袁升發(fā)吳 雷

1.上?？萍脊芾韺W校 上海楊浦200433 2.上海神州數(shù)碼通訊有限公司 上海長寧 200335

一個關于證券網(wǎng)上交易系統(tǒng)應用安全支撐平臺的解決方案

袁升發(fā)1吳 雷2

1.上海科技管理學校 上海楊浦200433 2.上海神州數(shù)碼通訊有限公司 上海長寧 200335

證券行業(yè)信息安全問題的日益顯現(xiàn)，從某種程度上制約了網(wǎng)上交易市場的發(fā)展，因此信息安全保障問題是網(wǎng)上證券交易系統(tǒng)建設和運行中必須解決的基礎和根本性問題。證監(jiān)會和國家信息安全主管部門充分認識到這一問題的緊迫性，多次下發(fā)政策和技術指導文件，指導各證券公司規(guī)范IT系統(tǒng)信息安全建設、安全操作和安全管理。本文提煉出旨在解決面向無柜臺服務的證券用戶網(wǎng)上交易合法性和真實性問題的應用安全解決方案。

證券行業(yè)；信息安全；IT系統(tǒng)；網(wǎng)上交易

一、方案概述

證券行業(yè)是重要的資本市場元素。由于證券是與IT同步發(fā)展的新興行業(yè)，因此證券行業(yè)在信息化基礎建設中使用了大量的網(wǎng)絡技術。隨著互聯(lián)網(wǎng)的發(fā)展，證券行業(yè)也將業(yè)務模式從傳統(tǒng)的柜臺交易拓展到網(wǎng)上交易、手機交易等領域，越來越多的投資者選擇網(wǎng)上交易。但無論是采用網(wǎng)頁式下單還是網(wǎng)上交易系統(tǒng)下單，證券期貨經(jīng)營機構的內(nèi)部網(wǎng)絡都會暴露在互聯(lián)網(wǎng)上，因此很容易受到黑客和病毒攻擊，直接關系到客戶與證券公司的切身利益。

本文提煉出旨在解決面向無柜臺服務的證券用戶網(wǎng)上交易合法性和真實性問題的應用安全解決方案。該方案嚴格遵從《證券期貨業(yè)信息系統(tǒng)安全等級保護基本要求》、《證券公司網(wǎng)上證券信息系統(tǒng)技術指引》和《期貨公司網(wǎng)上期貨信息系統(tǒng)技術指引》，從身份認證系統(tǒng)的體系架構設計、與登錄系統(tǒng)的結(jié)合、用戶身份信息的存儲、通訊數(shù)據(jù)加密、區(qū)域隔離等方面全方位降低網(wǎng)上交易的安全風險。

二、需求分析

網(wǎng)上證券交易無論在費用、服務質(zhì)量和便捷性等方面，都是傳統(tǒng)營業(yè)部所無法比擬的，這種新型的交易模式打破了時空限制，降低了券商的經(jīng)營成本，減少了交易環(huán)節(jié)，提高了交易效率，加快了證券市場信息流動速度，提高了資源配置效率，優(yōu)勢十分明顯。目前中國證券行業(yè)超過90%的證券公司都開通了網(wǎng)上交易業(yè)務。隨著非柜臺業(yè)務的拓展，信息安全事件發(fā)生的頻率，以及影響的范圍和程度也隨之擴大，從頻繁發(fā)生的證券信息安全事件分析，越來越多的安全事件大都是由于密碼被盜造成。一直以來，大量的關于證券行業(yè)發(fā)生騙盜的報道不斷見諸報端，不法分子通過竊取用戶的賬號和密碼，大量盜用交易。因此，證券行業(yè)最迫切需要解決的安全問題是如何保證交易的合法性和有效性，用戶感覺最直接的就是網(wǎng)上交易系統(tǒng)的用戶登錄和身份認證。

目前，廣大券商網(wǎng)上交易系統(tǒng)采取的用戶身份安全機制為靜態(tài)的“用戶名+口令”，黑客或非法人員很容易通過剽竊、攔截、暴利破解、猜測等方式獲取用戶登錄信息，進而進行非法操作。隨著一系列金融證券類信息安全事件的發(fā)生，各證券公司已經(jīng)意識到作為交易系統(tǒng)的第一道防線，登錄用戶的身份認證是至關重要的。它不僅涉及到用戶信息，特別是賬戶、資金等重要信息的安全，更直接影響到金融機構的信譽，證券交易系統(tǒng)在密碼認證安全上存在嚴重隱患。

