证券南宁营业部网上交易系统解决方案.doc

桂林证券南宁营业部网上交易 系统解决方案 2000 年 11 月 28 日 目 录 第一章第一章 背背 景景 1 第二章第二章 系统设计系统设计 2 2 1 桂林证券南宁营业部网上交易系统基本架构 2 2 2 基本架构说明 3 2 2 1 行情本地化 3 2 2 2 交易集中化 3 2 2 3 接口标准化 3 2 3 桂林证券南宁营业部网上交易系统拓扑图 4 2 4 系统功能 5 2 4 1 行情分析子系统 5 2 4 2 委托交易子系统 5 2 4 3 银证转帐子系统 6 2 4 4 盘中 盘后分析及数据下载子系统 6 2 4 5 F10股市资讯子系统 6 2 5 典型业务流程 7 第三章第三章 技术策略技术策略 10 3 1 网络及线路 10 3 2 系统硬软件及系统接口要求 10 3 2 1各广域网线路 10 3 2 2 计算机及服务器 10 3 2 3 软件包 11 3 3 安全策略 11 3 3 1 网络安全 11 3 3 2 信息传递安全 12 3 3 3 安全数字验证 16 4 1 安全性 19 4 2 可靠性 19 4 3 速度及实时性 20 4 4 可伸缩性 20 4 5 易用性 20 第五章第五章 系统配置清单系统配置清单 21 5 1 桂林证券南宁营业部 21 第六章第六章 系统实施计划系统实施计划 24 6 1 工程施工 24 6 1 1 ISP接入工程实施 24 6 1 2 计算机系统的工程实施 24 6 1 3 应用软件的工程实施 24 6 1 4 网上交易系统的试运行 25 6 2 主要施工人员及其技术背景 25 6 3 系统测试 25 6 3 1 系统测试 25 6 3 2 软件测试 26 6 4 系统培训 26 6 4 1 网络系统的培训 26 6 4 2 计算机系统的培训 26 6 4 2应用软件的运行培训 27 6 5 系统验收和交付 27 第一章第一章 背背 景景 网上交易同传统的交易方式相比 优越性不言而喻 这不仅是指传统的朝 9 晚 15 的 五天工作制的雍容华贵的气质 会放跑了从不休息的大笔大笔的钱 更主要的这已是大势 所趋的行当的竞争规则从来就是大浪淘沙 领先一步 步步领先 落后一步 处处被动 开展网上交易 桂林证券南宁营业部有着良好的资源基础 可靠运行的营业部局域 网 网上业务的开展不仅会拓宽服务范围 无形延长服务时间 同时也克服了券商明显的 地域性 使分布的个人可以获得大户级的技术分析及资讯服务 吸纳更多的潜在客户 网 上交易是种罕见的一本万利的商业模式 一根 DDN 或 ADSL 线路就可充分利用 Internet 的 无边的大量资源 一次投入 基本没有营运成本 却可得到长期回报 同时 券商有形的 营业部得到无形地扩张 可以以低成本 新形式走出地区 甚至走出国门 另外作为第四 媒体 Internet 空间具有的巨大广告宣传影响力 桂林证券南宁营业部的品牌 形象可以籍 此被真正地发扬 盛润公司除保持技术领先外 还借鉴国际成功典范 揣摩国内业界的营运实例 总结 经验教训 力图博采众家所长 提供最高品质的解决方案 做国内乃至国际一流的电子商 务系统供应商 预祝我们合作愉快 永远是朋友 第二章第二章 系统设计系统设计 2 1 桂林证券南宁营业部网上交易系统基本架构桂林证券南宁营业部网上交易系统基本架构 用户及股民 证券营业部 ADSL DDN 数据局ISP PSTN 网网上上交交易易经经纪纪系系统统概概括括图图 2 2 基本架构说明基本架构说明 2 2 1 行情本地化行情本地化 基本的网上证券交易行情发布 考虑到 Internet 的在国内的建设仍带有很强地域 性的特点 及行情信息量较大 Internet 接入客户的地方化现状 ISP 经营的地域化特点 在本地设立行情服务器 以近乎实时地交易数据供股民浏览 在行情信息源比如 券商 采集行情信息 然后转换并发送到设在 ISP 的行情服务器 由行情服务器提供网络服务 ISP 宜选取当地比较有名气 设备先进 可扩容空间充足 带宽较高 有一定营运经验 及客户基础较好的 ISP 如 南宁市数据局 建议使用 DDN 数据专线 当网上股民的 数量增加时 亦可以在省内其它地方设立镜像站点 营业部可以利用盛润公司分布在各 大城市的行情服务器给桂林证券南宁营业部的股民提供行情 2 2 2 交易集中化交易集中化 证券交易委托服务器 可设于具有证券业务经营权的证券公司及其营业部 采用 ADSL 与 Internet 相联充分发挥网上强大的通讯资源优势 节约昂贵的电话中继线和通 讯设备的投资 让更多的股民通过 Internet 进行证券交易和相关查询 2 2 3 接口标准化接口标准化 对柜台 银证等接口 考虑到系统安全 规模实施及扩容升级等要素实行标准化 由于前置机要与各营业部使用的柜台系统进行通讯以完成交易委托及成交查询等功能 因此要得到对应柜台系统开发商的配合 给出一套开放的标准接口 对此盛润的交易软 件包也会给出一套通用的接口标准 另外开发一个接口转换程序完成两个标准的转换 银证转帐接口类似于柜台 盛润也会给出一套接口标准 2 3 桂林证券南宁营业部网上交易系统拓扑桂林证券南宁营业部网上交易系统拓扑图图 AS 券商柜台 银行数据库服务器 Telephone 数据局LAN PSTN PC Modem AS