网银安全认证的问题及对策

网银安全认证的问题及对策

自20世纪90年代以来，网络在世界范围内得到了广泛的发展。为了在网络经济环境中取得竞争优势,我国银行业加快了金融创新的步伐,纷纷推出网上银行服务。截止2002年,我国已有20多家银行的200多个分支机构拥有网址和主页,其中开展实质性网上银行业务的分支机构达60多家,网上银行客户超过40万户。随着银行业信息化建设的深层发展,信息安全问题日益成为现代金融风险防范的重要内容,尤其是基于开放网络下的网上银行的出现使网上身份认证成为网银业务必须面对的问题。近年来,以非对称加密技术为基础、以安全认证机制为核心的公开密钥基础设施(PKI,PublicKeyInfrastructure)开始受到业界青睐和特别关注,该技术在虚拟环境下的第三方信任问题上提出了成功的解决方案,能够较好地保证数据的保密性、完整性、可用性和不可否认性,是当前能为各方所接受的成熟安全技术。目前,我国开展实质性网上金融服务的网上银行几乎都采用了安全认证技术。但由于PKI/CA技术在网上银行应用的时间还比较短,包括PKI厂商、银行自身、证书用户、政府监管部门在内的各方对安全认证技术该如何应用和管理都还属于探索阶段。现状是我国网上银行安全认证建设在认证体系规划、认证技术标准统一、认证机构管理、相关法律制定等诸多问题上还远不完善。其中,较为突出的且正在为各方所关注的一个问题是:我国存在的多家网银认证机构之间相互分割,缺少互通机制,无法实现跨行认证和跨行交易。本文将围绕网银认证机构互通这一主题,就我国网上银行的安全认证体系架构问题做一初步探讨。一、公开密钥基础设施的信任模型一个能对所有潜在和现实的用户有充分了解并为所有用户签发可接受证书的单一的认证机构,在真实世界里显然是不存在的。更可能的现实模型是:多个认证机构独立地运行和操作,为不同的用户团体服务。为了解决不同认证机构之间的信任问题,公开密钥基础设施引入信任模型,通过桥接、交叉认证等方式使得认证机构之间能够有效地进行单向或双向的证明。目前,具有代表性的信任模型有以下几种:1.普通层次结构层次信任模型的结构呈现树状。下图表示的是一般层次结构:在层次结构中,所有实体都信任唯一的根CA。在这个结构中,不管终端实体确定哪一个认证机构作为根认证机构,在任何一对终端实体之间建立一条认证路径都是很容易的,该结构的优点在于扩展性很好。一般层次结构的一种变化形式是严格层次结构,其不同之处在于该结构中认证机构不向它的上一级认证机构颁发证书,如图2所示。严格层次结构的优点在于对每个终端用户只存在唯一的认证路径(即从根节点到认证节点),如果这种结构所支持的组织在实际上就是这种结构,认证路径所代表的信任含义就很容易理解和检查。这种结构的缺点在于所有的认证路径都必须包括根认证机构。一旦根认证机构密钥失窃,有可能导致整个信任体制的崩溃。2.织结构模型的构建在网状模型中,任何CA都可以对其他的CA发证,所以这种结构非常适合动态变化的组织结构(图3)。但在这个模型中,路径的构建比层次模型复杂得多,很长的跨越多个节点的非层次的信任路径会被认为是不可信的。网状模型的优点是它遵循自底向上的原则,不需要依赖高层的根CA。终端用户可以保持原有的非集中的状态来加入分布式的PKI。3.钥体系结构内的孤岛层次结构的一个主要问题在于该结构中的参与者通常难以接受一个无所不包的认证机构在所有规定用途中可以被信任。但如果不加以连接,公开密钥体系结构则容易变成孤岛。混合型信任模型可以较好地解决这个问题,其基本原理是使各个层次结构的根认证机构相互颁发证书从而连接起来(图4)。该模型实际上是层次模型和网状模型的混合体,存在多个根CA,每一个层次结构都在根级有一个单一的交叉证书通向另一个认证路径,容易构建简单的单一认证路径,其缺点在于:在域间进行扩展时,每加入一个域,则域间交叉认证的个数就会以平方数量级增长,不利于大规模扩展。4.桥ca信任路径混合模型对小规模的层次模型间的交叉认证比较实用,但规模一大,根间的交叉认证就会变得相当庞大,考虑到这种局限性,就产生了桥式结构。桥CA模型实现了一个集中的交叉认证中心,它的目的是提供交叉证书,而不是作为证书路径的根。对于各个异构的“根”节点来说,桥CA是它们的同级,而不是上级。当一个用户与桥CA建立了交叉证书,那么,它就获得了与那些已被桥CA交叉认证的用户进行信任路径构建的能力。在桥CA模型中,域间可以确定一条唯一的信任路径(图5),桥CA是在大量组织中扩展PKI的一种重要方法。但是桥CA信任模型需要有一个大家都信任的第三方来充当桥,并且管理所有的策略映射,在实施中往往存在很大的困难。5.