网上银行信息系统安全通用规范.doc
《网上银行信息系统安全通用规范.doc》由会员分享,可在线阅读,更多相关《网上银行信息系统安全通用规范.doc(37页珍藏版)》请在咨信网上搜索。
1、网上银行系统信息安全通用规范附件网上银行系统信息安全通用规范(试行)中国人民银行目 录1 使用范围和要求42 规范性引用文件43 术语和定义54 符号和缩略语65 网上银行系统概述651 系统标识652 系统定义753 系统描述754 安全域86 安全规范961 安全技术规范962 安全管理规范2263 业务运作安全规范26附l 基本的网络防护架构参考图30附2 增强的网络防护架构参考图31前 言 本规范是在收集、分析评估检查发现的网上银行系统信息安全问题和已发生过的网上银行案件的基础上,有针对性提出的安全要求,内容涉及网上银行系统的技术、管理和业务运作三个方面。 本规范分为基本要求和增强要求
2、两个层次。基本要求为最低安全要求,增强要求为本规范下发之日起的三年内应达到的安全要求,各单位应在遵照执行基本要求的同时,按照增强要求,积极采取改进措施,在规定期限内达标。 本规范旨在有效增强现有网上银行系统安全防范能力,促进网上银行规范、健康发展.本规范既可作为网上银行系统建设和改造升级的安全性依据,也可作为各单位开展安全检查和内部审计的依据。1使用范围和要求 本规范指出了网上银行系统的描述、安全技术规范、安全管理规范、业务运作安全规范,适用于规范网上银行系统建设、运营及测评工作.2规范性引用文件 下列文件中的条款通过本规范的引用而成为本规范的条款.凡是注日期的引用文件,其随后所有的修改单(不
3、包括勘误的内容)或修订版均不适用于本规范,然而,鼓励根据本规范达成协议的香方研究是否可使瑚这些文件的最新版本。凡是不注日期的引用文件,其最新版本适用于本规范. GB/IT209832008信息安全技术网上银行系统信息安全保障评估准则 GB/T222392008信息安令技术信息系统安全等级保护基本要求 GB/T 20984-2007信息安全技术信息系统风险评估规范 GB/T 1 8336。12008信息技术安全技术信息技术安全性评估准则第1部分:简介和一般模型 GB/T 1 8336。22008信息技术安全技术信息技术安全性评估准则第2部分:安全功能要求 GB/T l 8336。32008信息技
4、术安全技术信息技术安全性评估准则第3部分:安全保证要求 GB/T 220802008信息技术安全技术信息安全管理体系要求 GB/T 22081-2008信息技术安全技术信息安全管理使用规则 GB/T 14394-2008计算机软件可靠性和可维护性管理 GB/T 222392008信息安全技术信息系统安全等级保护基本要求中围人民银行关丁进一步加强银行业金融机构信息安全保障工作的指导意见(银发(2006) 123号)中国人民银行 中国银行业监督管理委员会 公安部 国家工商总局关于加强银行卡安全管理预防和打击银行卡犯罪的通知(银发(2009) 142号)中国人民银行办公厅关于贯彻落实中国人民银行 中
5、国银行业监督管理委员会 公安部 国家工商总局关于加强银行卡安全管理预防和打击银行卡犯罪的通知的意见(银办发2009 149号)3术语和定义 GB/T 20274确立的以及下列术语和定义适用于本规范。31网上银行 商业银行等金融机构通过互联网等公众网络基础设施,向其客户提供各种金融业务。32互联网 因特网或其他类似形式的通用性公共计算机通信网络。33敏感信息 任何影响网上银行安全的密码、密钥以及交易数据等信息,密码包括但不限于转账密码、查询密码、登录密码、证书的PIN码等. 34客户端程序 为随上银行客户提供人机交互功能的程序,以及提供必需功能的组件,包括但不限于:可执行文件、控件、静态链接库、
