国密算法在网银系统中的应用实践

中国进出口银行是金融业第一家在网上银行系统中应用国产密码算法并实现了内管系统后台线上审批机制的银行。为保障网上银行系统的业务便捷性、安全性，进出口银行一方面积极推行人民银行提倡的国产密码算法应用政策，建立了合理的网上银行安全体系；另一方面，建立了网上银行系统后台线上审批机制，满足了政策性银行的资金监管和审批的需求，并实现了扩展银行业务功能、服务方式和服务渠道的目标。此举为我行未来业务的进一步拓展和创新提供了坚实基础。

        作者简介：王蕙，工学硕士、中国进出口银行信息科技部副总经理。所领导建设的项目多次获得人民银行金融科教进步二、三等奖。

一、网上银行系统业务功能

        进出口银行网上银行分为企业端和内管端2部分。网上银行企业端主要面向企业客户，提供综合查询、转账业务、贷款业务查询及申请、多样化的贸易金融业务查询及交易申请、公共管理、交易审核、在线帮助等功能。

        内管端主要面向行内业务人员，可开展对客户提交业务的行内审核处理，并提供客户开户、客户信息管理、系统管理、参数维护、综合查询、业务报表、客户满意度调查等日常业务管理功能。

二、网上银行系统技术架构

        1．逻辑架构

        进出口银行网上银行系统基于成熟的JAVA技术通用多渠道平台，具有如下特点。

        作为国内第一个运用IoC容器技术的企业级应用软件平台，其系统组件及应用组件都在基于IoC技术的轻量级容器中定义并运行。该特点使其成为“框架的框架”。

        平台提供了大量成熟的业务流程组件、可复用原子组件、服务组件等。这些组件使快速开发成为可能。

        系统架构基于成熟的设计模式，如CoR(责任链)、Template Method(模板方法)等。这些设计模式是几十年来软件开发经验的浓缩，是系统架构先进性、合理性的重要标志。

        2．系统物理架构

        如图1所示，网上银行系统从物理架构上可划分为四个区域，并通过防火墙保障网银交易的安全。

        外联区：由联通、电信等运营商提供的线路、路由器、交换机、链路均衡设备组成。主要负责公网用户网上银行渠道接入，链路均衡设备对外部数据接入做负载均衡。

        非军事区(DM Z)：由外网防火墙、入侵防御、网络防病毒、Web负载均衡和SSL加速、Web服务器、证书预植服务器、漏洞扫描、内网防火墙等组成。主要负责SSL加解密，Web服务器负载均衡，用户数字证书绑定、解除绑定等操作，网页静态内容处理，动态请求转发，入侵侦测与防御，病毒扫描与防御。

         网上银行应用区：由应用服务器(集群)、数据库服务器、数字签名验签服务器、动态密码服务器、加密机、光纤交换机、磁盘阵列、漏洞扫描等组成。主要负责网上银行应用的业务逻辑处理，网上银行数据信息的存放，网上银行系统与银行业务系统、第三方系统的通讯与数据转发，数据签名有效性验证，证书预植前置与CFCA通讯等。

         整合平台所覆盖的银行核心业务区：包括核心系统、信贷系统、国结系统、转贷系统、应用整合平台等。以上各系统负责银行具体业务的处理，网银系统通过应用整合平台完成与这些业务系统的信息交互。

        3．系统应用架构

        网上银行系统构建于J2EE技术通用多渠道平台之上，通过少量的客户化工作完成网上银行的功能。J2EE技术通用多渠道平台基于成熟的JAVA技术及webLogic／WebSphere或其他J2EE标准的应用服务器平台，具有安全、高效、可伸缩性、易于移植、能够对新需求及业务变化进行快速响应等特点。从应用体系整体架构上，网上银行系统可分为三个层次，各层次内容及主要功能如下。

        客户端：包含数据信息的显示、加工、比对、上传等功能。通过J2EE的多渠道支持技术特性，可提供对浏览器、客户端程序、手机、掌上设备等的支持。

        服务器端：网上银行系统的核心，基于J2EE技术运行平台，并在此基础上部署及定制开发全面的网上银行产品，包括对公服务、对私服务、银行后台管理、证书管理等。

        资源集成：提供标准化的统一接口，以实现对诸如银行中间业务平台、主机系统以及其他第三方系统的通讯与集成。

三、网上银行系统关键技术特点——国产密码算法

        在项目建设过程中，进出口银行高度关注网上银行系统的安全保障措施，按照国家对金融系统的相关制度、规范，结合项目的实际情况开展网上银行系统实施建设。根据政府相关部门的要求，我国数字证书机制将逐步采用国家密码管理局公布的算法替换目前所采用的国际通用算法。一方面规避了国际通用的RSA算法1 024位密钥长度所面临的破解风险，同时将数字证书的密码算法这一关键环节置于国家的掌控之中，以保障金融信息安全基础设施的长治久安。在网上银行系统的规划过程中，进出口银行充分认识到密码算法国产化的重要性，勇挑重担，在网银系统中全面应用国产密码算法。在项目时间紧、任务重的情况下，进出口银行克服种种不利因素，认真对国家推广国产密码算法的战略和相关方案进行研究，积极向人民银行和国家密码管理局相关专家学习，在短短一年多时间内攻克了各个难关，顺利通过了专家评审，完成网上银行系统的投产上线，成为行业先行者。