Modem 1 16 63 31 16 69 9 银行LAN 银银行行 券商LAN D DD DN N 3 38 8 4 4K K A AS SY Y I IS SD DN N P PS ST TN N b ba ac ck ku up p 桂林证券南宁 营业部 内内 部部 协协 议议 数数据据局局 1 10 0 1 10 00 0M M WAN PSTN 用户 股民 dtu modem dtu modem T TC CP P I IP P 通讯隔离机 防火墙 券商前置机 交易服务器行情交易服务器 银行前置机 WAN PSTN 用用户户 券券商商 ADSL Modem 滤波器 Telephone LINE DSL DSL 2 4 系统功能系统功能 盛润网络经纪系统主要由五个功能模块 包括 行情接收及浏览子系统 委托交易子系统 银 证转帐子系统 盘中 盘后分析及数据下载子系统 F10 股市资讯子系统 为客户提供全方位的电子 商务解决方案 以及实时专业的财经资讯服务 2 4 1 行情分析子系统行情分析子系统 行情分析系统基本功能 1 实时行情报价 照顾用户使用习惯 全面支持钱龙小键盘功能 使用户使用全无陌生感 2 大盘走势 个股行情 速度特快 每分钟可达 12 笔 数据特全 保留历史所有实时行情数据 只有您双击所选日线 立即可在右下角显示其 当日走势 指标分析 显示个股的分时走势及 K 线图的各种技术分析指标 包括量线指标 K 线指 标 MACD 指标 KD 指标 OBV 指标 RSI 指标等 技术指标具有可进一步设置的参数 成交价格平均参数可自行设置 均线天数及均线数都 可灵活修改 另外平均成交量分为两根 可分别自行设置 全天 24 小时行情提供 2 4 2 委托交易子系统委托交易子系统 可完成对股票和基金的如下功能 1 买入委托 2 卖出委托 3 撤单委托 4 委托查询 包括当日查询 本周查询 5 成交查询包括当日查询 时间段查询 6 余股查询 7 保证金对帐单查询 8 保证金余额查询 9 修改证券交易密码 2 4 3 银证转帐子系统银证转帐子系统 1 储蓄余额查询 2 从保证金转款到储蓄 3 从储蓄转款到保证金 4 开户确认 5 转托管 6 办理指定交易 2 4 4 盘中 盘后分析及数据下载子系统盘中 盘后分析及数据下载子系统 1 数据下载 2 离线浏览 3 大盘分析 4 板块定义及分析 5 自选股设置 6 综合排名 振幅排名 涨幅排名 跌幅排名 成交量排名 量比排名 委比排名 7 各种指标分析 2 4 5 F10 股市资讯子系统股市资讯子系统 盛润 F10 的功能包括 1 上市公司基本情况 公司所属行业 地址 营业范围 法人代表 咨询电话 传真 网址 以及重要财务数据等一目了然 2 分红送股能力分析 提供分配潜力分析 最近一次分配情况等 以便投资者对该公 司的送配力度有明确理解 3 公司发行情况 包括公司主承销商 配股主承销商 发行价格 是否发行 B 股 上 市日期等数据资料 4 历年财务指标和利润构成 通过财务指标和利润构成的历年列表 使投资者直观了 解到该公司的财务状况和历史对比情况 5 公司简介 对该上市公司的历史和现状进行介绍 方便投资者全面了解该公司的沿 革变迁 6 价格与成交量 以昨日收盘价为基础 将公司的市盈率 市净率以及换手率 流通 市值等重要数据指标进行汇总 7 主要股东 列表显示该公司十大股东的名称 持股量和持股比例 8 股本结构 按流通情况对公司全部股本中的国家股 法人股 A 股 H 股 B 股的 数量和比例列表显示 9 分红配股情况 为方便投资者还权 列示该公司历次分红派息配股记录 10 公司大事记 全面记录上市公司所有内外大事 包括业务回顾和业务展望 以及有 关该公司的重要报道 评述和分析 11 财务评述 根据上市公司的基本财务数据 利用专家模型 给出一个针对该公司财 务状况的结论性意见 方便股民解读报表 12 财务比率排名 就公司企业规模 短期偿债能力 长期偿债能力 运营能力 获利能力 发展能力 现金流量等给出一个行业性的意见 2 5 典型业务流程典型业务流程 网上经纪系统主要由券商 银行 信用卡部 ISP 构成三方 以下是该系统中典型的业务关系数 据流程图 A 数字身份验证过程数据流程图 用户 1 Internet联 结已建立 2 主站 IP 设 定及选择 Sp Client 1 数字身份验证 2 RSA密钥的加密 解密 Sp authority id用户权限管理库 数字 身份 成功否 PSTN TCP IP 主站连接 验证结果 数据局 用户 数字身份验证过程 1 券商端的数 字验证 2 授予权限 Sp invoke 券商 WAN PSTN 验证结果 数字加密 B 行情查看 提供数据流程图 用户 1 行情接受 2 行情显示 3 行情分析 4 实时刷新 Sp Client 1 行情提供 2 用户连接信息 3 网络并发管理 info server id行情数据库 行情 信息 TCP IP 行情数据 操作 深 沪行 情卫星接 收系统 1 行情转换 info change id行情数据库 1 行情接收 2 行情转储 info recieve 1 行情转发 info trans 行情实时数据 TCP IP 客户 数据局 券商 DDN ISDN 拨号 专线 行情查看 提供数据流程图 WAN PSTN