6、动态链接库等。35 USB Key 一种USB接口的硬件设备.它内置单片机或智能卡芯片,有一定的存储空间,可以存储用户的私钥以及数字证书。36 USB Key固件 影响USB Key安全的程序代码。37强效加密 一个通用术语,表示极难被破译的加密算法。加密的强壮性取决于所使用的加密密钥。密钥的有效长度应不低于可比较的强度建议所要求的最低密钥长度.对于基于密钥的系统(例如3DES),应不低于80位.对于基于因子的公用密钥算法(例如RSA),应不低于1024位。4符号和缩略语以下缩略语和符号表示适用于本规范:CA 数字证书签发和管理机构(Certification Authority)Cookie
7、s 为辨别客户身份而储存在客户本地终端上的数据COS 卡片操作系统(Card Operating System)C/S 客户机/服务器(Client/Server)DOS/DDOS 拒绝服务/分布式拒绝服务(Denial of ServiceDistributed of Service)IDS/IPS 入侵检测系统入侵防御系统(Intrusion Detection SystemIntrusion Prevention System)IPSEC IP安全协议OTP 一次性密码(One Time Password)PKI 公钥基础设旅(Public Key Infrastructure)SSL
8、安全套接字层(Secure Socket Layer)SPA/DM 简单能繁分析差分能量分析(Simple Power AnalysisDifferential Power Analysis)SEMA/DEMA 简单电磁分析差分电磁分析 (Simple Electromagnetism Analysis Differential Electromagnetism Analysis)TLS 传输层安全(Transfer Layer Secure)VPN 虚拟专用网络(Virtual Private Network)5 网上银行系统概述5.1 系统标识在系统标识中应标明以下内容:一名称:XX银行网
9、上银行系统一所属银行5。2 系统定义 网上银行系统是商业银行等金融机构通过互联网等公众网络基础设施,向其客户提供各种金融业务服务的一种重要信息系统.网上银行系统将传统的银行业务同互联网等资源和技术进行融合,将传统的柜台通过互联网向客户进行延伸,是商业银行等金融机构在网络经济的环境下,开拓新业务、方便客户操作、改善服务质量、推动生产关系变革等的重要举措,提高了商业银行等金融机构的社会效益和经济效益。53 系统描述网上银行系统主要由客户端、通信网络和服务器端组成。53。1客户端 网上银行系统客户端不具备或不完全具备专用金融交易设备的可信通讯能力、可信输出能力、可信输入能力、可信存储能力和可信计算能
10、力,因此,需要辅助安全设备,并通过接受、减轻、规避及转移的策略来应对交易风险。因此,网上银行系统客户端应包括基本交易终端和专用辅助安全设备。 基本交易终端目前主要为电脑终端,将来可包括手机、固定电话等. 专用辅助安全设备用于保护数字证书、动态口令和静态密码等,应按照其在交易中具备的可信通讯能力、可信输出能力、可信输入能力、可信存储能力和可信计算能力等五种能力的组合对其进行分类分析,并制订与之适应的交易安全风险防范策略。5。32通信网络 网上银行借助互联网技术向客户提供金融服务,其通信网络的最大特点是开放性,开放性带来的优点是交易成本的降低和交易便利性的提高,缺点是交易易受到安全威胁及通讯稳定性
11、降低。因此,网上银行业务设计应充分利用开放网络低成本和便利的特点,有效应对开放网络通讯安全威胁,同时采取手段提高交易稳定性和成功率.5.3。3服务器端: 网上银行系统服务器端用于提供网上银行应用服务和核心业务处理,应充分利用各种先进的物理安全技术、网络安全技术、主机安全技术、访问控制技术、密码技术、安全审计技术、系统漏洞检测技术和黑客防范技术,在攻击者和受保护的资源间建立多道严密的安全防线。5。4 安全域 网上银行系统是一个涉及不同的应用系统、客户对象、数据敏感程度等的复杂信息系统。在网上银行系统的描述中,应根据应用系统、客户对象、数据敏感程度等划分安全域。 安全域是一个逻辑的划分,它是遵守相
