第四章 电子支付安全管理.ppt

第4章电子支付安全管理 4 1电子支付安全管理的思路4 1 1数字化4 1 2开放性和标准化4 1 3业务工具的高科技性4 1 4支付流程的高效性4 2电子支付安全法律保障4 2 1消费者权益保护4 2 2维护金融安全4 2 3打击金融犯罪4 2 4电子支付中主要法律责任问题4 2 5国内外电子支付法律规定 4 3电子支付安全管理保障4 3 1 办法 适用范围4 3 2 办法 对电子银行申请与变更规定4 3 3风险管理4 3 4数据交换与转移管理4 3 5监督管理4 4电子支付安全技术保障4 4 1安全支付防范技术4 4 2安全支付加密技术4 4 3安全支付认证技术4 4 4安全交易协议与支付技术 4 1电子支付安全管理的思路 4 1 1数字化4 1 2开放性和标准化4 1 3业务工具的高科技性4 1 4支付流程的高效性 4 1 1数字化 电子支付是采用先进的技术通过数字流转来完成信息传输的 其各种支付方式都是通过数字化的方式进行款项支付的 而传统的支付方式则是通过现金的流转 票据的转让及银行的汇兑等物理实体来完成款项支付的 4 1 2开放性和标准化 电子支付的工作环境基于一个开放的系统平台 即互联网 而传统支付则是在较为封闭的系统中运作 4 1 3业务工具的高科技性 电子支付使用的是最先进的通信手段 如Internet Extranet 而传统支付使用的则是传统的通信媒介 电子支付对软 硬件设施的要求很高 一般要求有联网的微机 相关的软件及其他一些配套设施 而传统支付则没有这么高的要求 4 1 4支付流程的高效性 电子支付具有方便 快捷 高效 经济的优势 用户只要拥有一台上网的PC机 便可足不出户 在很短的时间内完成整个支付过程 支付费用仅相当于传统支付的几十分之一 甚至几百分之一 而传统的支付方式必须到具体的营业地点去办理结算业务 4 2电子支付安全法律保障 4 2 1消费者权益保护4 2 2维护金融安全4 2 3打击金融犯罪4 2 4电子支付中主要法律责任问题4 2 5国内外电子支付法律规定 4 2 1消费者权益保护 可能因欺诈 盗窃 电子支付技术系统损坏或电子支付服务者的运营错误产生经济损失支付不及时或不完全的风险因电子支付产品而产生的信息被泄露导致的被他人用于欺诈或者其他损害其利益的风险 4 2 2维护金融安全 随着我国金融体制改革的深化和金融业的进一步开放 金融安全问题的复杂性日益凸显 提高金融安全意识 健全金融安全体系 加强和改进金融监管 是维护金融安全的关键 4 2 3打击金融犯罪 避免电子支付活动用来洗钱 避税以及非法赌博 4 2 4电子支付中主要法律责任问题 消费者未经授权划转的责任限制举证责任金融机构责任赔偿责任范围 4 2 5国内外电子支付法律规定 2004年的8月28日 电子签名法 获得全国人大常委会审议通过 以国家主席胡锦涛签署的第18号主席令的方式对外公布 全称为 中华人民共和国电子签名法 自2005年4月1日起实施 2005年10月26日开始实施的 电子支付指引 第一号 文件只是央行整饬电子支付市场的开始 2005年中华人民共和国公安部第82号令发布的 互联网安全保护技术措施规定 2006年3月1日起在全国实施 2006年底之前 第二号和第三号指引都将出台 中国银监会发布了 电子银行业务管理办法 和 电子银行安全评估指引 于2006年3月1日起开始施行 2007年4月 国务院办公厅下发了 关于社会信用体系建设的若干意见 国办发 2007 17号 为了全面贯彻 国务院办公厅关于加快电子商务发展的若干意见 国办 2005 2号 国家食品药品监督管理局于近日制定了 互联网药品交易服务审批暂行规定 2008年12月1日起正式施行 中国人民银行下发了 中国人民银行信用评级管理指导意见 联合国电子支付立法现状 1996年6月 联合国贸法会提出了制订 电子商务示范法 设想 同年12月 将其多次修订的 电子数据交换和有关数据通信手段法律方面的统一规则草案修订条文 交由联合国大会讨论 并且以大会51 162号决议的形式通过 正式命名为 电子贸易示范法 以下简称 示范法 为各国电子商务立法提供了一个范本 示范法 是迄今为止世界上第一个关于电子商务的法律 该示范法出台的目的是促进协调和统一国际贸易法 消除因贸易法不充分和差异而对国际贸易造成不必要的阻碍 为各国在制定相关法律时提供一个值得参考的示范法规 它不仅能够帮助那些在传递和存储信息的现行法规不够完善或者已经过时的国家去完善和健全其法律法规和惯例 也有助于所有国家增强他们使用的通讯和信息办法的立法 并有利于那些目前尚无这种立法的国家制定相关的法律 法规 4 3电子支付安全管理保障 4 3 1 办法 适用范围4 3 2 办法 对电子银行申请与变更规定4 3 3风险管理4 3 4数据交换与转移管理4 3 5监督管理 4 3 1 办法 适用范围 电子银行业务管理办法 已经2005年11月10日中国银行业监督管理委员会第40次主席会议通过 现予公布 自2006年3月1日起施行 为加强电子银行业务的风险管理 保障客户及银行的合法权益 促进电子银行业务的健康有序发展 根据 中华人民共和国银行业监督管理法 中华人民共和国商业银行法 和 中华人民共和国外资金融机构管理条例 等法律法规 制定本办法 本办法所称电子银行业务 是指商业银行等银行业金融机构利用面向社会公众开放的通讯通道或开放型公众网络 