PSTN C 交易委托及银证转帐数据流程图 用户 1 身份验证 2 交易 Sp Client 1 身份鉴别 2 路由选择 3 交易分发 secu dist 结果 反馈 TCP IP 操作 客户端 数据局 拨号 专线 系统安全策略 secu firewall 系统通讯协议 secu passage 1 请求分发 2 请求处理 3 结果返回 secu redist 1 银行通讯 2 数据接口 secu tobank 1 前置机处理 2 交易委托流程 处理 3 银证转帐流程 处理 secu kert 券商柜台系统 1 身份验证 2 交易处理 3 清算 4 成交查询 1 柜台接口 2 系统清算 secu trans 1 银行接口 2 银行通讯 3 资金数据接口 secu bank 银行资金存取 系统 1 身份验证 2 资金划转 PSTN 券商 银行 WAN PSTN WAN PSTN 通讯 隔离 协议 DDN ISDN 交易委托及银证转帐数据流程图 第三章第三章 技术策略技术策略 3 1 网络及线路网络及线路 桂林证券南宁营业部网上交易系统可分为两个层面 1 桂林证券南宁营业部已建立的稳定运行的局域网 2 额外的线路 这部分包括 行情提供 证券公司与电信 ISP 间 ADSL 或 DDN 专线 交易委托 证券公司与电信 ISP 间 ADSL 或 DDN 专线 银证转帐 以营业部为单位与当地各银行间的线路 视具体情形定线路数 一般性能要求 不低于 19 2K 最好有备份线路 如电话线 3 2 系统硬软件及系统接口要求系统硬软件及系统接口要求 3 2 1 上广域网线路上广域网线路 ADSL 连接上网方式 此方式带宽高 费用低 实施使用方便 但 ADSL 在我国目前属推广 阶段 要视各地具体情况而定 目前 深圳 上海等地区已提供 ADSL 服务 DDN 连接上网方式 采用此方式时每条 DDN 线路需要路由器和 DTU 各一对 若使用 ISDN 备份注意选取即可联 DDN 又有 ISDN 接口的路由器 使用电话线备份另需一对 Modem 此方式的可 在全国所有地方使用 3 2 2 计算机及服务器计算机及服务器 计算机使用位置及数量可参照前面的网络拓扑图 机器配置在后面的配置清单中有详述 机型的选择 考虑到系统对安全及可靠性的高要求建议采用 COMPAQ HP 和 IBM 等美国著名 品牌厂商高档机 另对于大容量的行情提供以及总部的交易委托服务器建议采用多 双处理器双总线 结构的服务器 至少 8G 的高速 SCSI 硬盘 3 2 3 软件包软件包 主要由客户端 三大软件包及各接口软件构成 行情交易的客户端 一般而言不外两种 方式 1 Browser Web Server 方式 2 Client Server 方式 1 的优点是客户端不需要软件 使用 Internet 通用浏览器即可 但系统安全由于受美国加密 出口策略限制 只能达到 40 位 不够安全 下面有详尽论述 另由于国内网络建设的现况决定了在 未来一段时间内网络带宽不会有大的改善 因此速度也成问题 方式 2 的优点是速度快 加密策略 可得到加强 缺点是系统需要客户端软件 系统升级等不够方便 盛润两种方式都提供 既有网络 行情的 Web based 的服务器 又有经过加密统一签发密钥的客户端 但交易主要以客户端为主 行情 查看的程序可由盛润 2000 的网站免费下载 三大软件包 行情提供软件包 包括行情转换 行情发送 行情接受 行情网络提供等 交易委托软件包 主要包括系统认证 加密 交易路由 通讯隔离 中央流程处理及与柜台及银行的接口等 银证系统软件包 银证系统由于银行行业本身特点 因此个性化很强 盛润提供成功的样板 具体内容及开 发等事宜需多方协商而定 接口软件前面已经论述 盛润提供软件接口标准及成功样板 技术细节具体实施而定 3 3 安全策略安全策略 自诞生以来网上金融系统就额外得网络 Hacker 黑客 的青睐 另外还有成批的居心叵测的才子 们搞出来的病毒 没有一套过硬的安全策略 网上交易寸步难行 一个系统的安全由它的结构决定 对电子商务而言 可一分为三 网络安全 信息传递安全 安全数字验证 3 3 1 网络安全网络安全 网络安全的主要技术是防火墙技术 Firewall 防火墙技术的核心思想是在不安全的网间网环境 中构造一个相对安全的子网环境 目前其实现方式有两种 即基于包过滤 Packet Filter 的防火墙 和基于代理 Proxy 的防火墙 包过滤型防火墙处在网络层 根据 IP 包的包头信息来对信息的访问 进行控制 而 IP 包的包头主要包括以下信息 IP 包的源地址 目的地址 包类型 端口号 因此包 过滤型防火墙主要完成基于地址和端口的过滤功能 基于代理的防火墙 也叫应用层防火墙 处于 应用层 可对 IP 地址和发生在该 IP 地址上的具体应用进行控制 由于它能识别应用协议 因此可对 应用的整个过程进行控制 比如在应用建立时的密码验证 在 FTP 应用中允许某站点 get 而不允许 put 等等 这两种防火墙各有优缺点 包过滤型防火墙由于基于网络层 因此对用户来说比较透明 但它一般采用 没被禁止的就是允许的 这一策略 在它失效时 网络是畅通的 这时内部网络将 失去安全的屏障 而应用层防火墙采用 没被允许的就是禁止的 这一策略 在它失效时 内部网 络与外部网络是隔离的 