桂林证券南宁营业部网上交易解决方案

桂林证券南宁营业部网上交易解决方案内容摘要：

选择；3 . 交易分发；s e c u _ d i s t结果反馈T C P / I P操作客户端数据局拨号/ 专线系统安全策略s e c u _ f i r e w a l l系统通讯协议s e c u _ p a s s a g e1 . 请求分发；2 . 请求处理；3 . 结果返回；s e c u _ r e d i s t1 . 银行通讯；2 . 数据接口；s e c u _ t o b a n k1 . 前置机处理；2 . 交易委托流程处理；3 . 银证转帐流程处理；s e c u _ k e r t券商柜台系统1 . 身份验证；2 . 交易处理；3 . 清算；4 . 成交查询；1 . 柜台接口；2 . 系统清算；s e c u _ t r a n s1 . 银行接口；2 . 银行通讯；3 . 资金数据接口s e c u _ b a n k银行资金存取系统1 . 身份验证；2 . 资金划转；P S TN券商银行W A N/ P S TNW A N/ P S TN通讯隔离协议D D N / I S D N交易委托及银证转帐数据流程图 第三章 技术策略 网络及线路 桂林证券南宁营业部网上交易系统可分为两个层面： 1． 桂林证券南宁营业部已建立的稳定运行的局域网； 2． 额外的线路，这部分包括； 行情提供：证券公司与电信（ ISP）间 ADSL 或 DDN 专线； 交易委托：证券公司与电信（ ISP）间 ADSL 或 DDN 专线。 银证转帐；以营业部为单位与当地各银行间的线路，视具体情形定线路数，一般性能要求不低于 ，最好有备份线路（如电话线）； 系统硬软件及系统接口要求 上广域网线路 ADSL 连接上网方式，此方式带 宽高、费用低、实施使用方便。 但 ADSL 在我国目前属推广阶段，要视各地具体情况而定。 目前，深圳、上海等地区已提供 ADSL 服务。 DDN 连接上网方式，采用此方式时每条 DDN 线路需要路由器和 DTU 各一对；若使用 ISDN备份注意选取即可联 DDN 又有 ISDN 接口的路由器；使用电话线备份另需一对 Modem；此方式的可在全国所有地方使用。 计算机及服务器 计算机使用位置及数量可参照前面的网络拓扑图； 机器配置在后面的配置清单中有详述； 机型的选择，考虑到系统对安全及可靠性的高要求建议采用 COMPAQ、 HP 和 IBM 等美国著名品牌厂商高档机。 另对于大容量的行情提供以及总部的交易委托服务器建议采用多 /双处理器双总线结构的服务器，至少 8G 的高速 SCSI 硬盘。 软件包 主要由客户端、三大软件包及各接口软件构成 行情交易的客户端，一般而言不外两种 方式 1： Browser/Web Server 方式 2： Client/Server 方式 1 的优点是客户端不需要软件，使用 Inter 通用浏览器即可，但系统安全由于受美国加密出口策略限制，只能达到 40 位，不够安全 [下面有详尽论述 ]，另 由于国内网络建设的现况决定了在未来一段时间内网络带宽不会有大的改善，因此速度也成问题。 方式 2 的优点是速度快、加密策略可得到加强，缺点是系统需要客户端软件，系统升级等不够方便。 盛润两种方式都提供，既有网络行情的Web based 的服务器，又有经过加密统一签发密钥的客户端，但交易主要以客户端为主，行情查看的程序可由盛润 2020 的网站免费下载。 三大软件包： +行情提供软件包 包括行情转换，行情发送，行情接受，行情网络提供等； +交易委托软件包 主要包括系统认证、加密，交易路由，通讯隔离，中央流 程处理及与柜台及银行的接口等； +银证系统软件包 银证系统由于银行行业本身特点，因此个性化很强，盛润提供成功的样板；具体内容及开发等事宜需多方协商而定； 接口软件前面已经论述，盛润提供软件接口标准及成功样板，技术细节具体实施而定。 安全策略 自诞生以来网上金融系统就额外得网络 Hacker（黑客）的青睐，另外还有成批的居心叵测的才子们搞出来的病毒；没有一套过硬的安全策略，网上交易寸步难行。 