12、同的安全策略的用户和系统的集合.通过对安全域的描述和界定,就能更好地对网上银行系统信息安全保障进行描述。具体而言,网上银行系统主要包括:客户端、网上银行访问子网、网上银行业务系统、中间隔离设备和安全认证设备等.如图1所示:外部区域:网上银行的用户,安装网上银行客户端,通过互联网访问网上银行业务系统;安全区域一:网上银行访问子网,主要提供客户的Web访问;安全区域二:网上银行业务系统,主要进行网上银行的业务处理;银行内部系统:银行处理系统,主要进行银行内部的数据处理。6 安全规范 作为金融机构IT业务应用系统之一,网上银行系统需要与其他业务应用系统一起纳入金融机构全面的风险管理体系中。网上银行信
13、息安全规范可分为安全技术规范、安全管理规范和业务运作安全规范。安全技术规范从客户端安全、专用辅助安全设备安全、网络通信安全和网上银行服务器端安全几个方面提出;安全管理规范从组织结构、管理制度、人员及文档管理和系统运行管理几个方面提出,业务运作安全规范从业务申请及开通、业务安全交易机制、客户教育几个力面提出.下面将分别对其进行阐述。6。1安全技术规范611客户端安全6111客户端程序 A基本要求: a) 客户端程序上线前应进行严格的代码安全测试,如果客户端程序是外包给第三方机构开发的,金融机构应要求开发商进行代码安全测试。金融机构应建立定期对客户端程序进行安全检测的机制。 b) 客户端程序应通过
14、指定的第三方中立测试机构的安全检测。 c) 客户端程序应具有抗逆向分析、抗反汇编等安全性防护措施,防范攻击者对客户端程序的调试、分析和篡改。 d) 客户端程序的临时文件中不应出现敏感信息,临时文件包括但不限于Cookies。客户端程序应禁止在身份认证结束后存储敏感信息,防止敏感信息的泄露。e) 客户端程序应防范键盘窃听敏感信息,例如防范采用挂钩Windows键盘消息等方式进行键盘窃听,并应具有对通过挂钩窃听键盘信息进行预警的功能。f) 客户端程序应防范恶意程序获取或篡改敏感信息,例如使用浏览器接口保护控件进行防范。B增强要求:a) 客户端程序应保护在客户端启动的用于访问网上银行的进程,防止非法
15、程序获取该进程的访问权限。b) 进行转账类交易时,客户端程序应采取防范调试跟踪的措施,例如开启新的进程.c) 客户端程序应采用反屏幕录像技术,防止非法程序获取敏感信息。6。1.1.2密码保护A基本要求:a) 禁止明文显示密码,府使心相同位数的同一特殊字符(例如和)代替。b) 密码应有复杂度的要求,包括: 长度至少6位,支持字母和数字共同组成。 在客户设置密码时,应提示客户不使用简单密码。c) 如有初始密码,首次登录时应强制客户修改初始密码。d) 应具有防范暴力破解静态密码的保护措施,例如在登录和交易时使用图形认证码,图形认证码应满足: 由数字和字母组成。 随机产生。 包含足够的噪音干扰信息,避
16、免恶意代码自动识别图片上的信息. 具有使用时间限制并仅能使用一次。e) 使用软键盘方式输入密码时,应对整体键盘布局进行随机干扰。f) 应保证密码的加密密钥的安全。g) 应提醒客户区分转账密码与其他密码。B增强要求:a) 采用辅助安全设备(例如USB Key或专用密码输入键盘)输入并保护密码。b) 密码输入后立即加密,敏感信息在应用层保持端到端加密,即保证数据在从源点到终点的过程中始终以密文形式存在。6。1.1。3登录控制A基本要求:a) 设置连续失败登录次数为10次以下,超过限定次数应锁定网上银行登录权限。b) 退出登录或客户端程序、浏览器页面关闭后,应立即终止会话,保证无法通过后退、直接输入
