安全金融信息<br/>——商用密码应用思考

安全金融信息
——商用密码应用思考

2018-05-23国家密码应用技术体系研究总体组金融密码应用专项组北京00000卫士通信息产业股份有限公司四川成都6004

信息安全与通信保密 2018年5期

（．国家密码应用技术体系研究总体组金融密码应用专项组，北京 00000；．卫士通信息产业股份有限公司，四川成都6004）

信息化推动了金融领域深层次的变革与创新，同时，对金融信息的安全带来了新的威胁与风险，金融活动中涉及的隐私数据安全性至关重要。本文在分析金融信息安全的基础上，提炼抽象出安全金融信息概念，并对此展开详细描述；体系化阐述了安全金融信息的特点、安全金融信息要素，构建出安全金融信息密码保障框架。随后重点分析和阐述了商用密码在安全金融信息中应用思考，包括商用密码政策思考、互联网金融商用密码应用思考、金融大数据商用密码应用思考等；对在多维度风险控制、分布式跨平台监管体系之上，建立一体化的安全金融信息具有重要指导应用，对商用密码在金融领域的应用推广具有重要意义。

1 概述

1.1 金融信息安全

信息化浪潮深刻影响着金融行业，虽然仍遵循着“客户-银行—清算银行—中央银行”这样多层级、中心化、相对稳定、可靠的架构。但是，随着互联网的普及、移动互联的深入应用，以及大数据、云计算、物联网、区块链、人工智能等新技术的兴起和应用，给金融行业在产品服务、商业模式、经营理念带来了深刻变革和创新。出现了许多非传统的金融活动方式，如电子支付( 支付宝、财付通)、互联网基金(余额宝）、P2P等。信息化同时给金融信息安全带来了极大的威胁，APT攻击、DNS劫持、勒索软件、软件供应链攻击等也开始锁向金融领域，并且和传统的安全问题交织在一起，触及到了国家经济、金融安全的底线和命脉。目前金融信息安全存在以下主要安全风险和局限性：

(1) 法律法规政策的滞后和不完善带来政策上的安全隐患；

(2) 智能移动终端的普及带来的安全新挑战；

(3) 以静态、被动防御为主，缺乏主动和弹性防御能力；缺乏多维度的风险控制和跨平台监管。

(4) 金融大数据的集中更容易成为网络攻击目标；

(5) 数据存储、骨干路由交换、主机等主要为国外产品，存在较大的被敌对势力控制和数据窃取风险；

1.2 安全金融信息

金融信息系统普遍采用业务分区隔离、网络边界防护、对敏感信息使用密码保护等安全措施，力求实现安全金融信息。安全金融信息是指金融活动中涉及的所有重要数据、交易信息、账号、用户隐私等具有的本质安全属性，即这些数据/信息在整个金融活动中，在采用商用密码体系作为基础，辅以其他安全手段和技术，使金融信息呈现出的一种安全属性。安全金融信息具有以下特点：

1) 金融信息所属的主体确定性：即安全金融信息所属主体（信息的所有者、拥有者、使用者）是在安全范围内，是可管、可控的。

2) 金融信息的流向确定性：即安全金融信息流向是可预知的，可管、可控的。

3) 金融信息的安全属性确定性：即安全金融信息的安全属性是在安全范围内，安全属性的修改是可管、可控的。

密码技术作为安全金融信息的基础性保障技术，在安全金融信息中发挥重要作用；结合我国安全金融信息的实际情况和发展、监管等需求，以及我国商用密码标准、产品现状，构建出安全金融信息密码保障框架见图1。

如图1所示，以密码设备、密码技术为基础，为安全网络、商用密码体系支撑、多维度分险控制、分布式跨平台监管提供支撑；同时，在国家法律法规和标准的指引下，以监测预警、应急保障、组织保障等为支撑，为金融行业互联网业务、借贷业务、清算业务等应用提供安全保障。