以及银行为特定自助服务设施或客户建立的专用网络 向客户提供的银行服务 电子银行业务包括利用计算机和互联网开展的银行业务 以下简称网上银行业务 利用电话等声讯设备和电信网络开展的银行业务 以下简称电话银行业务 利用移动电话和无线网络开展的银行业务 以下简称手机银行业务 以及其他利用电子服务设备和网络 由客户通过自助服务方式完成金融交易的银行业务 在中华人民共和国境内设立的金融资产管理公司 信托投资公司 财务公司 金融租赁公司以及经中国银行业监督管理委员会 以下简称中国银监会 批准设立的其他金融机构 开办具有电子银行性质的电子金融业务 适用本办法对金融机构开展电子银行业务的有关规定 经中国银监会批准 金融机构可以在中华人民共和国境内开办电子银行业务 向中华人民共和国境内企业 居民等客户提供电子银行服务 也可按照本办法的有关规定开展跨境电子银行服务 金融机构应当按照合理规划 统一管理 保障系统安全运行的原则 开展电子银行业务 保证电子银行业务的健康 有序发展 金融机构应根据电子银行业务特性 建立健全电子银行业务风险管理体系和内部控制体系 设立相应的管理机构 明确电子银行业务管理的责任 有效地识别 评估 监测和控制电子银行业务风险 中国银监会负责对电子银行业务实施监督管理 4 3 2 办法 对电子银行申请与变更规定 金融机构在中华人民共和国境内开办电子银行业务 应当依照本办法的有关规定 向中国银监会申请或报告 金融机构开办电子银行业务 应当具备下列条件 金融机构的经营活动正常 建立了较为完善的风险管理体系和内部控制制度 在申请开办电子银行业务的前一年内 金融机构的主要信息管理系统和业务处理系统没有发生过重大事故 制定了电子银行业务的总体发展战略 发展规划和电子银行安全策略 建立了电子银行业务风险管理的组织体系和制度体系 按照电子银行业务发展规划和安全策略 建立了电子银行业务运营的基础设施和系统 并对相关设施和系统进行了必要的安全检测和业务测试 对电子银行业务风险管理情况和业务运营设施与系统等 进行了符合监管要求的安全评估 建立了明确的电子银行业务管理部门 配备了合格的管理人员和技术人员 中国银监会要求的其他条件 金融机构开办以互联网为媒介的网上银行业务 手机银行业务等电子银行业务 除应具备上述所列条件外 还应具备以下条件 电子银行基础设施设备能够保障电子银行的正常运行 电子银行系统具备必要的业务处理能力 能够满足客户适时业务处理的需要 建立了有效的外部攻击侦测机制 中资银行业金融机构的电子银行业务运营系统和业务处理服务器设置在中华人民共和国境内 外资金融机构的电子银行业务运营系统和业务处理服务器可以设置在中华人民共和国境内或境外 设置在境外时 应在中华人民共和国境内设置可以记录和保存业务交易数据的设施设备 能够满足金融监管部门现场检查的要求 在出现法律纠纷时 能够满足中国司法机构调查取证的要求 外资金融机构开办电子银行业务 除应具备上述所列条件外 还应当按照法律 行政法规的有关规定 在中华人民共和国境内设有营业性机构 其所在国家 地区 监管当局具备对电子银行业务进行监管的法律框架和监管能力 金融机构申请开办电子银行业务 根据电子银行业务的不同类型 分别适用审批制和报告制 利用互联网等开放性网络或无线网络开办的电子银行业务 包括网上银行 手机银行和利用掌上电脑等个人数据辅助设备开办的电子银行业务 适用审批制 利用境内或地区性电信网络 有线网络等开办的电子银行业务 适用报告制 利用银行为特定自助服务设施或与客户建立的专用网络开办的电子银行业务 法律法规和行政规章另有规定的遵照其规定 没有规定的适用报告制 金融机构开办电子银行业务后 与其特定客户建立直接网络连接提供相关服务 属于电子银行日常服务 不属于开办电子银行业务申请的类型 金融机构申请开办需要审批的电子银行业务之前 应先就拟申请的业务与中国银监会进行沟通 说明拟申请的电子银行业务系统和基础设施设计 建设方案 以及基本业务运营模式等 并根据沟通情况 对有关方案进行调整 进行监管沟通后 金融机构应根据调整完善后的方案开展电子银行系统建设 并应在申请前完成对相关系统的内部测试工作 内部测试对象仅限于金融机构内部人员 外包机构相关工作人员和相关机构的工作人员 不得扩展到一般客户 金融机构申请开办电子银行业务时 可以在一个申请报告中同时申请不同类型的电子银行业务 但在申请中应注明所申请的电子银行业务类型 金融机构向中国银监会或其派出机构申请开办电子银行业务 应提交以下文件 资料 一式三份 由金融机构法定代表人签署的开办电子银行业务的申请报告 拟申请的电子银行业务类型及拟开展的业务种类 电子银行业务发展规划 电子银行业务运营设施与技术系统介绍 电子银行业务系统测试报告 电子银行安全评估报告 电子银行业务运行应急计划和业务连续性计划 电子银行业务风险管理体系及相应的规章制度 电子银行业务的管理部门 管理职责 以及主要负责人介绍 申请单位联系人以及联系电话 传真 电子邮件信箱等联系方式 中国银监会要求提供的其他文件和资料 中国银监会或其派出机构在收到金融机构的有关申请材料后 根据监管需要 要求商业银行补充材料时 应一次性将有关要求告知金融机构 金融机构应根据中国银监会或其派出机构的要求 重新编制和装订申请材料 并更正材料递交日期 中国银监会或其派出机构在收到金融机构申请开办需要审批的电子银行业务完整申请材料3个月内 