一个系统的安全由它的结构决定。 对电子商务而言，可一分为三：网络安全、信息传递安全、安全数字验证。 网络安全 网络安全的主要技术是防火墙技术（ Firewall），防火墙技术的核心思想是在不安全的网间网环境中构造一个相对安全的子网环境。 目前其实现方式有两种，即基于包过滤（ Packet Filter）的防火墙和基于代理（ Proxy）的防火墙。 包过滤型防火墙处在网络层，根据 IP 包的包头信息来对信息的访问进行控制，而 IP 包的包头主要包括以下信息： IP 包的源地址、目的地址、包类型、端口号，因此包过 滤型防火墙主要完成基于地址和端口的过滤功能。 基于代理的防火墙，也叫应用层防火墙，处于应用层，可对 IP 地 址和发生在该 IP 地址上的具体应用进行控制，由于它能识别应用协议，因此可对应用的整个过程进行控制，比如在应用建立时的密码验证、在 FTP 应用中允许某站点 get 而不允许 put 等等。 这两种防火墙各有优缺点，包过滤型防火墙由于基于网络层，因此对用户来说比较透明，但它一般采用“没被禁止的就是允许的”这一策略，在它失效时，网络是畅通的，这时内部网络将失去安全的屏障，而应用层防火墙采用“没被允许的就是禁止的”这一策略，在它失效时，内部网络与外部网络是隔离的，因此应用层防火墙要比包过滤型防火墙安全。 盛润公司采用的是应用层 防火墙 + 包过滤防火墙复合技术； 首先，盛润公司采用支持包过滤的 Cisco 路由器，通过设置 accesslist 的过滤规则来实现包过滤功能：禁止外部网络对内部网络的重要机器的访问，并且利用端口号来选择控制的应用协议。 另外，盛润公司采用一台通讯隔离服务器的方式，在外部网和内部网使用公司自己开发的一套通讯协议，只有盛润公司的经过加密的程序和数据才能通过该隔离。 这样即使有非法侵入者即使通过了包过滤防火墙也不可能通过应用层防火墙。 公式：“没被禁止的就是允许的” /\“没被允许的就是禁止的” =“安全” 信息传递安全 除了网络本身是安全的外，信息在传递过程中，会面临被窃取、重发和修改和恶意跟踪等威胁。 为此要保证信息在传递过程中的安全。 Inter 主要采用 TCP/IP 协议，但 TCP/IP 协议本身不提供任何信息安全方面措施，因此必须另外开发。 而这方面的主要技术是加密技术。 这里我们要谈三个问题：一个是安全标准，一个是加密方法和加密强度，最后是协议。 1．安全标准 目前， Inter 上有几种加密协议在使用，对应 (七层 )网络模型的每一层都已提出了相应的协议。 对应用层有 SET(安全电子交易 )协 议。 对会话层有 SSL(安全套层 )协议。 在所有的协议中， SSL 和 SET与电子商务的关系最为密切。 SSL(Secure Socket Layer Protocol)网络资料传输的安全协定，是由著名的 Inter 先驱 Netscape Communication 提出的针对数据的隐秘性 /完整性 /身份的确认 /开放性的安全标准机制。 Netscape 公司已经把 SSL 协议递交给 W3C 网络安全工作小组以便使之成为万维网应用的安全标准。 尽管使 SSL 协议成为标准还需要一段时间，但 SSL 协议事实上已被大部分万维网软件生产商所 采用。 SSL 协议能很好地解决身份验证、信息保密、信息完整等网络信息传输过程中最为关键的安全保密问题。 SET(Secure Electronic Transactions)安全电子交易规格，是由著名的信用卡机构 VISA及 MasterCard提出的针对电子钱包 /商场伺服器 /认证中心的安全标准。 由于 Visa 与 MasterCard 的强大实力，以及得到 IBM， Microsoft 等业界巨人的支持， SET 协议得到了业界的广泛支持。 2．加密方法和加密强度 信息加 /解密技术可分为两种体系，即单密钥的加密体系和双密钥 的加密体系 /也称对称加密和非 对称加密。 