基于美国、加拿大两国政府pki体系的实践在这种模型中,一套可信任的根的公钥被提供给客户端系统,为了被成功的验证,证书一定要直接或间接地与这些可信任根相连接,我们所用的浏览器中的证书就是这种模型的应用。由于不需要依赖目录服务器,这种模型在方便性和简单互操作方面有明显的优势。然而其安全问题也非常突出,因为浏览器的用户自动地信任预安装的所有公钥,缺乏有效的机制来撤消嵌入到浏览器中“坏”的根密钥(如该根密钥已经泄漏等)。作为电子商务信息安全的关键技术和基础技术的PKI/CA技术,对其体系的研究受到各国的重视,从90年代初期以来,美国、加拿大、日本、韩国和新加坡等国相继开展了可信第三方认证体系的研究和建设工作,各种信任模型在各国都不同程度地得到了应用。下面简要介绍美国、加拿大两国政府的PKI体系。美国联邦PKI筹委会成立于1996年,其后有政府信息技术服务部、国家航空航天总署、国家标准技术研究所、国家安全部、国防部、交通部、财政部、农业部、劳动统计局和联邦网络委员会等20个部、署共同参与建设。美国联邦PKI的体系结构主要由联邦的桥认证机构(FBCA-FederalBridgeCA)、首级认证机构(PCA-PrincipalCA)、次级认证机构(SCA-SubordinateCA)等组成,其体系结构如图6所示:联邦PKI的体系结构中没有用根CA的概念,取而代之的是首级CA,这是因为在美国信任域的结构是多种多样的,联邦PKI体系结构可以支持层次(树状)结构、网状结构等,而只有树状结构中的首级CA才称作根CA。因此它允许加入联邦PKI体系中的机构可以使用任何结构的PKI信任域。联邦的桥CA是联邦PKI体系中的核心组织,是不同信任域之间的桥梁CA,主要负责为不同信任域的首级CA颁发交叉认证的证书,更新交叉认证证书,发布交叉认证证书注销黑名单。加拿大对于政府PKI体系的研究要比美国早,在1993年加拿大通信安全部(CSE-CommunicationsSecurityEstablishment)就已经开始了政府PKI体系雏形的研究工作。随后,陆续有国防部、财政部、加拿大卫生局等联邦政府机构参入了政府PKI体系的开发工作,其结构如图7所示:加拿大政府PKI体系结构是由政策管理机构(PMA)、中央认证机构(CCF)、一级CA和当地注册机构(LRA)组成,这些CA形成树状结构,其工作原理与美国联邦PKI体系的工作原理比较相似,需要建立信任关系的两个用户如果属于同一个树状结构,由于有共同的信任点,应用软件很容易验证他们的信任关系;如果两个用户不属于同一个树状结构,这时要建立信任关系必须借助中央认证机构的交叉认证机制。通过中央认证机构与一级CA之间的交叉认证证书,分属不同树状结构的一级CA之间建立彼此的信任关系。同样,中央认证机构也不是一个根CA,它只是不同树状信任域的汇结点。二、成功分析：中国银行安全认证现状为了确保网上银行信息安全,目前我国包括四大国有银行在内的全部全国性商业银行网上银行和部分地方性商业银行网上银行采用了安全认证技术。1.课下模式2:只为自己的客户提供认证服务国内全国性商业银行共有14家,它们的认证服务主要有两种实现方式:第一种是自建CA为自己的网上银行客户提供认证服务。目前,中国工商银行、中国农业银行、中国银行、中国建设银行、招商银行、交通银行、浦东发展银行建有自己的CA,只为自己的网上银行客户提供认证服务。其中除了中国建设银行、交通银行CA只为自己的B2C客户提供认证服务外,其他几家CA都为自己的所有网银客户提供认证服务(包括B2B和B2C业务)。第二种是采用了中国金融认证中心颁发的证书。目前,中信实业银行、华夏银行、光大银行、民生银行、兴业银行、广东发展银行、深圳发展银行的所有网上银行业务采用了CFCA的证书。交通银行和中国建设银行的B2B业务也采用了CFCA签发的证书。总的看来,14家全国性商业银行网银的安全认证服务全部由行业性CA提供,其中7家商业银行自建了CA为自己的网银客户提供认证服务,CFCA则为其余的多家商业银行提供认证服务。上述架构(CFCA+各银行自建CA)在相当长一段时间内应该不会改变。2.顺德市个人信用ca提供网银客户认证服务目前国内只有少数地方性商业银行推出了网上银行业务。在全国110家地方性商业银行中,北京市商业银行、上海银行、深圳市商业银行、石家庄市商业银行、顺德市信用社等开通了有实质性金融服务的网上银行,且都采用了安全认证技术。目前,北京市商业银行网银采用了北京市CA中心的证书,深圳市商业银行采用了CFCA的数字证书,上海银行采用了上海CA的证书,石家庄市商业银行网银采用了中国电信认证中心的证书,顺德市信用社自建了CA为自己的网银客户提供认证服务。