作出批准或者不批准的书面决定 决定不批准的 应当说明理由 金融机构在一份申请报告中申请了多个类型的电子银行业务时 中国银监会或其派出机构可以根据有关规定和要求批准全部或部分电子银行业务类型的申请 对于中国银监会或其派出机构未批准的电子银行业务类型 金融机构可按有关规定重新申请 金融机构开办适用于报告制的电子银行业务类型 不需申请 但应参照有关规定 在开办电子银行业务之前1个月 将相关材料报送中国银监会或其派出机构 金融机构开办电子银行业务后 可以利用电子银行平台进行传统银行产品和服务的宣传 销售 也可以根据电子银行业务的特点开发新的业务类型 金融机构利用电子银行平台宣传有关银行产品或服务时 应当遵守相关法律法规和业务管理规章的有关规定 利用电子银行平台销售有关银行产品或服务时 应认真分析选择适应电子银行销售的产品 不得利用电子银行销售需要对客户进行当面评估后才能销售的 或者需要客户当面确认才能销售的银行产品 法律法规和行政规章另有规定的除外 金融机构根据业务发展需要 增加或变更电子银行业务类型 适用审批制或报告制 金融机构增加或者变更以下电子银行业务类型 适用审批制 有关法律法规和行政规章规定需要审批但金融机构尚未申请批准 并准备利用电子银行开办的 金融机构将已获批准的业务应用于电子银行时 需要与证券业 保险业相关机构进行直接实时数据交换才能实施的 金融机构之间通过互联电子银行平台联合开展的 提供跨境电子银行服务的 金融机构增加或变更需要审批的电子银行业务类型 应向中国银监会或其派出机构报送以下文件和资料 一式三份 由金融机构法定代表人签署的增加或变更业务类型的申请 拟增加或变更业务类型的定义和操作流程 拟增加或变更业务类型的风险特征和防范措施 有关管理规章制度 申请单位联系人以及联系电话 传真 电子邮件信箱等联系方式 中国银监会要求提供的其他文件和资料 业务经营活动不受地域限制的银行业金融机构 以下简称全国性金融机构 申请开办电子银行业务或增加 变更需要审批的电子银行业务类型 应由其总行 公司 统一向中国银监会申请 按照有关规定只能在某一城市或地区内从事业务经营活动的银行业金融机构 以下简称地区性金融机构 申请开办电子银行业务或增加 变更需要审批的电子银行业务类型 应由其法人机构向所在地中国银监会派出机构申请 外资金融机构申请开办电子银行业务或增加 变更需要审批的电子银行业务类型 应由其总行 公司 或在中华人民共和国境内的主报告行向中国银监会申请 中国银监会或其派出机构在收到金融机构增加或变更需要审批的电子银行业务类型完整申请材料3个月内 做出批准或者不批准的书面决定 决定不批准的 应当说明理由 其他电子银行业务类型适用报告制 金融机构增加或变更时不需申请 但应在开办该业务类型前1个月内 参照第二十三条的有关规定 将有关材料报送中国银监会或其派出机构 已经实现业务数据集中处理和系统整合 以下简称数据集中处理 的银行业金融机构 获准开办电子银行业务后 可以授权其分支机构开办部分或全部电子银行业务 其分支机构在开办相关业务之前 应向所在地中国银监会派出机构报告 未实现数据集中处理的银行业金融机构 如果其分支机构的电子银行业务处理系统独立于总部 该分支机构开办电子银行业务按照地区性金融机构开办电子银行业务的情形管理 应持其总行授权文件 按照有关规定向所在地中国银监会派出机构申请或报告 其他分支机构只需持其总行授权文件 在开办相关业务之前 向所在地中国银监会派出机构报告 外资金融机构获准开办电子银行业务后 其境内分支机构开办电子银行业务 应持其总行 公司 授权文件向所在地中国银监会派出机构报告 已开办电子银行业务的金融机构按计划决定终止全部电子银行服务或部分类型的电子银行服务时 应提前3个月就终止电子银行服务的原因及相关问题处置方案等 报告中国银监会 并同时予以公告 金融机构按计划决定停办部分电子银行业务类型时 应于停办该业务前1个月内向中国银监会报告 并予以公告 金融机构终止电子银行服务或停办部分业务类型 必须采取有效的措施保护客户的合法权益 并针对可能出现的问题制定有效的处置方案 金融机构终止电子银行服务或停办部分业务类型后 需要重新开办电子银行业务或者重新开展已停办的业务类型时 应按照相关规定重新申请或办理 金融机构因电子银行系统升级 调试等原因 需要按计划暂时停止电子银行服务的 应选择适当的时间 尽可能减少对客户的影响 并至少提前3天在其网站上予以公告 受突发事件或偶然因素影响非计划暂停电子银行服务 在正常工作时间内超过4个小时或者在正常工作时间外超过8个小时的 金融机构应在暂停服务后24小时内将有关情况报告中国银监会 并应在事故处理基本结束后3日内 将事故原因 影响 补救措施及处理情况等 报告中国银监会 4 3 3风险管理 金融机构应当将电子银行业务风险管理纳入本机构风险管理的总体框架之中 并应根据电子银行业务的运营特点 建立健全电子银行风险管理体系和电子银行安全 稳健运营的内部控制体系 金融机构的电子银行风险管理体系和内部控制体系应当具有清晰的管理架构 完善的规章制度和严格的内部授权控制机制 能够对电子银行业务面临的战略风险 运营风险 法律风险 声誉风险 信用风险 市场风险等实施有效的识别 评估 监测和控制 金融机构针对传统业务风险制定的审慎性风险管理原则和措施等 同样适用于电子银行业务 