        1．国产密码算法应用整体方案

        在网银系统中安全问题主要涉及三个环节：客户端、服务端、数据传输。客户端主要的安全手段包括数字证书、USBKEY、病毒防护软件等。服务端和数据传输主要是采用数字证书技术实现数据的安全传输和交易签名的验证。其中安全传输主要通过SSL建立安全通道实现数据加密传输。在网上系统的安全体系中，跟国产密码算法相关的环节主要包括：身份认证、安全传输(SSL)、关键交易的签名验签，用于实现国产密码算法的安全产品包括RA、SVS、SSL网关、服务器证书、签名控件、USBKEY、浏览器、企业证书。

        在网上银行系统实施过程中，尚没有成熟的支持国产密码算法的浏览器产品，无法使用国产密码算法数字证书实现数据的安全传输通道SSL。进出口银行在综合考虑产品的支持情况和网上银行系统上线时间要求的情况下，按照“总体规划、分步实施、稳步推进”的原则，制订了网银系统支持国产密码算法的两阶段实施方案。在第一阶段中已实现的支持国产密码算法的产品见表1。

        如图2所示，完成国产密码算法实施方案后，进出口银行网上银行系统用户端，采用了CFCA国产密码算法的企业证书，同时采用支持国产密码算法的签名控件，以及支持国产密码算法的交互型USBKEY。在服务器端，采用了支持国产密码算法的证书申请及管理系统RA用于证书生命周期的管理，同时采用了支持国产密码算法的签名验签服务器，用于实现对网上银行关键交易信息的签名验证。

        2．国产密码算法实施效果

        自2013年投产上线以来，进出口银行网上银行系统运行稳定，升级优化工作持续开展，用户体验和使用效果较好。逐步扩大分行和客户推广范围，目前所有分行均已顺利开办网上银行业务。截至2015年10月末，进出口银行已有约64％的客户开通了网上银行，约38％的转账业务和1 6％的贸易金融业务通过网上银行系统开展。国产密码算法一阶段实施方案能够支持网银系统相关功能正常运行。

        3．未来展望

        下一阶段，进出口银行将持续关注支持国产密码算法浏览器的研发、推广进展，待支持国产密码算法的浏览器有成熟、稳定的产品后，在网银服务前端部署支持国产密码算法的SSL网关，在SSL网关上部署国产密码算法的服务器证书。通过SSL网关和浏览器之间建立支持国产密码算法的SSL安全传输通道。同时将于2016年初完成密码控件的国产密码算法改造，实现网上银行系统国产密码算法的全覆盖。

四、网上银行系统特点及效能

        一是国产密码算法增强了安全性。作为金融业国产密码算法应用第一家试点单位，进出口银行对国产密码算法的可靠性、性能和兼容性等进行了验证，并通过专家评审，方案科学合理、切实可行，具有示范意义。进出口银行从实际出发制订了网银系统支持国产密码算法的两阶段实施方案，在身份认证、关键交易数据签名等环节全部实现国产密码一阶段实施方案，提高了系统安全性，在同业内处于领先地位。

        二是方便了客户业务办理，节省了银行人力物力。作为国内首家推出企业网上银行服务的政策性银行，网上银行能为进出口银行客户更好地提供政策性金融服务，使客户足不出户即可轻松办理相关业务。同时，网上银行系统也解决了进出口银行临柜人员人手不足、业务办理时间集中的问题，优化了业务处理流程，降低了人力及物质成本，提高了业务处理效率。

        三是后台线上审批机制提高了审批效率。后台线上审批机制是进出口银行内部跨部门多级审批的创新。采用后台线上审批机制实现了网上银行企业端申请发起和银行内管端后台审批的无缝衔接，方便了客户的业务办理，加快了审批进程，提高了客户体验。内管系统在审批流程管理方面严谨、灵活、可靠，处于审批流程中的各部门、各级别银行人员按设定流程进行业务处理和查询，增强了业务办理合规性。

（文章来源：《金融电子化》杂志）

扫码即可手机
阅读转发此文