因此应用层防火墙要比包过滤型防火墙安全 盛润公司采用的是应用层防火墙 包过滤防火墙复合技术 首先 盛润公司采用支持包过滤的 Cisco 路由器 通过设置 access list 的过滤规则来实现包过滤 功能 禁止外部网络对内部网络的重要机器的访问 并且利用端口号来选择控制的应用协议 另外 盛润公司采用一台通讯隔离服务器的方式 在外部网和内部网使用公司自己开发的一套 通讯协议 只有盛润公司的经过加密的程序和数据才能通过该隔离 这样即使有非法侵入者即使通 过了包过滤防火墙也不可能通过应用层防火墙 公式 没被禁止的就是允许的 没被允许的就是禁止的 安全 3 3 2 信息传递安全信息传递安全 除了网络本身是安全的外 信息在传递过程中 会面临被窃取 重发和修改和恶意跟踪等威胁 为此要保证信息在传递过程中的安全 Internet 主要采用 TCP IP 协议 但 TCP IP 协议本身不提供任 何信息安全方面措施 因此必须另外开发 而这方面的主要技术是加密技术 这里我们要谈三个问题 一个是安全标准 一个是加密方法和加密强度 最后是协议 1 安全标准 目前 Internet 上有几种加密协议在使用 对应 七层 网络模型的每一层都已提出了相应的协议 对应用层有 SET 安全电子交易 协议 对会话层有 SSL 安全套层 协议 在所有的协议中 SSL 和 SET 与电子商务的关系最为密切 SSL Secure Socket Layer Protocol 网络资料传输的安全协定 是由著名的 Internet 先驱 Netscape Communication 提出的针对数据的隐秘性 完整性 身份的确认 开放性的安全标准机制 Netscape 公司 已经把 SSL 协议递交给 W3C 网络安全工作小组以便使之成为万维网应用的安全标准 尽管使 SSL 协议成为标准还需要一段时间 但 SSL 协议事实上已被大部分万维网软件生产商所采用 SSL 协议 能很好地解决身份验证 信息保密 信息完整等网络信息传输过程中最为关键的安全保密问题 SET Secure Electronic Transactions 安全电子交易规格 是由著名的信用卡机构 VISA 及 MasterCard 提出的针对电子钱包 商场伺服器 认证中心的安全标准 由于 Visa 与 MasterCard 的强大 实力 以及得到 IBM Microsoft 等业界巨人的支持 SET 协议得到了业界的广泛支持 2 加密方法和加密强度 信息加 解密技术可分为两种体系 即单密钥的加密体系和双密钥的加密体系 也称对称加密和非 对称加密 单密钥的加密体系 对称加密在加密和解密时采用相同的密钥 如著名的加密算法 DES 加密和 解密过程采用了相同的密钥 这一密钥必须由信源方和信宿方在通信的加密过程之前通过秘密途径 达成一致 所以这种方法也叫密钥加密系统 双密钥的加密方法 非对称机密又叫公开密钥的加密方 法 加密和解密时采用不同的密钥 即公开密钥和私人密钥 如著名的 RSA 算法 非对称加密系统 是在 76 年 Diffie 和 Hellman 提出的公钥加密加密模型的基础上发展起来的 这一方法的特点是 定 义特定的互逆数学变换 但该变换可以保证计算复杂性的单向性 也就是说 可以方便地由 A 变换 到 B 但是要实现从 B 到 A 则不能满足可计算性 即算法的时间复杂度和空间复杂度远远超过实际 能够承担的范围 比如让全世界所有的计算机同时计算同一问题 要花费几万年 这种问题我们就 认为是不能满足可计算条件的 利用该数学变换的特性 加以巧妙地组合 可以构建加解密算法系 统 在这样的算法系统中 任何通信方可以公布一个密钥 由专门的密钥管理机构管理 这样 甲 如果要与乙通信 首先通过向密钥管理机构申请得到乙的公钥 并用乙的公钥加密需要传递的信息 由于只有乙的私钥和他自己的公钥才能构成一对变换 所以甲送来的信息只有乙才看得懂 也就是 说 在甲对信息加密后 即使是他自己 也无法看懂自己得到的密文 这样 通过以上方法 就可 以在不需要专用的秘密途径来达成某对称密钥 当然 事物是一分为二的 对称加密技术虽然必须首先达到密钥的保密传输后 才能付诸使用 但 在该方法中 密钥只需要通过伪随机产生即可 非常迅速 加 解密处理速度也很快 目前还 有相应的硬件产品 非对称加密算法虽然具有上文提到的优势 但是为了使产生的密钥满足变换复 杂性的单向性 需要非常高深的数论 近世代数以及计算复杂度理论的知识 密钥产生速度一直是 该方法得到广泛应用的瓶颈 同时 密钥的维护 管理也比较困难 目前 在这一领域 有许多数 学工作者和密码学家集中于这方面的研究 现在采用的方法是融合两种加密算法的优势 用非对称 加密算法传递对称密钥 而实际的大量数据则由对称加密算法加密传递 以满足速度上的要求 这两种加密体系在 Internet 都得到了不同的应用 比如 Unix 系统的用户密码 password 就采用 DES 算法 而信息加解密工具 PGP Pretty Good Privacy 采用了公开密钥的加密方法 那么各种加密算法被攻破的可能性有多大呢 让我们以比较常用的 DES 与 RSA 加密算法为例作一分析 目前 破译 DES 的最佳手段还是强 行破译法 设备投资为 100 万美元时对不同长度的 DES 密钥进行强行破译的时间长度如下 密钥长度 