但金融机构应根据电子银行业务环境和运行方式的变化 对原有风险管理制度 规则和程序进行必要的和适当的修正 金融机构的董事会和高级管理层应根据本机构的总体发展战略和实际经营情况 制订电子银行发展战略和可行的经营投资战略 对电子银行的经营进行持续性的综合效益分析 科学评估电子银行业务对金融机构总体风险的影响 在制定电子银行发展战略时 金融机构应加强电子银行业务的知识产权保护工作 金融机构应当针对电子银行不同系统 风险设施 信息和其他资源的重要性及其对电子银行安全的影响进行评估分类 制定适当的安全策略 建立健全风险控制程序和安全操作规程 采取相应的安全管理措施 对各类安全控制措施应定期检查 测试 并根据实际情况适时调整 保证安全措施的持续有效和及时更新 金融机构应当保障电子银行运营设施设备 以及安全控制设施设备的安全 对电子银行的重要设施设备和数据 采取适当的保护措施 有形场所的物理安全控制 必须符合国家有关法律法规和安全标准的要求 对尚没有统一安全标准的有形场所的安全控制 金融机构应确保其制定的安全制度有效地覆盖可能面临的主要风险 以开放型网络为媒介的电子银行系统 应合理设置和使用防火墙 防病毒软件等安全产品与技术 确保电子银行有足够的反攻击能力 防病毒能力和入侵防护能力 对重要设施设备的接触 检查 维修和应急处理 应有明确的权限界定 责任划分和操作流程 并建立日志文件管理制度 如实记录并妥善保管相关记录 对重要技术参数 应严格控制接触权限 并建立相应的技术参数调整与变更机制 并保证在更换关键人员后 能够有效防止有关技术参数的泄漏 对电子银行管理的关键岗位和关键人员 应实行轮岗和强制性休假制度 建立严格的内部监督管理制度 金融机构应采用适当的加密技术和措施 保证电子交易数据传输的安全性与保密性 以及所传输交易数据的完整性 真实性和不可否认性 金融机构采用的数据加密技术应符合国家有关规定 并根据电子银行业务的安全性需要和科技信息技术的发展 定期检查和评估所使用的加密技术和算法的强度 对加密方式进行适时调整 金融机构应当与客户签订电子银行服务协议或合同 明确双方的权利与义务 在电子银行服务协议中 金融机构应向客户充分揭示利用电子银行进行交易可能面临的风险 金融机构已经采取的风险控制措施和客户应采取的风险控制措施 以及相关风险的责任承担 金融机构应采取适当的措施和采用适当的技术 识别与验证使用电子银行服务客户的真实 有效身份 并应依照与客户签订的有关协议对客户作业权限 资金转移或交易限额等实施有效管理 金融机构应当建立相应的机制 搜索 监测和处理假冒或有意设置类似于金融机构的电话 网站 短信号码等信息骗取客户资料的活动 金融机构发现假冒电子银行的非法活动后 应向公安部门报案 并向中国银监会报告 同时 金融机构应及时在其网站 电话语音提示系统或短信平台上 提醒客户注意 金融机构应尽可能使用统一的电子银行服务电话 域名 短信号码等 并应在与客户签订的协议中明确客户启动电子银行业务的合法途径 意外事件的处理办法 以及联系方式等 已实现数据集中处理的银行业金融机构开展网上银行类业务 总行 公司 与其分支机构应使用统一的域名 未实现数据集中处理的银行业金融机构开展网上银行类业务时 应由总行 公司 设置统一的接入站点 在其主页内设置其分支机构网站链接 金融机构应建立电子银行入侵侦测与入侵保护系统 实时监控电子银行的运行情况 定期对电子银行系统进行漏洞扫描 并建立对非法入侵的甄别 处理和报告机制 金融机构开展电子银行业务 需要对客户信息和交易信息等使用电子签名或电子认证时 应遵照国家有关法律法规的规定 金融机构使用第三方认证系统 应对第三方认证机构进行定期评估 保证有关认证安全可靠和具有公信力 金融机构应定期评估可供客户使用的电子银行资源充足情况 采取必要的措施保障线路接入通畅 保证客户对电子银行服务的可用性 金融机构应制定电子银行业务连续性计划 保证电子银行业务的连续正常运营 金融机构电子银行业务连续性计划应充分考虑第三方服务供应商对业务连续性的影响 并应采取适当的预防措施 金融机构应制定电子银行应急计划和事故处理预案 并定期对这些计划和预案进行测试 以管理 控制和减少意外事件造成的危害 金融机构应定期对电子银行关键设备和系统进行检测 并详细记录检测情况 金融机构应明确电子银行管理 运营等各个环节的主要权限 职责和相互监督方式 有效隔离电子银行应用系统 验证系统 业务处理系统和数据库管理系统之间的风险 金融机构应建立健全电子银行业务的内部审计制度 定期对电子银行业务进行审计 金融机构应采取适当的方法和技术 记录并妥善保存电子银行业务数据 电子银行业务数据的保存期限应符合法律法规的有关要求 金融机构应采取适当措施 保证电子银行业务符合相关法律法规对客户信息和隐私保护的规定 金融机构应针对电子银行业务发展与管理的实际情况 制订多层次的培训计划 对电子银行管理人员和业务人员进行持续培训 4 3 4数据交换与转移管理 电子银行业务的数据交换与转移 是指金融机构根据业务发展和管理的需要 利用电子银行平台与外部组织或机构相互交换电子银行业务信息和数据 或者将有关电子银行业务数据转移至外部组织或机构的活动 金融机构根据业务发展需要 可以与其他开展电子银行业务的金融机构建立电子银行系统数据交换机制 实现电子银行业务平台的直接连接 进行境内实时信息交换和跨行资金转移 建立电子银行业务数据交换机制的金融机构 