17、访问地址等方式重新进入登录后的网上银行页面.c) 退出登录时应提示客户取下专用辅助安全设备,例如USB Key.B增强要求:屏蔽客户端使刚Ctrl+N等快捷键等方式重复登录.6。12专用辅助安全设备安全6。1。2.1 USB KeyA。基本要求:a) 金融机构应使用指定的第三方中立测试机构安全检洲通过的USB Key。b) 应在安全环境下完成USB Key的个人化过程。c) USB Key应采用具有密钥生成和数字签名运算能力的智能卡芯片,保证敏感操作在USB Key内进行。d) USB Key的主文件(Master File)应受到COS安全机制保护,保证客户无法对其进行删除和重建。e) 应保
18、证私钥在生成、存储和使用等阶段的安全: 私钥应在USB Key内部生成,不得固化密钥对和用于生成密钥对的素数。 禁止以任何形式从USB Key读取或写入私钥。 私钥文件应与普通文件类型不同,应与密钥文件类型相同或类似。 USB Key在执行签名等敏感操作前应经过客户身份鉴别。 USB Key在执行签名等敏感操作时,应具备操作提示功能,包括但不限于声音、指示灯、屏幕显示等形式。f) 参与密钥、PIN码运算的随机数应在USB Key内生成,其随机性指标应符合国际通用标准的要求。g) 密钥文件在启用期应封闭,禁止以添加新密钥文件的方式对密钥进行删除操作。h) 签名交易完成后,状态机鹿立即复位。i)
19、应保证PIN码和密钥的安全: 采刚安全的方式存储和访问PIN码、密钥等敏感信息。 PIN码和密钥(除公钥外)不能以任何形式输出。 经客户端输入进行验证的PIN码在其传输到USB Key的过程中,应加密传输,并保证在传输过程中能够防范重放攻击。 PlN码连续输错次数达到错误次数上限(不超过6次),US8 Key应锁定. 同一型号USB Key在不同银行的网上银行系统中应用时,应使用不同的根密钥,且主控密钥、维护密钥、传输密钥等对称算法密钥应使用根密钥进行分散。j) USB Key使用的密码算法应经过国家主管部门认定。k) 应设计安全机制保证USB Key驱动的安全,防止被篡改或替换。I) 对US
20、B Key固件进行的任何改动,都必须经过归档和审计,以保证USB Key中不含隐藏的非法功能和后门指令。m) USB Key应具备抵抗旁路攻击的能力,包括但不限于: 抗SPA/DPA攻击能力 抗SEMA/DEMA攻击能力n) 外部环境发生变化时,USB Key不应泄漏敏感信息或影响安全功能。外部环境的变化包含但不限于: 高低温 高低电压 强光干扰 电磁干扰 紫外线干扰 静电干扰 电压毛刺干扰B。增强要求:a) USB Key应能够防远程挟持,例如具有屏幕显示、语音提示、按键确认等功能,可对交易指令完整性进行校验、对交易指令合法性进行鉴别、对关键交易数据进行输入和确认。b) 未经按键确认,USB
21、 Key不得签名和输出,在等待一段时间后,可自动清除数据并复位状态。c) USB Key应能够自动识别待签名数据的格式,识别后在屏幕上是示签名数据或对其语音提示.6.1.2.2文件证书此部分要求仅针对C/S模式客户端.A. 基本要求:a) 应强制使用密码保护私钥,防止私钥受到未授权的访问。b) 用于签名的公私钥对应在客户端生成,禁止由服务器生成。私钥只允许在客户端使用和保存。c) 私钥导出时,客户端应对客户进行身份认证,例如验证访问密码等。d) 应支持私钥不可导出选项。e) 私钥备份时,应提示或强制放在移动设备内,备份的私钥应加密保存。B增强要求: 在备份或恢复私钥成功后,金融机构应通过第二通
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网上银行 信息系统安全 通用 规范
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【精***】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【精***】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。