為此，證監(jiān)會在近期下發(fā)了《關于加強對投資者網(wǎng)上交易安全保護的通知》，并對證券公司網(wǎng)上證券信息系統(tǒng)安全建設給出了詳細的技術指引，例如鏈路安全、系統(tǒng)備份、網(wǎng)站安全、應急、通訊數(shù)據(jù)加密強度、管理制度等等。其中與廣大客戶最密切相關的是網(wǎng)上交易系統(tǒng)的用戶身份認證。技術指導中規(guī)定證券公司應提供可靠的用戶身份認證機制，支持網(wǎng)上證券客戶端采用多種認證方式與服務端進行身份認證。除輸入賬戶名、口令、驗證碼的身份認證方式之外，還應向客戶提供一種以上強度更高的身份認證方式，如，客戶端電腦或手機特征碼綁定、軟硬件證書、動態(tài)口令等認證方式，確認網(wǎng)上交易客戶的身份和登錄的合法性，防止非法接入。

基于上述原因，各證券公司紛紛對現(xiàn)有業(yè)務系統(tǒng)用戶身份認證方式提出了技術改造方案，通過改變認證方式，增加認證強度，來達到提高網(wǎng)上證券交易系統(tǒng)安全系數(shù)的目標。

三、設計思路

通過對證券行業(yè)網(wǎng)上交易系統(tǒng)安全形勢的分析，方案認為應在現(xiàn)有的網(wǎng)上證券交易系統(tǒng)之外單獨打造一套證券行業(yè)網(wǎng)上交易系統(tǒng)安全應用平臺，該平臺將取代業(yè)務系統(tǒng)自帶的用戶身份認證和授權功能模塊，使用強身份認證機制替代現(xiàn)在安全強度較弱的用戶名+靜態(tài)口令的身份認證方式，實現(xiàn)基于角色的系統(tǒng)訪問權限控制，屏蔽因業(yè)務系統(tǒng)自身安全漏洞而導致的用戶身份認證信息的外泄和非法使用。

該帶外認證和授權安全應用平臺采用PKI、OTP、SSO等成熟技術，在證券公司后臺系統(tǒng)中設置統(tǒng)一身份認證中心，對內(nèi)部外部證券網(wǎng)上交易系統(tǒng)用戶統(tǒng)一發(fā)放身份認證憑證，該憑證根據(jù)實際使用需要可以為數(shù)字證書、USB-KEY、矩陣卡、動態(tài)口令認證系統(tǒng)等等多種形式。前臺用戶使用身份憑證進行身份確認，并獲取相應的系統(tǒng)使用權限。該系統(tǒng)還將在基本的用戶身份統(tǒng)一認證、統(tǒng)一授權的基礎上提供單點登錄、交易信息數(shù)字簽名、用戶信息加密通訊、安全審計安全功能。

系統(tǒng)邏輯結(jié)構示意圖如下所示：

四、系統(tǒng)邏輯架構

證券行業(yè)網(wǎng)上交易系統(tǒng)安全應用平臺技術架構如下圖所示：

系統(tǒng)運行于通用硬件和操作系統(tǒng)平臺之上，綜合多種身份認證技術打造平臺核心系統(tǒng)。內(nèi)網(wǎng)用戶通過內(nèi)網(wǎng)門戶網(wǎng)站，公眾業(yè)務全體通過安全網(wǎng)關，從兩條路徑訪問證券網(wǎng)上交易系統(tǒng)。系統(tǒng)對所有發(fā)起請求均轉(zhuǎn)向統(tǒng)一身份認證平臺請求用戶身份認證，認證通過后才分配相應系統(tǒng)使用權限，并對網(wǎng)上交易行為進行詳細記錄。

五、系統(tǒng)組成

證券行業(yè)網(wǎng)上交易系統(tǒng)安全應用平臺系統(tǒng)通過以下產(chǎn)品形式展現(xiàn)給用戶：

統(tǒng)一授信系統(tǒng)：后臺網(wǎng)上交易系統(tǒng)用戶身份認證標識發(fā)放系統(tǒng)，標識形式可以由用戶根據(jù)需要自由選擇，主要包括、文件型數(shù)字證書、動態(tài)口令卡、矩陣卡、靜態(tài)密碼、USB-KEY等。該系統(tǒng)還承擔用戶身份標識系統(tǒng)的日常維護工作，包括有效性、黑白名單等。