或者电子银行平台实现相互连接的金融机构 应当建立联合风险管理委员会 负责协调跨行间的业务风险管理与控制 所有参加数据交换或电子银行平台连接的金融机构都应参加联合风险管理委员会 共同制定并遵守联合风险管理委员会的规章制度和工作规程 联合风险管理委员会的规章制度 工作规程 会议纪要和有关决议等 应抄报中国银监会 金融机构根据业务发展或管理的需要 可以与非银行业金融机构直接交换或转移部分电子银行业务数据 金融机构向非银行业金融机构交换或转移部分电子银行业务数据时 应签订数据交换 转移 用途与范围明确 管理职责清晰的书面协议 并明确各方的数据保密责任 金融机构在确保电子银行业务数据安全并被恰当使用的情况下 可以向非金融机构转移部分电子银行业务数据 金融机构由于业务外包 系统测试 调试 数据恢复与救援等为维护电子银行正常安全运营的需要而向非金融机构转移电子银行业务数据的 应当事先签订书面保密合同 并指派专人负责监督有关数据的使用 保管 传递和销毁 金融机构由于业务拓展 业务合作等需要向非金融机构转移电子银行业务数据的 除应签订书面保密合同和指定专人监督外 还应建立对数据接收方的定期检查制度 一旦发现数据接收方不当使用 保管或传递电子银行业务数据 应立即停止相关数据转移 并应采取必要的措施预防电子银行客户的合法权益受到损害 法律法规另有规定的除外 金融机构不得向无业务往来的非金融机构转移电子银行业务数据 不得出售电子银行业务数据 不得损害客户权益利用电子银行业务数据谋取利益 金融机构可以为电子商务经营者提供网上支付平台 为电子商务提供网上支付平台时 金融机构应严格审查合作对象 签订书面合作协议 建立有效监督机制 防范不法机构或人员利用电子银行支付平台从事违法资金转移或其他非法活动 外资金融机构因业务或管理需要确需向境外总行 公司 转移有关电子银行业务数据的 应遵守有关法律法规的规定 采取必要的措施保护客户的合法权益 并遵守有关数据交换和转移的规定 未经电子银行业务数据转出机构的允许 数据接收机构不得将有关电子银行业务数据向第三方转移 法律法规另有规定的除外 4 3 5监督管理 中国银监会依法对电子银行业务实施非现场监管 现场检查和安全监测 对电子银行安全评估实施管理 并对电子银行的行业自律组织进行指导和监督 中国银监会根据监管的需要 可以依法对金融机构的电子银行业务实施现场检查 也可以聘请外部专业机构对电子银行业务系统进行安全漏洞扫描 攻击测试等检查 4 4电子支付安全技术保障 4 4 1安全支付防范技术4 4 2安全支付加密技术4 4 3安全支付认证技术4 4 4安全交易协议与支付技术 4 4 1安全支付防范技术 1 病毒防范技术2 黑客防范技术3 虚拟专用技术 1 病毒防范技术 随着信息产业的高速发展 众多企业都利用互联网建立了自己的信息系统 以充分利用各类信息资源 但是我们在享受信息产业发展带给我们的便利的同时 也面临着巨大的风险 我们的系统随时可能遭受到病毒的感染 黑客的入侵 这都可以给我们造成巨大的损失 病毒演示 彩带病毒 千年老妖的病毒 红色代码病毒 计算机病毒的基础知识 我国颁布实施的 中华人民共和国计算机信息系统安全保护条例 第二十八条中明确指出 计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据 影响计算机使用 并能自我复制的一组计算机指令或者程序代码 计算机病毒和医学上的病毒不同的是 计算机病毒不是天然存在的 而是某些别有用心的人利用自己所掌握的计算机知识 针对计算机软 硬件所固有的脆弱性而编制的具有特殊功能 通常是攻击计算机软 硬件 的程序 也就是说它是一段程序 因此 从广义上讲 凡是能够引起计算机故障 影响计算机正常运行的 破坏计算机数据的所有程序 统称为 计算机病毒 计算机病毒是一个程序 一段可执行码就像生物病毒一样 具有自我繁殖 互相传染以及激活再生等生物病毒特征 计算机病毒有独特的复制能力 它们能够快速蔓延 又常常难以根除 它们能把自身附着在各种类型的文件上 当文件被复制或从一个用户传送到另一个用户时 它们就随同文件一起蔓延开来 计算机病毒产生原因 用于版权保护 在计算机发展初期 由于在法律上对于软件版权保护还没有像今天这样完善 因此 很多商业软件被非法复制 软件开发商为了保护自己的利益 就在自己发布的产品中加入了一些特别设计的程序 其目的就是为了防止用户进行非法复制或传播 但是随着信息产业的法制化 用于这种目的的病毒目前已不多见 显示自己的计算机水平 某些爱好计算机并对计算机技术精通的人士为了炫耀自己的高超技术和智慧 凭借对软硬件的深入了解 编制这些特殊的程序 他们的本意并不是想让这些计算机病毒来对社会产生危害 但不幸的是 这些程序通过某些渠道传播出去后 对社会造成了很大的危害 产生于个别人的报复心理 在所有的计算机病毒中 危害最大的就是那些别有用心的人出于报复等心理故意制造的计算机病毒 例如 美国一家计算机公司的一名程序员被辞退时 决定对公司进行报复 离开前向公司计算机系统中输入了一个病毒程序 埋伏 在公司计算机系统里 结果这个病毒潜伏了5年多才发作 造成整个计算机系统的紊乱 给公司造成了巨大损失 用于特殊目的 此类计算机病毒通常都是某些组织 如用于军事 政府 秘密研究项目等 或个人为达到特殊目的 对政府机构 单位的特殊系统进行暗中破坏 窃取机密文件或数据 