图1 安全金融信息密码保障框架

2 安全金融信息要素

安全金融信息四要素包括安全的网络、商用密码体系支撑、多维度风险控制和分布式、跨平台监管。

2.1 安全的网络

我国金融行业主要采用专网和一部分无线网络，其安全性占有绝对重要的地位，不安全的网络会造成金融信息被泄露、窃取等风险。安全的网络一是要保证网络本身的安全，不存在被随意假冒、窃听的风险，即网络可信；二是网络的接入是可信的，防止不安全的接入危及网络安全。建议采用可信网络和可信接入技术实现安全的网络，其核心是我国商用密码技术应用。由于金融活动的复杂性、密码技术的专业性，在金融网络安全中，怎样构建可信网络、可信接入，需要进行关键密码理论研究、技术突破、原型验证、示范应用和推广等。

2.2 商用密码体系支撑

商用密码体系是安全金融信息的核心手段和保障金融安全的有力措施，能有效解决身份认证、信息加密、防篡改等基本问题；金融信息若没有密码进行保护，或密码应用不合规有效，都会存在极大的安全风险。加强安全金融信息中的商用密码应用，需要从保护国家安全、公共利益和维护社会稳定的高度加强顶层设计和规划，促进商用密码在安全金融信息中的健康发展。应该从国家法律法规，商用密码政策、标准、管理、密码算法、协议、应用、产品和测评等方面加强落实和推进。

2.3 多维度风险控制

多维度风险控制是保障金融安全、维护金融秩序的有力措施，多维度的风险控制机制主要包括：

（1）内部风险控制

金融企业应该制定完善的风险控制制度和业务操作规程；充实内部科技力量，建立防范金融风险的专业化技术队伍，建立高效的安全信息保障机制；研究并制订应急管理、监测预警和测评的中长期规划，定期开展培训、演练、评审和修改，不断完善风险控制机制，增强其可操作性和针对性，逐步形成切实可行、要件完备的风险控制预案，确保在危难之时能在最短时间内按既定方案有序有效处置。

（2）用户风险控制

金融用户需加强自身风险控制意识，强化风险控制技术。提高用户参与风险控制的积极性，可让用户参与交易和风险控制策略的制定；如对于不同的互联网金融用户，可设置不同的交易金额告警和提示，如交易金额达到设定的告警水平，则可通过短信、语音提示等用户自定义的方式进行告警提示，对于后续的操作，可根据用户的不同选择，进行不同的操作，如继续交易、停止交易、再次确认等。需要金融机构在构建交易、制定业务流程时充分考虑用户自身风险控制的模型、策略等。

（3）联合风险控制

加强金融风险监管合作，整合风险监管资源，建立、健全协作机制，扩大金融信息共享的广度和深度。强化金融信息安全监管部门与政府、公安、通信等各行业信息安全主管部门的沟通协作，拓展金融行业信息安全指导协调手段和渠道。需要从联合风险控制机制，风险控制制度、流程、信息联动机制等方面加强。

（4）其他措施

金融企业可以和保险公司、再保险公司联合，进行平抑风险，降低金融风险带来的损失。对于金融用户，可以采用技术手段，降低风险；如多因子身份认证、生物识别技术等，加强用户身份管理。

2.4 分布式、跨平台监管

金融监管模式需要创新，变被动监管为主动监管，采取多维度、分布式、跨平台、跨域的监管体系，形成全国金融一盘棋的大格局。

每个金融企业作为监管节点，在建立内部完善的监管机制和体系之上，和监管部门、公安、征信等实现监管信息共享。通过建立分布式、跨平台的监管平台，实现监管信息的跨域交换、证书管理、节点监管、告警等。区块链技术具有集体维护、可靠数据库等特点，通过密码算法，提供一种分布式账本，这种技术思路为金融领域的隐私保护、认证提供了现实可用的解决方案。在具体的金融企业内部采用私有链的方式进行监管，在整个跨域、跨平台的监管中，采用联盟链方式。需要研究私有链和联盟链的安全机制，模型、关键技术、密钥管理技术、安全数据库技术、安全协议、智能合约以及私有链安全接入联盟链等问题。