年份 40 位56 位64 位80 位112 位128 位 1995 年 2sec3 6hrs38days7 000yrs 10yrs 13 2000 年 02sec21min4days700yrs 10yrs 12 2005 年2ms2min9hrs70yrs 10yrs 11 2010 年 2ms13sec1hr7yrs 10yrs 10 而目前对 RSA 的最佳破译法是叫做 General Number Field Sieve 的因子分解法 用因子分解法对 不同长度的大数进行因子分解的成本如下 大数长度 年份 332 位498 位664 位830 位996 位1162 位 1995 年USD74010M40B20T3000T 2000 年741M4B2T300T 2005 年7 4100K400M200B30T 2010 年0 741000040M20B3T 根据上述分析专家们认为 按目前的技术 密钥长度为 85 位或以上的 DES 加密算法或密钥长度 为 1024 位或以上的 RSA 加密算法 直到 2000 年 可以认为是难以攻破的 而密钥长度少于上述标 准的加密算法则是不甚安全的 在美国本土 各网上证券交易系统基本选用密钥长度为 128 位 triple DES 64 8 2 的对称加密 方法以及密钥长度为 1024 位的非对称加密方法 通常为 RSA 算法 因此 可以认为系统是安全的 由于象 DES RSA 这样的加密技术除了可用于商业目的外 还能用于军事目的 事实上 美国 目前在军事上就普遍采用了类似的加密技术 因此 美国对加密技术一直采取了非常严格的出口限 制 直到最近 美国一直禁止把密钥长度超过 40 位的对称加密技术或密钥长度超过 512 位的非对称 加密技术出口到美国之外的任何地方 从 97 年年中开始美国虽然放松了对部分国家加密技术出口的 控制 但中国仍被列入 黑名单 维持原出口限制不变 根据上面的分析 40 位的对称加密或 512 位的非对称加密显然是不安全的 因此 企图利用美国允许出口的技术在中国建立网上证券交易系 统显然是不现实的 有鉴于此 盛润公司组织了大量的人力物力进行攻关 经过一年多的时间开发了 SBCA 1 对称 加密技术 其加密强度不亚于密钥长度为 128 位的 Triple DES 加密算法 攻克了 RSA 非对称加密 技术以及 SHA 杂凑函数技术 这样 我们就完全打破了美国对我国的技术封锁 独立自主地开发出 安全可靠的网上证券交易系统 以下为盛润公司加密算法基本工作流程 3 协议 由于TCP IP 协议本身不提供任何信息安全方面措施 因此必须另外开发 目前 Internet 上的信 原始数据 DATA 杂凑结果 SData 数字签名Sign 数字签名 PKEncrypt 加密数据MData 合成数据 加密数据 进行杂凑 MD5 盛润公司加密算法基本流程 息加密有两种途径 基于 IP 层的信息加密和基于应用层的信息加密 基于应用层的信息加密是传统 的方法 用户在发送信息前 利用加密工具先将信息加密 然后才发送出去 接收方可利用相应的 解密工具还原信息 基于 IP 的信息加密是 Internet 上的一种新技术 它对 IP 包进行加密 对于应用 层的用户来说是透明的 用户无需在传送数据前进行加密 数据的安全是通过 IP 层自动实现的 但 是这种应用要求发送方和接收方采用同样的技术 同样的产品 目前已有采用这种技术的产品出现 比如 Sun 公司的防火墙 Sun Screen 就具有此功能 利用基于 IP 包的信息加密技术可在 Internet 上实 现安全的私有网络 SVPN Secure Virtual Private Network 另外 信道加密技术 IP Sec 也可以在两个网络结点之间建立透明的安全加密信道 其中利用 IP 认证头 IP AH 可以提供认证与数据完整性机制 利用 IP 封装净载 IP ESP 可以实现通信内容的保密 IP 信道的优点是对应透明 可以提供主机到主机的安全服务 并通过建立安全的 IP 隧道实现虚拟专 网即 VPN 对 IP V6 标准 IP Sec 在安全上做了更多的工作 前面提到 SSL 是基于对话层的一种安全标准 但标准本身是不能使用的 只有基于标准的具体 实现的协议才是我们需要的 以下我们就简单论述 SSL 协议的实现 为了叙述方便 我们还是简称 SSL 注意不要和标准混淆 从原理来说 SSL 协议是通过把对称加密技术 非对称加密技术与杂凑函数技术结合起来而实 现各项安全保密功能 SSL 协议所能实现的安全保密功能以及为实现各项功能所采用的技术如下 功能所采用的技术所防范的攻击类型 信息保密性对称加密技术信息窃密 信息完整性杂凑函数技术信息篡改 身份的相互验证非对称加密技术身份仿冒 信息保密性 在遵循 SSL 协议的两台计算机传递的所有信息都通过对称加密技术 如 DES 予 以加密 这样 网络窃听者虽然可利用 IP packet sniffers 等手段截获两台计算机之间的信息流 却不 可能读懂信息流中的内容 信息完整性 网络中可能有这样一些人 他们虽然不能读懂您传递的信息 却恶意地对信息包 进行篡改 使对话双方产生误解 SSL 协议利用了杂凑函数技术 如 SHA 对此进行了防备 信息 包一旦被篡改 就不能通过杂凑函数检验 该信息包就会被丢弃 