例如倍受网络界关注的中美之间的黑客大战 很有一丝网络战的味道 为了获取利益 如今已是木马大行其道的时代 据统计木马在病毒中已占七成左右 其中大部分都是以窃取用户信息 获取经济利益为目的 如窃取用户资料 网银账号密码 网游账号密码 QQ账号密码等 一旦这些信息失窃 将给用户带来非常严重的经济损失 如 熊猫烧香 网游大盗 网银窃贼 等 计算机病毒的特征 寄生性计算机病毒寄生在其他程序之中 当执行这个程序时 病毒就起破坏作用 而在未启动这个程序之前 它不易被人发觉 传染性传染性是计算机病毒的最重要特征 计算机病毒可从一个文件传染到另一个文件 从一台计算机传染到另一台计算机 可在计算机网络中寄生并广泛传播 潜伏性计算机病毒在传染给一台计算机后 只有满足一定条件才能执行 发作 在条件未满足前 一直潜伏着 隐蔽性计算机病毒程序编制得都比较 巧妙 并常以分散 多处隐蔽的方式隐藏在可执行文件或数据中 未发起攻击 不易被人发觉 激发性计算机病毒感染了一台计算机系统后 就时刻监视系统的运行 一旦满足一定的条件 便立刻被激活并发起攻击 这称为激发性 如黑色星期五病毒只在13日正好是星期五时发作 计算机病毒的分类 计算机病毒的主要症状 计算机病毒传播途径 通过不可移动的计算机硬件设备进行传播 这类病毒虽然极少 但破坏力却极强 目前尚没有较好的检测手段对付 通过移动存储介质传播 包括软盘 光盘 U盘和移动硬盘等 用户之间在互相拷贝文件的同时也造成了病毒的扩散 通过计算机网络进行传播 计算机病毒附着在正常文件中通过网络进入一个又一个系统 其传播速度呈几何级数增长 是目前病毒传播的首要途径 计算机病毒的防范措施 树立病毒防范意识 从思想上重视计算机病毒 安装正版的杀毒软件和防火墙 并及时升级到最新版本 如瑞星 金山毒霸 360杀毒 及时对系统和应用程序进行升级及时更新操作系统安装相应补丁程序 从根源上杜绝黑客利用系统漏洞攻击用户的计算机 把好入口关不要随便登录不明网站 黑客网站或色情网站不要随便点击打开QQ MSN等聊天工具上发来的链接信息 不要随便打开或运行陌生 可疑文件和程序 养成经常备份重要数据的习惯养成使用计算机的良好习惯 定期查毒 杀毒 要学习和掌握一些必备的相关知识 就不会 闻毒色变 黑客防范技术 黑客 一词是由英语Hacker音译出来的 是指专门研究 发现计算机和网络漏洞的计算机爱好者 黑客对计算机有着狂热的兴趣和执着的追求 他们不断地研究计算机和网络知识 发现计算机和网络中存在的漏洞 喜欢挑战高难度的网络系统并从中找到漏洞 然后向管理员提出解决和修补漏洞的方法 黑客不干涉政治 不受政治利用 他们的出现推动了计算机和网络的发展与完善 但到了今天 黑客一词已被用于泛指那些专门利用电脑网络搞破坏或恶作剧的家伙 对这些人的正确英文叫法是Cracker 有人翻译成 骇客 黑客和骇客根本的区别是 黑客们建设 而骇客们破坏 黑客的攻击方式 入侵者的来源有两种 一种是内部人员利用自己的工作机会和权限来获取不应该获取的权限而进行的攻击 另一种是外部人员入侵 包括远程入侵 网络节点接入入侵等 攻击前的准备 信息收集 网络攻击工作流程 进行网络攻击是一件系统性很强的工作 其主要工作流程是 收集情报 远程攻击 远程登录 取得普通用户的权限 取得超级用户的权限 留下后门 清除日志 在实现攻击的目的后 攻击者通常会采取各种措施来隐藏入侵的痕迹 并为今后可能留下控制权限 攻击的图示步骤 攻击的方式 获取口令端口扫描WWW的欺骗技术 例如黑客将用户要浏览的网页的URL改写为指向黑客自己的服务器 当用户浏览目标网页的时候 网页已经被黑客篡改过 网页上的信息是虚假的 电子邮件攻击 邮件炸弹 电子邮件欺骗 攻击者佯称自己为系统管理员 邮件地址和系统管理员完全相同 给用户发送邮件要求用户修改口令 口令可能为指定字符串 或在貌似正常的附件中加载病毒或其他木马程序 通过一个节点来攻击其他节点 黑客在突破一台主机后 往往以此主机作为根据地 攻击其他主机 以隐蔽其入侵路径 避免留下蛛丝马迹 网络监听 是主机的一种工作模式 在这种模式下 主机可以接受到本网段在同一条物理通道上传输的所有信息 而不管这些信息的发送方和接受方是谁 寻找系统漏洞利用帐号进行攻击偷取特权 3 虚拟专用 VPN 技术 专用网络的优点 专用网络的缺点 经济性的需要 Intemet的发展 推动了采用基于公网的虚拟专网 VPN 的发展 从而使企业的跨地区的部门或出差人员可以从远程经过公共网络 通过虚拟的加密通道与企业内部的网络连接 可以使企业节省大量的通信费用和资金 有研究机构表明 如果企业采用VPN替代租用DDN 数字数据网 专线 其整个网络的成本可节约21 一45 若替代拨号连网方式可节约通信成本50 一80 这些新的业务需求给公共网络的经营者提供了巨大的商业机会 安全性的需要 随着网络经济的高速发展 Internet访问的不断增加 传统的Internet接入服务已越来越满足不了用户的需求 因为传统的Internet只提供浏览 电子邮件等单一服务 没有服务质量保证 没有权限和安全机制 我们现有的Internet使用TCP IP协议 每台机器用lP地址和MAC地址标识自己 通过网线连在 起 当有一台机器向网络中的另外一台机器发送数据时 所有的机器都能接收到 除非该数据被路由器拦截 例如 一个企业的客户正好在和企业的服务器进行通讯 