統(tǒng)一身份認證平臺服務器：認證平臺服務器是統(tǒng)一登錄的核心系統(tǒng)，它主要負責對網(wǎng)上交易系統(tǒng)用戶提出身份驗證，分配權限，對網(wǎng)上操作行為提供審計和監(jiān)控功能。同時為安全應用平臺自身提供用戶管理、權限管理、性能監(jiān)控、配置工具和應用向?qū)У确矫婀δ埽瑤椭芾韱T實現(xiàn)對證券行業(yè)網(wǎng)上交易系統(tǒng)安全應用平臺的集中控管。

安全網(wǎng)關：網(wǎng)上交易系統(tǒng)用戶訪問接口，提供單點登錄，同時通過通訊加密模塊與安全客戶端共同構建數(shù)據(jù)通訊安全隧道。

適配器接口：主要用于與客戶現(xiàn)有J2EE應用系統(tǒng)無縫集成，安裝于網(wǎng)上交易服務器端的插件程序，以API接口調(diào)用的方式，實現(xiàn)與統(tǒng)一身份認證平臺之間的數(shù)據(jù)調(diào)用。

安全客戶端：安全客戶端以功能模塊的方式與證券網(wǎng)上交易系統(tǒng)客戶端捆綁在一起，為網(wǎng)上交易用戶提供安全的遠程業(yè)務應用服務，安全客戶端可以選用安裝有由證券公司統(tǒng)一下發(fā)的數(shù)字證書，為每筆交易提供身份認證和數(shù)字簽名，也可以選用只具有單一認證功能的動態(tài)口令卡、矩陣卡，以及其他認證客戶端工具。

六、系統(tǒng)部署

按照系統(tǒng)應用和業(yè)務流程，整個系統(tǒng)部署分為平臺服務器、安全網(wǎng)關、客戶端幾個部分，其中，平臺服務器又分為服務前端和服務后端兩個部分。

服務前端提供用戶網(wǎng)上交易的安全保障服務，通過身份驗證、數(shù)字簽名等服務保障網(wǎng)上用戶安全交易，即通常所說的統(tǒng)一身份認證平臺。

服務后端通過是指統(tǒng)一身份認證平臺的授信系統(tǒng)，該系統(tǒng)為服務前端提供安全支撐平臺，服務前端所有安全服務都依賴于服務后端的安全支撐平臺。

安全網(wǎng)關是提供一個統(tǒng)一的對外服務接口，同時為網(wǎng)上交易服務提供加密服務。

客戶端是網(wǎng)上交易業(yè)務及應用的安全交易接口，客戶端通過客戶端應用接口程序和安全網(wǎng)關進行安全交互，保障網(wǎng)上交易用戶的安全接入和接入后的安全交易。

平臺服務器、安全網(wǎng)關、客戶端之間采用合理的安全隔離措施，其中平臺服務器部署于網(wǎng)上交易系統(tǒng)的后系統(tǒng)中，安全網(wǎng)關部署于網(wǎng)上交易系統(tǒng)的前系統(tǒng)中，客戶端則部署于網(wǎng)上交易系統(tǒng)用戶終端上。

七、方案特點

本方案立足于證券用戶網(wǎng)上交易系統(tǒng)的實際需求，有如下特點：

本方案提供的技術方案能夠滿足各類證券公司的應用系統(tǒng)用戶身份認證需求（身份認證、授權、加密、審計等各種功能）；不依賴于單一安全產(chǎn)品和廠家；選選用技術和產(chǎn)品嚴格遵循標準化設計，能夠與證券業(yè)務系統(tǒng)做到無風集成；多樣化的終端認證方式能夠滿足各類型網(wǎng)上交易用戶的認證需求；較高的性能價格比。

八、推廣價值

安全的改善：（1）解決了交易客戶端和證券應用系統(tǒng)交易數(shù)據(jù)的明文傳輸問題；（2）提高證券用戶身份驗證的安全級別；（3）有效的防止廣大證券用戶被盜買、盜賣。

應用價值的體現(xiàn)：（1）保證在網(wǎng)上開展證券業(yè)務安全、有序發(fā)展；（2）豐富證券用戶身份驗證的可操作種類。為廣大的證券用戶提供適合每一個人的認證方式；（3）為證券公司對證券交易管理提供操作簡單的交互式平臺；（4）滿足技術審計、監(jiān)管部門現(xiàn)場檢查及中國司法機構調(diào)查取證等要求；（5）為廣大證券用戶的財富帶了更大的保障。