身份的相互验证 为验证对方的身份 遵循 SSL 协议的两台计算机在进行对话之前都有一个握 手过程 握手过程中所交换的信息如下 1 双方交换 X 509 格式的身份证明文件 该身份证明文件 必须服有可靠的验证机构 Certificate Authority 的电子签名 双方利用非对称加密技术 如 RSA 验证对方的身份并得到对方的公钥 2 其中一方随机生成一组进行对称加密用的密钥组 把该密钥 组用对方的公钥加密并传给对方 对方即可用自己的私钥解密得到进行对称加密用的密钥组 3 双 方确定以后对话中所使用的对称加密算法 由此可见 SSL 协议的有效性主要取决于所选用的加密算法 一旦加密算法被攻破 SSL 协议 将完全失去效用 VeriSign 是世界著名的第三方安全认证授权 CA 机构 它发放的 VeriSign 安全服务器标识 Secure Server IDs 得到了全球商业机构的普遍信任 VeriSign 目前已经在全球发放了超过 65000 个安全服务器标识 幸福 Fortune 杂志评定的全球 100 家大企业中 有 95 家采用了 VeriSign 安 全服务器标识 1999 年 5 月 盛润公司在 Internet 上得到了 VeriSign 的国际认证 出于美国的安全政策 这是 外国公司可能在美国获得的最高认证 采用 VeriSign 安全服务器标识 安全套接层 SSL 为因特网交易提供了充分的安全保障 3 3 3 安全数字验证安全数字验证 除了寻找系统本身的薄弱环节 从后门进入外 还有一类取巧者 喜欢堂而皇之地窃取合法身份 从前门进入 为此盛润针对对最后一个环节 客户身份采取了安全数字认证 争取武装到 牙齿 盛润网上证券交易系统在 SSL 协议的基础上 通过对电子签名的强化而建立了更为可靠的安全保 密机制 lswers acquirers dayment processing merchant SSL enabled commerce server acquirer for authorization issuer for authorization cardholder SSL enabled browser merchant authorizition WWW Internet TCP IP merchant CA merchant registration server firewall SSL enabled payment gateway firewall payment CA firewall cardholder CA cardholder Server firewall 电子商务动态授权认证方式 1 盛润网上证券交易系统的客户端软件与网络服务器软件之间在开始正式对话前都要先握手 在握手过程中通过数字身份证明文件以及 RSA 电子签名的方式互相校验身份 并通过 RSA 算法安全 地交换以后对话用的 SBCA 1 密钥 2 握手成功后的所有对话都用 SBCA 1 算法予以加密 有效地防止了对数据的窃听 3 系统所有数据在传输时都加有 SHA 指纹 所有传输错误或被恶性修改的数据都会因不能通 过 SHA 检验而被丢弃 有效地防止了数据的传输错误与恶意篡改 4 用户的每条指令都附有递增的指令序号 凡指令序号错误的指令都被认为是误重发 或恶性 重发 指令而被丢弃 有效地防止了数据的恶性重发 5 用户的每条交易指令都要附上有效的电子签名 只有通过签名验证的指令才予执行 确保指 令的真实性 并且 用户的电子签名将连同指令原文一起保存 使指令发出者不能事后否认 本功 能超出了 SSL 协议的要求 更令人放心的是 盛润网上证券交易系统从 1 X 版开始已选用了密钥有效长度为 128 位的 SBCA 1 对称加密算法与密钥有效长度为 1024 位的 RSA 非对称加密算法 确保系统的加密算法是难 以攻破的 盛润网上证券交易系统包括用户端软件 网上服务器软件 券商前置机软件以及数字身份证明 文件签发服务器等部分 其中 用户端软件安装在用户的个人计算机上 主要提供用户个人资料 数字身份证明文件 RSA 密钥的加密保存 与服务器建立安全对话通道 发出用户指令等功能 网上 服务器软件主要从网上接收用户的指令并转发给券商前置机 券商前置机软件负责与用户建立安全 对话通道 把用户的指令转发券商主机 然后把指令执行的结果返回用户 券商前置机软件还负责 用户管理 交易纪录保存等功能 数字身份证明文件签发服务器则为各服务器和用户生成有效的数 字身份证明文件与 RSA 密钥 对于盛润网上证券交易系统中使用的 1024 位的非对称加密算法 RSA 和 128 位 24 字节 的 对称加密算法 SBCA 1 运算 其各自的运算速度在不同配置的 机上的测试数据如下 表一 运算在不同配置 机上的运算速度 PC 机硬件配置 RSA 运算速度 次 秒 P166 64M 4GP266 96M 4GPII233 64M 4G 加密 签名验证 28550 10050 100 解密 签名 162535 表二 快速的 运算在普通配置的 机上的运算速度 机硬件配置 SBCA 1 运算 次 秒 P166 96M 4G 加密1 666 解密1 666 表三 快速的单向散列运算在普通配置的 机上的运算速度 机硬件配置 单向散列运算 次 秒 P166 96M 