1. 概述

2012年，工信部和公安部通告了RSA1024算法被破解的风险，为保证金融行业各基础信息系统安全，中国人民银行要求各银行对网上银行等信息系统进行国产密码算法改造。

2012年，中国人民银行向多家银行发布了《银行业国产密码应用总体规划》及《总体方案》征求意见稿；同年，人民银行转发了发改委的试点通知并建议网银用户5000万以上的银行参与网银系统国密算法改造试点项目。2014年国务院转发了多部门联合制定的《金融领域密码应用指导意见》（国办发【2014】6号），要求各金融机构5年内完成在网上银行、移动支付、网上证券等重点领域国产密码算法的全面应用。

2. 需求分析

按照中国人民银行关于推进国产密码在金融领域应用的实施方案，银行需在网银系统对安全工具、安全基础设施进行国产密码算法的应用改造，改造需求包括：

 需使用包含国密数字证书和国密算法的USBKey（智能密码钥匙）；

 需使用基于国密算法的动态令牌；

 需使用通过使用国密专用浏览器建立国密SSL（Secure Sockets Layer，安全套接层）隧道连接到网银系统；

 需使用基于国密算法对交易等数据进行电子签名。

3. 方案架构

3.1 技术架构

信安世纪网上银行国密改造方案中，银行可根据具体自身情况选择改造方案，全部涉及或部分涉及国密数字证书、国密动态令牌、单向/双向国密SSL、国密电子签名四个改造内容。逐步完成国产密码算法在网上银行系统中的使用。本方案技术架构如下图所示：

图 3 1 技术架构图

3.2 产品部署图

本方案产品部署图及产品部署区域如3.1章节中的技术架构图所示，用户使用USBkey/动态令牌/动态令牌手机端通过国密专用浏览器登录网银系统，其他需要部署或国密升级的产品包括数字证书系统、SSL安全网关、动态密码服务器、签名验签服务器。

3.3 主要功能

（1）基于国密数字证书登录网银系统和电子签名

用户USBkey存储国密证书和SM2算法密钥对，用于登录网银系统和对交易等数据进行国密电子签名，并通过签名验签服务器验证签名，实现身份合法性认证，保证网银交易数据的完整性和不可否认性。

（2）使用动态口令登录网银系统

采用基于国密算法的动态令牌或手机令牌作为客户端密码生成，并与动态密码服务器共同完成动态密码验证。

（3）构建单向/双向国密SSL

普通用户使用国密专用浏览器、企业财务公司等直连银行的用户使用部署在企业端的SSL安全网关与银行端SSL安全网关建立单向或双向的国密SSL加密网络通道，保证数据传输安全。

4. 方案特色

完整性

本方案提供从客户端安全工具、国密专用浏览器到服务端的全套国密改造安全解决方式。

灵活性

本方案涉及内容可按照银行内具体情况灵活选择和设计国密改造内容，并可分步完成。

无感知

本方案对于最终网银用户是透明的，在用户无感的状态下，实现国际算法和国密算法完美切换。

无改动

本方案对原有网银架构几乎不需做任何改动即可完美实现。

5. 适用领域

此方案除契合银行网上银行系统、移动支付系统等银行信息系统国密改造外，还适用于证券网上交易系统、期货网上交易系统、保险电子保单系统等应用场景。

6. 企业分工

方案内涉及的企业名称、职责、产品及国密型号：

7. 应用案例

信安世纪基于此方案协助网上银行国密改造一期4个试点中的中国农业银行、民生银行、鹤壁银行完成了网上银行国密改造，并承接了网上银行国密改造二期30个试点中的包括建设银行、交通银行、光大银行、北京银行等在内25家银行国密改造项目，截止到目前，此方案已在90多家银行进行了应用实践。此外，信安世纪对本方案进行了升级和少量修改，用于协助证券行业国密改造一期试点中的银行证券进行国密算法的改造。

                         北京信安世纪科技股份有限公司

                          联系人：邵素芬            康茹

                          电  话：010-68025518-8118  010-6802 5518-8531