单密钥的加密体系 /对称加密在加密和解密时采用相同的密钥，如著名的加密算法 DES；加密和解密过程采用了相同的密钥。 这一密钥必须由信源方和信宿方在通信的加密过程之前通过秘密途径达成一致，所以这种方法也叫密钥加密系统。 双密钥的加密方法 /非对称机密又叫公开密钥的加密方法，加密和解密时采用不同的密钥，即公开密钥和私人密钥，如著名的 RSA 算法。 非对称加密系统，是在76 年 Diffie 和 Hellman 提出的公钥加密加密模型的基础上发展起来的。 这一方法的特点是：定义特定的互逆数学变换 ，但该变换可以保证计算复杂性的单向性。 也就是说，可以方便地由 A 变换到 B，但是要实现从 B 到 A 则不能满足可计算性（即算法的时间复杂度和空间复杂度远远超过实际能够承担的范围，比如让全世界所有的计算机同时计算同一问题，要花费几万年，这种问题我们就认为是不能满足可计算条件的）。 利用该数学变换的特性，加以巧妙地组合，可以构建加解密算法系统。 在这样的算法系统中，任何通信方可以公布一个密钥，由专门的密钥管理机构管理。 这样，甲如果要与乙通信，首先通过向密钥管理机构申请得到乙的公钥，并用乙的公钥加密需要传递的信息。 由于只有乙的 私钥和他自己的公钥才能构成一对变换，所以甲送来的信息只有乙才看得懂。 也就是说，在甲对信息加密后，即使是他自己，也无法看懂自己得到的密文。 这样，通过以上方法，就可以在不需要专用的秘密途径来达成某对称密钥。 当然，事物是一分为二的。 对称加密技术虽然必须首先达到密钥的保密传输后，才能付诸使用。 但，在该方法中，密钥只需要通过伪随机产生即可，非常迅速；加、解密处理速度也很快，目前还有相应的硬件产品。 非对称加密算法虽然具有上文提到的优势，但是为了使产生的密钥满足变换复杂性的单向性，需要非常高深的数论、近世代数以及计算 复杂度理论的知识。 密钥产生速度一直是该方法得到广泛应用的瓶颈。 同时，密钥的维护、管理也比较困难。 目前，在这一领域，有许多数学工作者和密码学家集中于这方面的研究。 现在采用的方法是融合两种加密算法的优势，用非对称加密算法传递对称密钥，而实际的大量数据则由对称加密算法加密传递，以满足速度上的要求。 这两种加密体系在 Inter 都得到了不同的应用。 比如 Unix 系统的用户密码 password 就采用 DES算法；而信息加解密工具 PGP（ Pretty Good Privacy）采用了公开密钥的加密方法。 那么各种加 密算法被攻破的可能性有多大呢。 让我们以比较常用的 DES 与 RSA 加密算法为例作一分析。 目前，破译 DES 的最佳手段还是强行破译法。 设备投资为 100 万美元时对不同长度的 DES 密钥进行强行破译的时间长度如下： 密钥长度 年份 40 位 56 位 64 位 80 位 112 位 128 位 1995 年 .2sec 38days 7,000yrs 1013 yrs 2020 年 .02sec 21min 4days 700yrs 1012 yrs 2020 年 2ms 2min 9hrs 70yrs 1011 yrs 2020 年 .2ms 13sec 1hr 7yrs 1010 yrs 而目前对 RSA 的最佳破译法是叫做 General Number Field Sieve 的因子分解法。 用因子分解法对不同长度的大数进行因子分解的成本如下： 大数长度 年份 332 位 498 位 664 位 830 位 996 位 1162 位 1995 年 USD740 10M 40B 20T 3000T 2020 年 74 1M 4B 2T 300T 2020 年 100K 400M 200B 30T 2020 年 10000 40M 20B 3T 根据上述分析专家们认为：按目前的技术：密钥长度为 85 位或以上的 DES 加密算法或密钥长度为 1024 位或以上的 RSA 加密算法。 直到 2020 年，可以认为是难以攻破的，而密钥长度少于上述标准的加密算法则是不甚安全的。 在美国本土，各网上证券交易系统基本选用密钥长度为。