4G 单向散列 运算46 000 除了要求防窃密 网上电子交易还要求能够有效防篡改 防重发 防否认 SSL 通讯协议保证 了交易指令的秘密性和完整性 能够有效防窃密和防篡改 但是还不能防重发和防否认 现在广泛 使用的盛润网上证券交易系统 在 SSL 通讯协议上使用了另外一套机制 在交易指令中使用了交易 标识符 用户在交易前需先向交易安全服务器请求一个交易标识符 就好象古代军队通行中的令牌 只有拥有一个合法的交易标识符 这笔交易才能得到处理 交易安全服务器产生的交易标识符是随 机的 每次都不相同 每个交易标识符只有在申请后的第一次使用有效 这样交易指令就不能被重 发了 另外 在盛润网上证券交易系统中 为了防止交易否认 系统保留了每笔交易的电子签名 由 于每个用户的 RSA 公钥互不相同 RSA 私钥也互不相同 所以不同用户发出的交易指令的电子签名 也是不同的 就好象每个人有着不同的指纹一样 通过验证电子签名 比较 指纹 就可以断定 某笔交易指令是否是这个人发出的 实际上 盛润的安全交易服务器已经检查了每笔交易指令的合 法性 不存在交易指令 张冠李戴 的情形 盛润网上交易系统所使用的加密算法通过了国家密码管理委员会办公室的鉴定 产品通过了中国 国家信息安全产品测评认证中心的测试认证 盛润公司是证券行业首家通过国家级鉴定的单位 第四章第四章 系统效能论证系统效能论证 4 1 安全性安全性 系统安全策略包括 网络安全 信息传递安全 安全数字验证三方面 网络安全 采用基于网络层过滤和应用层过滤的双层防火墙技术 信息传递安全 采用国内最先进的加密算法 并得到国际著名的第三方安全认证授权 CA 权威机构 VeriSign 的认证和国家密码管理委员会办公室的鉴定 产品通过了中国国家信息安全 产品测评认证中心的测试认证 安全数字验证 系统提供对用户数字签字的内部签发认证服务 采用密钥有效长度为 128 位 的 SBCA 1 对称加密算法与密钥有效长度为 1024 位的 RSA 非对称加密算法 另外 针对防窃密 篡改 重发 伪造 否认系统还采用了交易标识符策略 综上所述 盛润网络的安全性可说国内首屈一指 然而 安全是相对的 所谓加密的安全是从目前的计算能力和科学技术发展状况及运算代价而 言的安全 而且对系统安全的要求越高 实现的成本越大 所以不能一味追求安全可靠而花费大量 的资源 对不同的系统的安全性必须结合系统的功能 使用者等等方面进行考虑 在成本和安全性 之间达到一个平衡 安全也不是单一的 毕竟系统还要进行正常的工作 也就是说需要有人能够使用 而这个入口 有很大的人为因素在里面 对密码的管理和维护 需要妥善保管 定期修改 对企业级服务器密码要 实行双人共管 以防止个人意外 另外 当你愉快地操作完 别忘记随手带门 同时 安全还是个历史性的过程 黑客的花样在不断翻新 新的病毒又会出现 而系统的安全 性永远取决于相对最薄弱环节 这就要求系统管理员严密监视网络工作情况 一经发现新的潜在危 险 立即补救 同时 进行充分的备份工作 以便及时恢复以外事故中被破坏的数据 4 2 可靠性可靠性 硬件上采用了双总线设计的服务器 双 CPU 双硬盘 电源也是双机热备 并结合系统结构 特点 致力于提高系统软硬件协调的技术 以获得最高的系统整体稳定性 行情查看系统可在全国范围内的信息源进行选取 体现了意外情况下集群系统的优势 实现 系统高强度的容错力 整套监控及远程维护系统 对系统状态进行 24 小时实时监控 4 3 速度及实时性速度及实时性 服务程序采用多线程设计 单个服务系统可同时处理 2000 个并发访问 另外 采用系统资源 spool 技术管理处理多事务并发 使系统单位时间内响应完成率大大提高 确保大容量时的系统负载 性能 先进的数据采集设计 使行情信息更新间隔时间仅为 8 秒 比大户室还快 具有盘后数据下载及离线浏览操作功能 4 4 可伸缩性可伸缩性 基于最先进的 COM DCOM 组件技术的分布式开放系统结构设计 系统具有极高的灵活性 既可以以客户端 服务器的方式 又可以以浏览器 Web 数据库的方 式查看行情及进行委托交易 易于系统移植 和技术升级 具有很高的复杂适应能力 平滑扩容能力 开放式的结构使得系统容量可由模块无级叠加得到扩充 而负荷由整个网络 均匀分担 容量理论极限是整个 Internet 通过与柜台的标准接口 银行的标准接口 可与各种柜台及各家银行系统连接进行安全的数 据交换 4 5 易用性易用性 最适合中国国情 最符合中国人的使用习惯 成本低廉 用户想炒股只需一台电脑加一根电话线就可在家里呼云喝雨 叱咤股市 全钱龙仿真界面 热键 快捷一应俱全 而且结合 Window 的 GUI 新特点增加了菜单 鼠标 右键 联机帮助等功能 方便您的使用 新增功能 股票代码的模糊查询 小键盘数字键 股票代码拼音查询 shift 及 Ctrl 热键的多 股同选 风格设置 日线走势图 成交均价 成交均线等可进一步灵活自行设置参指数的多种指标 基本功能 大盘分析 个股分析 技术分析 多股同列 特别报道 新闻浏览 第五章第五章 系统配置系统配置 桂林证券南宁营业部网上交易系统硬 软件配置 一 证券营业部网上交易硬件费用一 证券营业部网上交易硬件费用 考虑到国内的通讯环境 网上交易一般采用 DDN 或 ADSL 两种通信方式 一 一 ADSL 