基于 J2EE 网银系统的安全系统解决方案概述

核心提示： 业务逻辑安全需求业务逻辑安全主要是为了保护网上银行业务逻辑按照特定的规则和流程被存取及处理，身份认证需求 在双方进行交易前，基于 J2EE 网银系统的安全系统解决方案概述(2)，首先要能确认对方的身份要求交易双方的身份不能被假冒或伪装，同时客户端容易感染木马病毒，也无法识别信息的真实内容，这样就

业务逻辑安全需求

业务逻辑安全主要是为了保护网上银行业务逻辑按照特定的规则和流程被存取及处理。

身份认证需求

在双方进行交易前，首先要能确认对方的身份要求交易双方的身份不能被假冒或伪装。同时客户端容易感染木马病毒，普通的静态密码认证已不能满足网络银行的安全需求。网银系统需要更有效的身份认证系统。

访问控制需求

访问控制是网上银行安全子系统中的核心安全策略，对关键网络、系统和数据的访问必须得到有效的控制，这就要求系统能够确认访问者的身份，谨慎授权，并对任何访问进行跟踪记录。网银系统访问控制需求体现在以下几个方面：

制卡和卡数据维护必须指定专门的管理人员；

企业用户不能访问面向个人的交易；

个人网银用户不能访问面向企业用户的交易；

批量制卡操作和制卡数据导出只能由动态密码管理的系统管理员操作；

柜员建立卡信息和客户信息的关联应采取授权机制。

交易重复提交控制需求

交易重复提交就是同一个交易被多次提交给网银系统。查询类的交易被重复提交将会无故占用更多的系统资源，而管理类或金融类的交易被重复提交后，后果则会严重的多。交易被重复提交可能是无意的，也有可能是蓄意的攻击。

网银安全子系统必须对管理类和金融类交易提交的次数进行控制，这种控制即要有效的杜绝用户的误操作，还不能影响用户正常情况下对某个交易的多次提交。

数据安全需求

数据保密性需求

数据保密性要求数据只能由授权实体存取和识别，防止非授权泄露。要对敏感重要的商业信息进行加密，即使别人截获或窃取了数据，也无法识别信息的真实内容，这样就可以使商业机密信息难以被泄露。从目前国内网银应用的安全案例统计数据来看，数据保密性需求主要体现在以下几个方面：