3 商用密码在安全金融信息中的应用思考

安全金融信息由于涉及到金融领域的相关政策法规与标准、互联网金融应用、金融大数据、区块链技术以及创新金融服务模式等方方面面；因此，有必要从金融领域全方位、多角度阐释安全金融信息中的商用密码应用，提出商用密码应用相关问题、重要技术等。

3.1 商用密码政策与标准思考

商用密码法律法规有《中华人民共和国网络安全法》、《商用密码管理条例》、《计算机信息网络国际联网安全保护管理办法》等。商用密码标准目前已经颁布了50多部，主要涉及密码算法标准、应用标准、产品标准、接口规范等，如SM2、SM3和SM4算法标准、随机性检测标准等。金融领域密码标准主要有银行业务密钥管理标准、IC卡密钥管控标准、移动支付标准等。

这些政策和标准对于目前的互联网金融、金融科技、金融监管中的密码应用缺乏标准指导，如手机银行，在二级信息系统和三级信息系统中，终端平台安全的密码应用怎样和等级保护的具体目标有效结合？具体的有差异性的密码技术、密码算法配用、密钥管理、密码资源的管理、密码接口、密码服务、监管要求等，都需要进行细化。

3.2 互联网金融商用密码应用思考

互联网金融需要研究和考虑在不安全的网络上实现安全的金融活动，需要强化风险控制、终端设备的密码应用（个性化的密钥管理和个性化的密码服务/密码机），辅以终端设备的业务应用和个人风险控制。这样形成金融企业、风险控制、终端用户和个人风险控制的互联网安全金融信息解决方案和措施。

智能终端应该有密码服务（或个性化密码机）、密钥管理模块、业务应用模块和个人风险控制模块（或个人风险控制器）。只有满足业务应用和个人风险控制（风险控制器）条件时，金融业务才能正常进行。

智能终端在高安全、大额度的交易应用需求中，必须采用数字签名、加密等措施，保护交易的安全性。一般性应用中，最低应该采用软密码模块（提供数字签名、加密等功能）方式，目前软密码模块遵循的主要标准是《密码模块技术要求》和《密码模块检测要求》，这两个标准是为硬件密码模块（加密卡、USBKEY）量身打造的，对于软件的密码模块，存在一些有待完善和不足的地方，软件密码模块缺乏硬件模块那样清新的安全边界，软件密码模块运行在一个不受控、不可信的环境中，采用的密钥保护措施、密码运算安全尤为重要。对于软模块中分组密码算法，一种有效的解决方法是采用白盒密码技术、辅以工程安全，如进程控制、代码混淆等。目前，对于白盒密码算法本身来说，缺乏安全标准、应用标准和检测标准。软模块中的公钥密码算法，一种是采用密钥分割的思想，即将客户端私钥分成两份，一份在客户端、一份在服务器端，通过两端的协同运算，实现客户端的签名运算。另一种可以采用基于同态密码方案，来实现客户端私钥运算的安全性。这些技术目前都没有标准化、不利于推广和应用，需要加强互联网金融终端安全密码应用、检测等标准的制定。

同时，终端设备缺乏风险控制机制或个人风险控制器，需要研究个人风险控制机理、框架、关键技术和产品，配合安全业务应用，实现互联网金融信息安全。

3.3 安全金融信息区块链技术商用密码应用思考

金融区块链技术商用密码应用主要思考的问题有：基于商用密码技术的区块链安全机制、安全框架、协议安全、数据库安全、密钥管理等。特别需要考虑在多维度风险控制中区块链技术的应用、私有链和联盟链关键技术等。同时需要考虑金融私有链安全接入金融联盟链问题，研究安全接入、认证技术中的密码应用，研究分布式密钥管理技术和密钥托管技术。

