一个关于证券网上交易系统应用安全支撑平台的解决方案

袁升发吴 雷

1.上海科技管理学校 上海杨浦200433 2.上海神州数码通讯有限公司 上海长宁 200335

一个关于证券网上交易系统应用安全支撑平台的解决方案

袁升发1吴 雷2

1.上海科技管理学校 上海杨浦200433 2.上海神州数码通讯有限公司 上海长宁 200335

证券行业信息安全问题的日益显现，从某种程度上制约了网上交易市场的发展，因此信息安全保障问题是网上证券交易系统建设和运行中必须解决的基础和根本性问题。证监会和国家信息安全主管部门充分认识到这一问题的紧迫性，多次下发政策和技术指导文件，指导各证券公司规范IT系统信息安全建设、安全操作和安全管理。本文提炼出旨在解决面向无柜台服务的证券用户网上交易合法性和真实性问题的应用安全解决方案。

证券行业；信息安全；IT系统；网上交易

一、方案概述

证券行业是重要的资本市场元素。由于证券是与IT同步发展的新兴行业，因此证券行业在信息化基础建设中使用了大量的网络技术。随着互联网的发展，证券行业也将业务模式从传统的柜台交易拓展到网上交易、手机交易等领域，越来越多的投资者选择网上交易。但无论是采用网页式下单还是网上交易系统下单，证券期货经营机构的内部网络都会暴露在互联网上，因此很容易受到黑客和病毒攻击，直接关系到客户与证券公司的切身利益。

本文提炼出旨在解决面向无柜台服务的证券用户网上交易合法性和真实性问题的应用安全解决方案。该方案严格遵从《证券期货业信息系统安全等级保护基本要求》、《证券公司网上证券信息系统技术指引》和《期货公司网上期货信息系统技术指引》，从身份认证系统的体系架构设计、与登录系统的结合、用户身份信息的存储、通讯数据加密、区域隔离等方面全方位降低网上交易的安全风险。

二、需求分析

网上证券交易无论在费用、服务质量和便捷性等方面，都是传统营业部所无法比拟的，这种新型的交易模式打破了时空限制，降低了券商的经营成本，减少了交易环节，提高了交易效率，加快了证券市场信息流动速度，提高了资源配置效率，优势十分明显。目前中国证券行业超过90%的证券公司都开通了网上交易业务。随着非柜台业务的拓展，信息安全事件发生的频率，以及影响的范围和程度也随之扩大，从频繁发生的证券信息安全事件分析，越来越多的安全事件大都是由于密码被盗造成。一直以来，大量的关于证券行业发生骗盗的报道不断见诸报端，不法分子通过窃取用户的账号和密码，大量盗用交易。因此，证券行业最迫切需要解决的安全问题是如何保证交易的合法性和有效性，用户感觉最直接的就是网上交易系统的用户登录和身份认证。

目前，广大券商网上交易系统采取的用户身份安全机制为静态的“用户名+口令”，黑客或非法人员很容易通过剽窃、拦截、暴利破解、猜测等方式获取用户登录信息，进而进行非法操作。随着一系列金融证券类信息安全事件的发生，各证券公司已经意识到作为交易系统的第一道防线，登录用户的身份认证是至关重要的。它不仅涉及到用户信息，特别是账户、资金等重要信息的安全，更直接影响到金融机构的信誉，证券交易系统在密码认证安全上存在严重隐患。

为此，证监会在近期下发了《关于加强对投资者网上交易安全保护的通知》，并对证券公司网上证券信息系统安全建设给出了详细的技术指引，例如链路安全、系统备份、网站安全、应急、通讯数据加密强度、管理制度等等。其中与广大客户最密切相关的是网上交易系统的用户身份认证。技术指导中规定证券公司应提供可靠的用户身份认证机制，支持网上证券客户端采用多种认证方式与服务端进行身份认证。除输入账户名、口令、验证码的身份认证方式之外，还应向客户提供一种以上强度更高的身份认证方式，如，客户端电脑或手机特征码绑定、软硬件证书、动态口令等认证方式，确认网上交易客户的身份和登录的合法性，防止非法接入。

基于上述原因，各证券公司纷纷对现有业务系统用户身份认证方式提出了技术改造方案，通过改变认证方式，增加认证强度，来达到提高网上证券交易系统安全系数的目标。

三、设计思路

通过对证券行业网上交易系统安全形势的分析，方案认为应在现有的网上证券交易系统之外单独打造一套证券行业网上交易系统安全应用平台，该平台将取代业务系统自带的用户身份认证和授权功能模块，使用强身份认证机制替代现在安全强度较弱的用户名+静态口令的身份认证方式，实现基于角色的系统访问权限控制，屏蔽因业务系统自身安全漏洞而导致的用户身份认证信息的外泄和非法使用。