方案网上交易系统硬件清单方案网上交易系统硬件清单 1 1 数据局数据局 a a 数据局配置数据局配置 序号名 称数 量备 注 1 行情 交易服务器 2 Xeon550 256M 9G 2 Windows NT 4 0 初期可共用一台服务器 2 ADSL1 从数据局到证券部的通讯交易线路 b b 数据局需购买下列硬件数据局需购买下列硬件 序号名 称数量单 价小 计备 注 1 行情 交易服务器 1 注 券商可以使用盛润的行情源及行情服务器券商可以使用盛润的行情源及行情服务器 2 2 证券营业部证券营业部 a a 证券营业部配置 证券营业部配置 证券营业部在以上环境下 需下列硬件 序号名 称数量备 注 1 交易前置机 1 P 600 128M 4 3G 2 通讯隔离机 1P 600 128M 4 3G 3 ADSL1 从数据局到证券部的通讯交易线路 b b 证券营业部需购置硬件 证券营业部需购置硬件 序号名 称数量单 价小 计备 注 1 交易前置机 1 8 000 元8 000 元 2 通讯隔离机 1 6 000 元6 000 元 3 串口通讯卡 2 2 300 元4 600 元 3 3 ADSLADSL 专线费用专线费用 a ADSL 通信线路初装费用 约 3 900 00 元人民币 b 月租费用 1 网络使用 通信月租费 1 630 00 元数据局标准 二 二 DDN 方案网上交易系统软硬件清单方案网上交易系统软硬件清单 1 1 数据局数据局 c c 数据局配置数据局配置 序号名 称数 量备 注 3 行情 交易服务器 1 康柏 5500R 4 路由器 ROUTER 1 Cisco2501 用于数据局和证券部通讯 5 DTU26031 Digital Terminal Unit 2603 用于数据局和证券 部通讯 6 128K DDN 1 从数据局到证券部的通讯交易线路 d d 数据局需购买下列硬件数据局需购买下列硬件 序号名 称数量单 价小 计备 注 2 行情 交易服务器 1 使用券商行情源 3 路由器 Cisco2501 1 4 DTU26031 注 券商可以使用盛润的行情源及行情服务器 信息服务器券商可以使用盛润的行情源及行情服务器 信息服务器 2 2 证券营业部证券营业部 a a 证券营业部配置 证券营业部配置 证券营业部在以上环境下 需下列软硬件 序号名 称数量备 注 4 营业部前置机 1P 600 128M 4 3G 5 通讯隔离机 1P 600 128M 4 3G 6 串口通讯卡 2MOXA 7 路由器 ROUTER 1 Cisco2501 用于数据局和证券部通讯 8 DTU26031 Digital Terminal Unit 2603 用于数据局 和证券部通讯 9 128K DDN 1 从数据局到证券部的通讯交易线路 b b 证券营业部需购置软硬件 证券营业部需购置软硬件 序号名 称数量单 价小 计备 注 4 营业部前置机 1 8 000 元8 000 元 5 通讯隔离机 1 6 000 元6 000 元 6 串口通讯卡 2 2 300 元4 600 元 7 路由器 Cisco2501 1 16 000 元16 000 元 8 DTU26031 8 000 元 左右 8 000 元 左右 数据局提供券商购买 9 128K DDN 1 数据局标准 3 3 DDNDDN 专线费用专线费用 a DDN 通信线路申请费用 安装调测费 含工料费 按 1000 元 端口 一般申请两个端口 b 月租费用 1 路由器 DTU 代维费 1 100 元数据局标准 2 64K DDN 包月租金 1 1 680 元数据局标准 以上抱价仅供参考 以上抱价仅供参考 二 证券营业部网上交易软件费用二 证券营业部网上交易软件费用 A A 盛润两种产品价格 任选一种 盛润两种产品价格 任选一种 Stock2000Stock2000 网上行情 交易 资讯 分析系统软件费用 网上行情 交易 资讯 分析系统软件费用 68 000 68 000 元元 SponlineSponline 网上行情 交易系统费用 网上行情 交易系统费用 45 000 45 000 元元 B B 工程安装费用为硬 软件合计的工程安装费用为硬 软件合计的 10 10 C C 系统维护费用按年收取 为合同金额的系统维护费用按年收取 为合同金额的 10 10 第一年免收第一年免收 第六章第六章 系统实施计划系统实施计划 6 1 工程施工工程施工 整个工程按性质可分为 ISP 接入工程 计算机系统工程 软件工程三部分 本次工程实施采用 同步 交叉的方式进行 6 1 1 ISP 接入工程实施接入工程实施 合同签字 收到预付款后 所有的网络设备必须在十五天内到货 A 安装前 由桂林证券南宁营业部公司向数据局提出服务器托管申请 由桂林证券南宁营业部公 司向数据局提出 ADSL 或 DDN 专线 从数据局到桂林证券南宁营业部 申请 需时 15 天 B 系统的安装和测试 线路到位以后 由盛润公司和数据局对线路进行测试 由盛润公司和桂林证 券南宁营业部公司对托管服务器进行安装 测试 需时 2 天 安装的位置在数据局和桂林证券南宁营业部处 在系统完成各个单独测试后 将首先利用微机 进行联网测试 测试应根据双方签定的网络联网测试标准 需时 2 天 6 1 2 计算机系统的工程实施计算机系统的工程实施 计算机系统工