目前区块链技术本身的标准缺失，在金融领域的应用标准更是谈不上。需要加强区块链技术标准和金融应用标准的制定，加强金融区块链密码应用相关标准制定。

3.4 金融大数据商用密码应用思考

多维度风险控制和分布式、跨平台监管都需要数据采集和数据分析技术以实现安全威胁和漏洞的实时发现和精准定位；金融大数据主要来源于各被监管节点（金融企业、金融机构）的日志文件、其他信息和关键数据。主要分为实时数据和非实时数据，其主要区别如表1所示。

表1 金融实时数据与非实时数据比较

现有大数据架构的数据准确性、一致性差、数据质量及可靠性不高，因此当前金融大数据迫切需要有能保证数据质量、可靠性、能高并发事务性处理的新大数据IT 系统框架及技术的出现。传统数据库领域采用软件及硬件加密的方式，而在大数据的分布式处理架构下，目前未有合适的高性能、高可靠、高并发的加密数据库。需要制定金融大数据相关采集、存储、使用标准，制定金融大数据商用密码应用技术标准和规范，突破密码应用关键技术（大数据安全存储、高性能加密、认证等），加强金融大数据关键基础设施建设，加强金融大数据分析与预警等。

3.5 创新服务模式商用密码应用思考

感知金融、智慧金融和物联网等给金融服务模式带领了极大的创新；目前多卡应用模式，即交通卡、社保卡、银行卡功能单一，不能实现多应用、多证书的交互。有必要采用多卡合一，实现动态加载应用和证书、动态充值等功能，从而实现一卡多功能，即一张卡可以实现公安身份应用、公交IC卡应用、社保卡应用和银行卡功能等。另外，需要在不同的金融应用、金融平台中，实现用户身份、权限和角色的置换。如在微信支付、支付宝、网上银行之间，建立统一的平台，实现用户应用、角色和权限的交换与传递。如用户在应用A中具有一定的身份、权限和角色，目前一般采用CA技术，即用户拥有应用A的证书，同时具有应用B的证书，这给用户带来麻烦和不便，需要建立用户权限和角色置换（传递）平台/服务，即访问应用A能方便的访问应用B，需要应用A的权限传递到应用B中。需要研究多证书管理体系和机制、安全置换、安全接入技术、密码协议等关键技术。研制密码产品、密码系统和平台。构建金融统一应用、权限和角色置换平台。

4 安全金融信息商用密码应用实施建议

为了实现感知金融，智慧金融，实现和公安、税务、交通等部门的信息共享和跨平台应用。构建多应用安全金融信息系统框架见图2。

图2 多应用安全金融信息系统框架

如图2所示，该框架主要包括分布式跨平台监管平台、多维度风险控制平台和多应用服务平台，为金融业务应用和其他行业应用提供必要的安全应用支撑。为实现图2的目标，采用“顶层规划、体系建设”的原则，分阶段、有计划、有步骤的实施。

首先，提高商用密码技术在安全金融信息中的重要性认识，加快我国商用密码法制化建设进程，加强政策法规队伍建设，完善商用密码行政执法体系，建立、健全商用密码法规工作机制，加强法制普及与宣传。

第二，对金融领域中的密码技术应用进行重点攻关和突破，由国家设立重大项目、重大专项进行实施。加强“大云物移”等技术融合创新突破，促进安全金融信息与垂直行业技术深度融合，加强我国商用密码技术、产品与服务的深度融合，有计划、有步骤的实现我国商用密码在安全金融信息中的应用，逐步实现国产自主可控的商用密码金融信息安全应用。

第三，面向安全金融信息重点领域，重大项目，加快国产商用密码应用布局。做好基于国产密码算法、产品和技术改造，着力培育一大批成本低、服务好、产品过硬的密码产品、密码服务、安全集成解决方案提供商。进一步加快电子认证、网上银行、移动支付等关键领域的国产密码应用，贯彻落实网上银行系统信息安全通用规范、金融移动支付系列技术标准、金融电子认证规范等技术标准，增强移动支付的风险防范能力。

第四，加快多维度金融风险控制平台建设，加快分布式、跨平台监管平台建设，加快金融多应用服务平台建设。

第五，加强产业支撑和人才培养，提供必要的政策和经费支撑。