务器通过发送它的数字证书证明其身份。这个交换还可以包括整个证书链，和某个证书颁发机构CA。通过检查有效日期并确认证书包含可信任CA的数字签名来验证证书的有效性。（3）服务器发出一个请求，对客户端的证书进行验证。（4）协商用于加密的消息加密算法和用于完整性检查的哈希函数。由客户端提供它支持的所有算法列表，然后由服务器选择最强大的加密算法。（5）客户

22、机和服务器通过以下步骤生成会话密钥： 客户机生成一个随机数，并使用服务器的公钥（从服务器证书中获取）对它加密，送到服务器上。 服务器用更加随机的数据（客户机的密钥可用时使用客户机密钥，否则以明文方式发送数据）响应。 使用哈希函数从随机数据中生成密钥。2、记录协议这个协议用于交换应用数据。应用程序消息被分割成可管理的数据块，对数据进行压缩，同时产生一个消息认证代码MAC，加密后传输。接受方接受数据并对它解密，校验MAC，解压并重新组合，把结果提供给应用程序协议。3、警告协议这个协议用于警告在什么时候发生了错误或两个主机之间的会话在什么时候终止。SSL通信在TCP通信基础上为上层建立了一个安全通道

23、，保证数据传输过程的安全，并且类似TCP简单易用。SSL的缺陷是只能保证传输过程的安全，无法知道在传输过程中是否受到窃听，黑客仍可以破译SSL的加密数据，破坏和盗窃通信数据。SSL通信过程的加密密钥一般为40位或128位，这种加密的强度在一般使用电子商务的电子数据交换中还不够，比较容易破译。同时由于SSL不对应用层的消息进行数字签名，无法提供数据交换的不可否认性，这是SSL在电子商务应用中的最大不足12。2.6公钥基础设施PKI PKI（Public-Key-Infrastructure）是一种新的安全技术，它由公开密钥密码技术、数字证书、证书发放权威机构CA（Certificate Auth

24、ority）和关于公开密钥的安全策略等基本成分共同组成。2.6.1PKI安全体系概述PKI是利用公钥技术实现数据传输安全的一种体系，它遵循标准的利用公钥加密技术提供一套安全基础平台的技术和规范为网络通信提供安全服务，是创建、颁发、管理、注销公钥证书所涉及到的所有软件、硬件的集合体。其核心元素是数字证书，核心执行者是CA认证机构。使用基于公钥技术系统的用户建立安全通信信任机制的基础是网上进行的任何需要安全服务的通信都是建立在公钥的基础之上，而与公钥成对的私钥只掌握在他们与之通信的另一方。这个信任的基础通过使用公钥证书实现，公钥证书将用户的身份与他所持有的公钥相结合，在结合之前先由一个可信任的权威

25、机构CA来证实用户的身份，然后由其对公钥证书进行数字签名，以证明证书的有效性。PKI由CA在公钥加密技术基础上对证书的产生、管理、存档、发放以及作废进行管理，包括实现这些功能的全部硬件、软件、人力资源、相关政策和操作程序，以及为PKI体系中的各成员提供全部的安全服务，如实现通信中各实体的身份认证、保证数据的完整、抗否认性和信息保密。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等13。PKI技术采用数字证书管理公钥，通过第三方的可信任机构认证中心CA，把用户的公钥和用户的其他标识信息（如名称、e- mail、身份证号等）捆绑在一起，在网络上验证用户的身份。2.6.2

26、PKI的功能和服务PKI提供的主要功能及其服务有：实体鉴别、数据的保密性、数据的真实性和完整性、不可否认性、证书审批发放、密钥历史记录、时间戳、密钥备份与恢复、密钥自动更新、黑名单实时查询和支持交叉认证等，其提供的服务示意图如图2-8。图2-8 PKI安全体系功能组成图2.6.3数字证书介绍为保证网络通信中数字信息的传输安全，除了在通信传输中采用更强的加密算法等措施，还必须建立一种信任及信任验证机制，即参加数据交换的各方必须有一个能被验证的标识，这就是数字证书。数字证书是各实体（商业应用中的持卡人/个人、商户/企业、网关/银行等）在网络上信息交流及商务交易活动中的身份证明。数字证书将身份绑定到

27、一对可以用来加密和签名数字信息的电子密钥，从而验证一个人使用给定密钥的权利，防止有人利用假密钥冒充其他用户。数字证书从某种意义上就相当于身份证，用来在数据交换过程中标识自己，与加密一起提供一个更加完整的解决方案，确保数据交换中各方的身份。数字证书可存放于计算机硬盘、智能卡、USBKEY等安全设备中，将实体的公开密钥同实体本身联系在一起14,15,16。数字证书由认证中心CA发放，并使用 CA 的私钥签名，一个标准的数字证书必须符合X.509国际标准，它包含以下一些内容：1、证书的版本信息；2、证书的序列号，每个证书均有一个唯一的证书序列号；3、证书所使用的签名算法；4、证书的发行机构名称，命名

28、规则一般采用X.500格式；5、证书的有效期，现在通用的证书一般采用UTC时间格式，它的计时范围为1950-2049；6、证书所有人的名称，命名规则一般采用X.500格式；7、证书所有人的公开密钥；8、证书发行者对证书的签名。2.6.4CA及其证书管理数字证书认证中心CA是整个数据传输、电子交易安全的关键环节。它主要负责产生、分配并管理所有参与网上交易的实体所需的身份认证数字证书。每一份数字证书都与上一级的数字签名证书相关联，最终通过安全链追溯到一个已知的并被广泛认为是安全、权威、足以信赖的机构根认证中心（根CA）。在PKI体系中，CA是构成整个PKI安全体系的关键部分。认证中心CA，是电子商务体系中的核心环节，是电子交易中信赖的基础。它通过自身的注册审核体系，检查核实进行证书申请的用户身份和各项相关信息，使参与数据交换的用户属性客观真实性与证书的真实性一致。认证中心作为权威的