地方性商业银行的安全认证服务提供呈现“百花齐放”的无序状态,有的采用行业性CA如CFCA的证书服务,有的采用了本地地方性CA的证书服务,有的自建CA,不一而足。实际情况是,地方性商业银行由于业务开展区域的局限性,出于认证服务质量、便利性等各种因素的考虑,通常会优先选用本地CA的认证服务或自建CA。尽管目前地方性商业银行的认证服务由地方性认证机构或非银行业CA提供这一现象还属少数,但该种认证服务提供方式在未来不能排除扩散蔓延的可能。回顾我国近年来银行业PKI建设,取得的巨大成绩是有目共睹的,可以说奠定了技术基础,形成了一定规模,积累了运营管理经验,探索了应用模式,培育了专业人才。但是,与此同时一些问题也逐渐显现出来。最为突出的一点就是我国网银安全认证机构管理缺位,缺乏统一规划,认证标准有待统一。迄今为止,国家还没有出台有关法规来规定谁有资格建CA以及建CA应该由谁来审批,各家认证机构采用的技术标准和管理规范存在差异,CA间缺乏信任机制,无法互通。具体表现在目前国内各网银认证中心签发的证书无法实现跨行认证和跨行交易,如持工商银行CA证书的工商银行网银客户是无法享受到中国建设银行的网银服务的,结果是客户如要享受多家网银的服务,就必须持有多家网银的证书,安装多家网银的客户端软件,给客户造成了很大的不便。三、采用的认证方案针对目前我国网银无法跨行安全认证和跨行交易的现状,应对之策在于对网银认证机构的建设进行统一规划,建立结构清晰的认证体系,以实现证书的跨行认证。同时,我们认为,网银安全认证体系属于整个国家PKI体系。的一部分,应该服从整个国家PKI体系的整体规划。2002年1月,国务院信息化工作办公室委托专家组进行了国家PKI体系的研究,该研究组提交的研究报告《国家PKI体系总体框架》按照“科学性、权威性、安全性、互通性”的建设原则,对国家PKI体系做了以下设想:国家PKI体系分为国家电子政务PKI体系和国家公共PKI体系,由国家PKI协调管理委员会负责管理(图8)。国家电子政务PKI体系旨在服务于国家各级机构、组织和部门的内部电子政务业务,负责向参与这些业务的各实体提供信用和安全服务,采用严格的层次结构信任模型。国家公共PKI体系服务于各种公众网上业务,如网上金融业务、网上购物、政府面向公众服务的电子政务业务等,职能在于为参与上述网上业务的实体提供信用和安全服务。该体系也是与国外PKI体系互联互通的主要窗口。国家公共PKI体系采用网状信任模型,由国家桥中心(NBCA)、地区桥中心(LBCA)、公众服务认证中心(SCA)和注册机构组成。国家电子政务PKI体系和国家公共PKI体系之间可以进行有限制的交叉认证。国家PKI协调管理委员会是国家PKI政策管理机构,其职责在于负责制定国家PKI管理制度并对国家PKI体系发展做出规划,监督、指导国家电子政务PKI体系和国家公共PKI体系的建设、运行和应用,具体负责审批CA机构的设立和撤销。网上银行认证体系属于国家公共PKI体系的一部分。结合我国网银安全认证的建设现状,我国网上银行安全认证体系可以采用的架构有如下几种:方案一：桥接方案,如图9所示:该方案的具体内容是:1.建立银行业桥CA,为全国性商业银行提供认证服务的CA(如CF-CA、四大国有银行CA、招商银行CA、浦东发展银行CA)均和银行业桥CA实行交叉认证,以实现互操作。2.为地方商业银行提供认证服务的CA,可以视实际情况,选择直接连入国家桥CA,或选择和银行业桥CA相连。如地方商业银行自建的CA接入银行业桥CA,而上海CA,北京CA、中国电信认证中心等地方性和非银行业行业CA应该属于国家PkI体系规划的范围,宜直接和国家桥CA交叉认证。针对我国网银安全认证的现状,桥接方案应该讲是一种比较可行的方案,对现有各CA的改造不会太大,具有良好的扩展性,既能充分尊重和利用现有的认证机构建设现状,又可为将来更多的网银认证机构的加入留有余地。其实施难度在于投资成本和协调问题上,由于桥CA的建立涉及到多家银行,牵扯到各家利益,若没有权威部门的管理和协调,桥接方案的实现将存在一定困难。方案二:交叉认证,如图10所示:该方案的具体内容是:为全国性商业银行提供认证服务的多家CA进行交叉认证,集中连入国家桥CA;为地方性商业银行提供认证服务的地方性CA和非银行业CA一律连入国家桥CA。交叉认证方案的优点在于投资小,不必和桥接方案那样需要另外建立一个桥CA,同时该方案容易实施,不需要对现有CA系统做大的改动,仅需在现有CA中装入其它CA的交叉认证证书即可。但与此同时.交叉认证方案扩展性差的缺点也很明显,在CA数少的情况实施较为