1. 概述

随着信息化与传统银行业的深度融合，近年来网上银行的发展突飞猛进，呈现出用户规模不断扩大、交易规模阶跃式迅速增长、网银替代率增加的显著特点，据统计网银业务的广泛应用使得银行柜面业务替代率已达到80%以上，并且还在不断地发展。银行本质是经营风险的企业，提供服务的过程中必须管控好各类风险，才能更好地为用户服务。

中国人民银行科技司关于征求对《网上银行系统信息安全通用规范》修订版通用意见的函（银科函【2011】130号）中指出经第三方中立测试机构检测通过的OTP令牌，可以作为网上银行或手机银行的专用安全设备使用。

国家密码管理局也出台了《动态口令认证密码应技术规范》，对一次性动态口令密钥管理、生产加工等方方面面做出了明确要求。依托于该规范，密码企业必须使用国产密码算法对网上银行进行交易保护，避免了因非国产密码算法漏洞后门等带来的风险，有效的保护了交易安全。

2. 需求分析

在银行网银系统中的安全防护中，最为核心的就是保障资金的安全，一切安全方案和手段实施的目的都是围绕这个核心。作为一个面向普通用户的应用系统，必须在保证安全的同时，具有足够的易用性，降低使用门槛。

针对网银资金交易的特点，针对资金交易的风险主要体现在：修改交易内容，包括资金的发起方、接受方、额度等关键金融信息，使得攻击者从中获利。

可以综合采用以下技术进行安全防范：

 信息防篡改：采用数字签名技术，对关键信息进行签名；

 信息加密：对传输信息进行加密处理；

 用户方（发起方）确认：针对一笔交易，确认用户身份，可以通过动态口令技术实现。

 交易绑定：一笔交易一个口令，一次有效。

由于网银交易发生在公共网络环境，其中只有用户手里的令牌是唯一脱离网络环境的安全密码设施，也是保护资金交易的核心安全产品。

3. 方案架构

3.1 技术架构

系统技术框架如下图所示：

图 3 1 技术架构图

认证时动态令牌负责生成动态口令，认证子系统负责验证动态口令的正确性，密钥子管理系统负责动态令牌的密钥管理，管理控制台负责系统整体管理。

外部应用系统负责将动态令牌生成的动态口令按照指定的协议或使用专用接口API，将报文发送至认证子系统进行认证，认证子系统对口令进行验证后，将验证结果返回给外部应用系统。

3.2 产品部署图

产品部署如下图所示：

图 3 2产品部署图

密钥管理：

动态密码身份认证系统的核心密钥生成、传输和存储由主机加密机和卡完成。密钥生产过程的算法和密钥安全由加密卡完成，认证中心服务器的算法和密钥安全由加密机完成，认证中心数据库中密钥数据的安全由加密机完成，密钥文件的传输由加密机和加密卡共同完成。

认证交易过程：

（1） 用户阅读令牌上当前分钟的动态密码；

（2） 用户通过银行网银系统向认证中心发送身份信息、动态密码和静态密码；

（3） 认证中心根据用户的身份信息，获得有效的动态密码、静态密码和接收到的内容进行对比，确认用户身份。

3.4 主要功能

如前所述，本方案的核心就是保护用户资金交易安全，当用户发起资金交易时，必须输入动态口令，该口令由用户携带的动态口令牌产生，动态口令牌与用户账户捆绑，可以唯一确认用户身份。同时在交易系统中，该口令与一笔交易唯一捆绑，具有唯一性，一次性，可以确保资金交易安全可靠。

3.5 主要技术指标

（1） 认证服务速率：>=3000TPS；

（2） 令牌时间漂移：<=120s/年；

（3） 口令变动时间：60s；

（4） 令牌连续工作时间：>=5年。

4. 方案特色

算法国产化

本方案密码运算采用国产算法SM3，在商用密码体系中，SM3主要用于数字签名及验证、消息认证码生成及验证、随机数生成等，其算法公开。据国家密码管理局表示，其安全性及效率与SHA-256相当。

密码计算硬件化

OTP令牌采用国产密码芯片，芯片经国家密码管理局检测并认证，具有高保密性和安全性。

交易一次一密

OTP时间窗口为60秒，SM3计算的密码一次有效，用后即失效。

交易终端无关性

本方案对最终客户使用的终端不进行限定，PC、平板、手机都可使用，终端的不同操作系统均可使用。

5. 适用领域

本方案适用于金融、电信等需要对交易安全进行高等级防护的场景。同时也可作为身份认证的第二因素使用。

6. 企业分工

本方案涉及产品使用方（如银行）、产品方案商（国密企业）和电子加工厂。其中产品方案商负责产品设计、组织生产、发货到使用方；电子加工厂根据方案商的要求，在保密设备（加密机）的环境下生产加工产品；使用方按照重空凭证对产品进行接收、检验、发放和使用。

产品清单：OTP令牌、产品签收单、合格证。

7. 应用案例

中国银行网上银行项目

北京集联网络技术有限公司自2011年起，在中国银行网上银行项目中共发放了3000多万只OTP令牌，极大地促进了网上银行、手机银行的发展，保证了交易安全。

中国邮政储蓄银行网上银行项目

中国邮政储蓄银行网上银行采用了OTP令牌+Ukey的方式进行推进，我司到目前为止共提供了近600万只OTP令牌，使用效果良好。

                                            北京集联网络技术有限公司

                                             联系人：赵秋霞

                                             电  话：13911634751

                                                     62963311-305