此时如果他的lP数据包被监听 有可能就会泄露重要的企业信息 其后果不堪设想 这种安全问题在Internet上非常突出 为了保证安全 常采用专用网的方式 而VPN就是一种专用网 VPN的优势 1 使用VPN可降低成本 通过公用网来建立VPN 就可以节省大量的通信费用而不必投入大量的人力和物力去安装和维护WAN 广域网 设备和远程访问设备 2 传输数据安全可靠 虚拟专用网产品均采用加密及身份验证等安全技术 保证连接用户的可靠性及传输数据的安全和保密性 3 连接方便灵活 用户如果想与合作伙伴联网 如果没有虚拟专用网 双方的信息技术部门就必须协商如何在双方之间建立租用线路或帧中继线路 有了虚拟专用网之后 只需双方配置安全连接信息即可 4 完全控制 虚拟专用网使用户可以利用ISP的设施和服务 同时又完全掌握着自己网络的控制权 用户只利用ISP提供的网络资源 对于其它的安全设置 网络管理变化可由自己管理 在企业内部也可以自己建立虚拟专用网 适合采用VPN网络连接的用户有四类 网络接入位置众多 特别是单个用户和远程办公室站点多 例如多分支机构企业用户 远程教育用户 用户 站点分布范围广 彼此之间的距离远 遍布全球各地 需通过长途电信 甚至国际长途手段联系的用户 如一些跨国公司 带宽和时延要求相对适中 如一些提供IDG 国际数据集团 服务的ISP 对线路保密性和可用性有一定要求的用户 如大企业用户和政府网 四种情况可能并不适于采用VPN 非常重视传输数据的安全性 不管价格多少 性能都被放在第一位的情况 采用不常见的协议 不能在IP隧道中传送应用的情况 大多数通信是实时通信的应用 如语音和视频 但这种情况可以使用公共交换电话网 PSTN 解决方案与VPN配合使用 VPN网络安全技术 隧道技术加解密技术密钥管理技术使用者与设备身份认证技术 4 4 2安全支付加密技术 加密技术是电子商务采取的主要安全保密措施 是最常用的安全保密手段 利用技术手段把重要的数据变为乱码 加密 传送 到达目的地后再用相同或不同的手段还原 解密 加密技术的应用是多方面的 但最为广泛的还是在电子商务的应用 深受广大用户的喜爱 数据加密的基本概念 密码学 cryptography 是研究加密和解密变换的一门学科 明文 plaintext 通常 人们将可懂的文本称为明文 密文 ciphertext cryptograph 将明文变换成不可懂的形式的文本加密 encipher encrypt 把明文变换成密文的过程 解密 decipher decrypt 把密文变换成明文的过程 加密技术包括两个元素 算法和密钥 算法是将普通的文本 或者可以理解的信息 与一串数字 密钥 的结合 产生不可理解的密文的步骤 密钥是用来对数据进行编码和解码的一种算法 在安全保密中 可通过适当的密钥加密技术和管理机制来保证网络的信息通讯安全 密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制两种 对数据加密的技术分为两类 即对称加密 私人密钥加密 和非对称加密 公开密钥加密 对称加密以数据加密标准 DES DataEncryptionStandard 算法为典型代表 非对称加密通常以RSA RivestShamirAdleman 算法为代表 对称加密的加密密钥和解密密钥相同 而非对称加密的加密密钥和解密密钥不同 加密密钥可以公开而解密密钥需要保密 对称密钥加密技术 对称加密采用了对称密码编码技术 它的特点是文件加密和解密使用相同的密钥 即加密密钥也可以用作解密密钥 这种方法在密码学中叫做对称加密算法 对称密钥加密技术的优缺点 对称密钥 加密体制具有加解密速度快 安全强度高的优点 在军事 外交以及商业应用中使用越来越普遍 对称密钥 加密体制的最大缺点就是存在密钥交付的问题 对 对称密钥 加密体制来说 在进行通信之前 双方必须持有相同的密钥 与不同的人通信时 要使用不同的密钥 去管理这些密钥是一件可怕的事 比较著名的常规加密算法有 美国的DES及其各种变形 比如TripleDES GDES NewDES和DES的前身Lucifer 欧洲的IDEA 日本的FEAL N LOKI 91 Skipjack RC4 RC5以及以代换密码和转轮密码为代表的古典密码等 在众多的常规加密算法中影响最大的是DES加密算法 非对称密钥加密技术 现代加密体制中加密和解密采用不同的密钥 因此称为 非对称密钥 加密体制 每个通信方均需要有两个密钥 一个加密钥 一个解密钥 在进行保密通信时 通常将加密密钥公开 称为公钥 PublicKey 而保留解密密钥 称为私钥 PrivateKey 虽然两者之间存在一定的关系 但不可能轻易地从一个推导出另一个 发送方想发送机密信息给接收方 可以从任意公开渠道获得对方的公钥 将明文用对方的公钥加密成密文后 发送给接收方 接收方在接到密文后 用保留的解密密钥将密文还原成明文 非对称密钥 加密体制的最大优点就是适应网络开放性的要求 不存在密钥分发的问题 由于 非对称密钥 加密体制的算法比 对称密钥 加密体制的算法复杂度高 大量数据加密时 对称密钥 加密体制要比 非对称密钥 加密体制的速度快100 1000倍 因此 非对称密钥 密码体制常被用于对少量关键数据 例如 对称密钥 加密体制的密钥 进行加密 或者用于数字签名领域 一般不用于对大量数据的加密 常用的 非对称密钥 