该带外认证和授权安全应用平台采用PKI、OTP、SSO等成熟技术，在证券公司后台系统中设置统一身份认证中心，对内部外部证券网上交易系统用户统一发放身份认证凭证，该凭证根据实际使用需要可以为数字证书、USB-KEY、矩阵卡、动态口令认证系统等等多种形式。前台用户使用身份凭证进行身份确认，并获取相应的系统使用权限。该系统还将在基本的用户身份统一认证、统一授权的基础上提供单点登录、交易信息数字签名、用户信息加密通讯、安全审计安全功能。

系统逻辑结构示意图如下所示：

四、系统逻辑架构

证券行业网上交易系统安全应用平台技术架构如下图所示：

系统运行于通用硬件和操作系统平台之上，综合多种身份认证技术打造平台核心系统。内网用户通过内网门户网站，公众业务全体通过安全网关，从两条路径访问证券网上交易系统。系统对所有发起请求均转向统一身份认证平台请求用户身份认证，认证通过后才分配相应系统使用权限，并对网上交易行为进行详细记录。

五、系统组成

证券行业网上交易系统安全应用平台系统通过以下产品形式展现给用户：

统一授信系统：后台网上交易系统用户身份认证标识发放系统，标识形式可以由用户根据需要自由选择，主要包括、文件型数字证书、动态口令卡、矩阵卡、静态密码、USB-KEY等。该系统还承担用户身份标识系统的日常维护工作，包括有效性、黑白名单等。

统一身份认证平台服务器：认证平台服务器是统一登录的核心系统，它主要负责对网上交易系统用户提出身份验证，分配权限，对网上操作行为提供审计和监控功能。同时为安全应用平台自身提供用户管理、权限管理、性能监控、配置工具和应用向导等方面功能，帮助管理员实现对证券行业网上交易系统安全应用平台的集中控管。

安全网关：网上交易系统用户访问接口，提供单点登录，同时通过通讯加密模块与安全客户端共同构建数据通讯安全隧道。

适配器接口：主要用于与客户现有J2EE应用系统无缝集成，安装于网上交易服务器端的插件程序，以API接口调用的方式，实现与统一身份认证平台之间的数据调用。

安全客户端：安全客户端以功能模块的方式与证券网上交易系统客户端捆绑在一起，为网上交易用户提供安全的远程业务应用服务，安全客户端可以选用安装有由证券公司统一下发的数字证书，为每笔交易提供身份认证和数字签名，也可以选用只具有单一认证功能的动态口令卡、矩阵卡，以及其他认证客户端工具。

六、系统部署

按照系统应用和业务流程，整个系统部署分为平台服务器、安全网关、客户端几个部分，其中，平台服务器又分为服务前端和服务后端两个部分。

服务前端提供用户网上交易的安全保障服务，通过身份验证、数字签名等服务保障网上用户安全交易，即通常所说的统一身份认证平台。

服务后端通过是指统一身份认证平台的授信系统，该系统为服务前端提供安全支撑平台，服务前端所有安全服务都依赖于服务后端的安全支撑平台。

安全网关是提供一个统一的对外服务接口，同时为网上交易服务提供加密服务。

客户端是网上交易业务及应用的安全交易接口，客户端通过客户端应用接口程序和安全网关进行安全交互，保障网上交易用户的安全接入和接入后的安全交易。

平台服务器、安全网关、客户端之间采用合理的安全隔离措施，其中平台服务器部署于网上交易系统的后系统中，安全网关部署于网上交易系统的前系统中，客户端则部署于网上交易系统用户终端上。

七、方案特点

本方案立足于证券用户网上交易系统的实际需求，有如下特点：

本方案提供的技术方案能够满足各类证券公司的应用系统用户身份认证需求（身份认证、授权、加密、审计等各种功能）；不依赖于单一安全产品和厂家；选选用技术和产品严格遵循标准化设计，能够与证券业务系统做到无风集成；多样化的终端认证方式能够满足各类型网上交易用户的认证需求；较高的性能价格比。

八、推广价值

安全的改善：（1）解决了交易客户端和证券应用系统交易数据的明文传输问题；（2）提高证券用户身份验证的安全级别；（3）有效的防止广大证券用户被盗买、盗卖。

应用价值的体现：（1）保证在网上开展证券业务安全、有序发展；（2）丰富证券用户身份验证的可操作种类。为广大的证券用户提供适合每一个人的认证方式；（3）为证券公司对证券交易管理提供操作简单的交互式平台；（4）满足技术审计、监管部门现场检查及中国司法机构调查取证等要求；（5）为广大证券用户的财富带了更大的保障。