加密算法有Rivest Shamir和Adleman提出的并以他们的名字首字母命名的RSA算法 一般与 对称密钥 加密算法共同使用 这些算法复杂度各不相同 提供的功能也不完全一样 对称与非对称加密体制对比 2 2 3信息认证技术 所谓数字签名就是附加在数据单元上的一些数据 或是对数据单元所作的密码变换 数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性并保护数据 防止被人 例如接收者 进行伪造 数字签名的文件的完整性是很容易验证的 不需要骑缝章 骑缝签名 也不需要笔迹专家 而且数字签名具有不可抵赖性 不需要笔迹专家来验证 数字签名技术是将摘要信息用发送者的私钥加密 与原文一起传送给接收者 接收者只有用发送者的公钥才能解密被加密的摘要信息 然后用HASH函数对收到的原文产生一个摘要信息 与解密的摘要信息对比 如果相同 则说明收到的信息是完整的 在传输过程中没有被修改 否则说明信息被修改过 因此数字签名能够验证信息的完整性 数字签名是个加密的过程 数字签名验证是个解密的过程 数字签名的具体过程 数字签名与手书签名的区别 1 数字签名的要求 1 收方能够确认或证实发方的签名 但不能伪造 2 发方发出签名的消息送收方后 就不能再否认他所签发的消息 3 收方对已收到的签名消息不能否认 即有收到认证 4 第三者可以确认收发双方之间的消息传送 但不能伪造这一过程 2 数字签名与手书签名的区别 1 手书签名是模拟的 且因人而异 2 数字签名是0和1的数字串 因消息而异 3 消息认证使收方能验证消息发送者及所发消息内容是否被篡改过 4 数字签名技术可解决收者和发者之间有利害冲突时的纠纷 数字证书 数字证书就是互联网通讯中标志通讯各方身份信息的一串数字 提供了一种在Internet上验证通信实体身份的方式 数字证书不是数字身份证 而是身份认证机构盖在数字身份证上的一个章或印 或者说加在数字身份证上的一个签名 是由权威机构 CA机构 又称为证书授权 CertificateAuthority 中心发行的 人们可以在网上用它来识别对方的身份 数字证书的组成 数字证书的格式普遍采用的是X 509V3国际标准 一个标准的X 509数字证书包含以下一些内容 证书的版本信息 证书的序列号 每个证书都有一个唯一的证书序列号 证书所使用的签名算法 证书的发行机构名称 证书的有效期 现在通用的证书一般采用UTC时间格式 它的计时范围为1950 2049 证书主题或使用者 证书所有人的公开密钥信息 其他额外的特别扩展信息 证书发行者对证书的数字签名 数字证书的应用 数字证书的应用是广泛的 目前主要包括 发送安全电子邮件 访问安全站点 网上招标投标 网上签约 网上订购 安全网上公文传送 网上缴费 网上缴税 网上炒股 网上购物和网上报关等 其中包括大家最为熟悉的用于网上银行的USBkey和部分使用数字证书的VIEID即网络身份证 CA认证中心 电子商务认证授权机构 CA CertificateAuthority 也称为电子商务认证中心 是负责发放和管理数字证书的权威机构 并作为电子商务交易中受信任的第三方 承担公钥体系中公钥的合法性检验的责任 CA认证中心的功能 证书的申请与审批证书的发放证书的归档证书的作废证书的更新密钥的管理 PKI PKI是PublicKeyInfrastructure的首字母缩写 翻译过来就是公钥基础设施 PKI是一种遵循标准的利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范 X 509标准中 为了区别于权限管理基础设施 PrivilegeManagementInfrastructure 简称PMI 将PKI定义为支持公开密钥管理并能支持认证 加密 完整性和可追究性服务的基础设施 这个概念与第一个概念相比 不仅仅叙述PKI能提供的安全服务 更强调PKI必须支持公开密钥的管理 也就是说 仅仅使用公钥技术还不能叫做PKI 还应该提供公开密钥的管理 因为PMI仅仅使用公钥技术但并不管理公开密钥 PKI的功能 证书的申请者注册机构认证中心证书库证书信任方其中认证中心 注册机构和证书库三部分是PKI的核心 证书申请者和证书信任方则是利用PKI进行网上交易的参与者 电子支付协议 电子支付协议是指在电子交易过程中实现交易各方支付信息正确 安全 保密地进行网络通信的规范和约定 目前在电子支付中常用的安全协议有 安全套接层协议 SecureSocketsLayer SSL 安全电子交易协议 SecureElectronicTransaction SET SSL协议的概念 SSL协议的安全交易过程 是保证计算机之间通信安全的一种协议 SSL协议的基本安全服务 SSL协议的优缺点 优点 设置简单 成本低 银行和商家无须进行大规模系统改造消费者进行电子商务交易 无须安全专门软件 只要浏览器支持即可传送的数据被加密 从而保证通信的安全性 缺点 1 SSL提供的保密连接存在较大的漏洞 SSL除了能保证传输过程中的安全之外 不能提供其他任何安全保证 不能让客户明明白白的知道商家接收信用卡支付是否已经通过授权的 换句话说 商家 客户和银行之间缺少彼此之间的认证 因此不法分子很有可能借此漏洞进行一些欺诈行为 在Internet这个公开的平台上 陌生的店铺会经常出现 如果不能保证