證券業務應用層安全管理平臺的研究

摘要：該文在分析證券業務應用層重要性的基礎上，明確了安全管理平臺研究的必要性。首先確定證券業務應用層安全管理平臺的目標，其次研究證券業務應用層安全管理平臺的設計，并進一步探討了證券業務應用層安全管理平臺的數據庫簽名驗證。

關鍵詞：證券業務；應用層安全；管理平臺

中圖分類號：TP315文獻標識碼：A 文章編號：1009-3044(2011)04-0741-02

The Research of Application Layer Safety Management Platform Based on Securities Business

LU Hai-hua

(Information Security College， Shanghai Jiao Tong University， Shanghai 200240， China)

Abstract: The paper has analyzed the importance of the securities business application layer， and cleared the necessity of the safety management platform. The paper has firstly determined the target of the securities business application layer safety management platform. Then the paper has secondly designed the platform， and further studied the database signature verfication of platform.

Key words: securities business; application layer security; management platform

證券業務應用交易所是國家設立的提供證券集中競價交易場所的機構，其最主要的工作就是要創造透明、開放、安全、高效的市場環境，提供證券業務應用交易的場所和設施。網絡證券業務的應用層系統在給證券公司帶來更大經濟效益和管理效率、給大眾帶來更優質快捷服務的同時，也帶來了更大的安全威脅。網絡的開放性體架結構，決定了其在安全控制和管理機制等方面具有先天缺陷，易受攻擊和非授權訪問。

總之，隨著證券業務應用層處理信息化進程的不斷深入，內部網絡和外部網絡的規模不斷擴大，各類新證券業務應用不斷上線，網絡已成為證券公司競爭力的重要部分，是保障證券業務應用層信息化順利運行的紐帶和基石。而安全性也必然成為證券業務應用層安全管理平臺首先要解決的關鍵問題。

1 證券業務應用層安全管理平臺的目標

證券業務應用層安全管理平臺主要實現如下五個安全性目標：

1）機密性：證券業務信息只能被需要的人、授權的人看到，在傳輸過程中無法被截獲。

2）有效性：證券業務應用層系統中的信息是安全的、有效的。

3）完整性：證券業務信息在傳輸過程中不會被篡改、丟失和亂序，信息不會被隨意生成、修改和刪除。

4）審查能力：根據機密性和完整性的要求，可以對數據審查的結果進行記錄和歸類。

5）可靠性/不可抵賴性/標識：發出的證券信息具有可靠的標識，發信人不能抵賴。

要實現以上目標，需要證券業務應用層內部的多個模塊（用戶登錄、權限管理、加密、數字簽名）相互作用。其中用戶登錄、權限管理主要是實現對證券業務應用層系統的訪問控制，加密主要實現數據的加密存儲。當然，證券業務應用層的安全還需要其它各層基礎安全設施的協作。

2 證券業務應用層安全管理平臺的設計

2.1 用戶登錄功能的設計與實現

作為安全的第一道防線，某種程度上也是最重要的一道防線，身份認證技術普遍受到關注。認證技術提供了關于某個人或某個事物身份的保證，這意味著當某人聲稱具有一個特別的身份(如某個特定的用戶名稱)時，認證技術將提供某種方法來證實這一聲明是正確的。證券業務應用層安全管理平臺的用戶登錄功能設計的具體方法是：

在證券用戶請求登錄頁面時，服務器端生成一隨機數，服務器端保存這一隨機數，并將這一隨機數與登錄頁面一同發送給用戶；用戶在登錄時既要提供用戶ID和密碼，而且需提供這一隨機數。服務器端驗證用戶登錄信息時，首先驗證證券用戶提交的隨機數是否正確，在認證碼正確的情況下再做下一步的用戶及密碼的驗證，并同時清除掉服務器端分配給用戶的隨機數。為了加大破解難度，通常將這一隨機數附著在一幅圖片上發送到證券客戶端。另外，雖然增加認證碼的方法能防止入侵者的字典攻擊，但是入侵者高密度的登錄驗證，還是會對網絡傳輸造成一定的負面影響，因此在登錄模塊中檢查同一IP登錄情況是否異常，如在很短的時間里，登錄次數明顯不正常時，將把這一IP記錄加入到受限IP庫中。驗證證券用戶登錄的具體流程如圖1所示。

2.2 權限管理模塊的設計

為了實現證券業務應用層安全管理平臺中資源的訪問控制，用戶在通過了身份驗證，進入系統后，只能訪問系統授予的權限內的證券業務資源。證券業務應用系統的用戶、權限管理與操作系統的用戶、權限管理的概念所不同之處在于:

1）證券業務系統里的權限管理和訪問控制的對象主要是證券業務應用系統的資源，例如數據、功能等，而不是網絡、主機、文件目錄和數據庫；

2）證券業務系統中的用戶、權限信息通常存儲在應用系統指定的位置（例如數據庫中），通過專門開發的界面進行維護；

3）由于證券業務的復雜性，權限的控制級別更細些，通常需要到記錄和記錄的字段一級，因此現有手段（如數據庫管理系統本身）無法提供相應的訪問控制機制。證券業務應用層安全管理平臺的權限管理具體包括證券用戶管理、角色管理、功能模塊（資源）管理、權限分配。如圖2所示。

1）證券用戶管理

證券用戶是指能對證券業務資源進行訪問的一個主體。證券用戶是系統的使用者。證券用戶通過角色擁有對應系統中對象的權限。證券用戶管理主要包括添加、刪除、修改用戶等功能。

2）證券角色管理

證券角色是在證券業務應用中形成的，在部門中具有特定職責、權利的一類人員的總稱。在信息系統中，證券角色是能夠控制一定資源的用戶集合。證券角色管理包括角色的添加、刪除，角色屬性的修改角色的指派，角色權限的指派。

3）資源管理

資源是證券業務中用戶和角色訪問、操作、控制的抽象客體。本證券業務應用層安全管理平臺提供對功能模塊和數據庫表、記錄和字段的授權訪問，將所有模塊和對應的數據庫表、記錄和字段按照需求規則劃分類別和層次，按樹結構進行存儲，再由權限管理模塊將各模塊權限分配給角色。應用的對象首先需要注冊，才能成為證券業務資源，才能進一步定義權限、并指派給用戶和角色。

4）權限分配

權限，簡單地說，就是用戶和角色對證券業務資源所具有的操作類型。權限是和證券業務應用層安全管理平臺密切相關的，是系統資源“與生俱來”的。

3 證券業務應用層安全管理平臺的數據庫簽名驗證

本文研究的證券業務應用層安全管理平臺的數據庫簽名驗證主要通過CryptSignMessage()函數實現簽名，通過CryptHashMessage()函數生成文件哈希。本系統采用MD5算法生成散列值，一共是128位。此簽名驗證模塊會在簽名信息上附帶相應的公鑰信息，這樣對簽名驗證時就非常方便了。而且對于簽名者的證書獲取也變得更加容易。程序流程圖如圖3所示。

此數字簽名程序中用到的函數如下描述：

BOOL WINAPI CryptSignMessage(

PCRYPT_SIGN_MESSAGE_PARA pSignPara ，

BOOL fDetachedSignature ，

DWORD cToBeSigned ，

const BYTE *rgpbToBeSigned[ ] ，

DWORD rgcbToBeSigned[ ] ，

BYTE *pbSignedBlob ，

DWORD *pcbSignedBlob

) ;

其中，數字簽名過程中所涉及到的參數的結構由變量pSignPara加以定義，包括一些算法（比如散列、加密等）、數字簽名證書個數及數組、簽名編碼信息類型等等。在數字簽名過程中，可以將信息與哈希值共同保存在同一空間，這個狀態是參數fDetachedSignature加以表示，初始狀態為假。而數字簽名數組的指針及數值分別由參數*rgpbToBeSigned[]以及cToBeSigned加以表示。進行數字簽名后的數據大小及指針又分別由參數*pcbSignedBlob以及*pbSignedBlob加以表示。

接受端接到了加密數據后，將對會話密鑰及文件分別進行解密。首先，通過獲取信息頭部文件中的簽名簡要，利用公鑰獲得哈希值。可以通過CryptHashMessage()函數直接從頭部文件中獲取加密文件的哈希值。其次，比較兩者的哈希是否一致（也就是簽名的哈希和從頭部文件中獲取的哈布）。如果兩者是一致的話，表明加密文件是完整的，在傳輸時沒有出現被破壞的現象。反之，則表示文件傳輸有誤。本文研究的證券業務應用層安全管理平臺的數字簽名認證就是通過這樣的密鑰及哈希來驗證簽名的有效性。

數字簽名對應都有一個簽名認證證書，證書就保存在證書庫中的。如何對簽名者的證書進行有效驗證呢？本文是通過證書驗證模塊加以實現的。主要是驗證證書是否是服務器端所承認的機構頒發的、證書是否是有效的等等。本文主要借助于CertVerifySubjectCertificateContext()函數實現對證書的驗證。證書驗證的函數說明如下描述：

BOOL WINAPI CryptVerifyMessageSignature (

PCRYPT_VERIFY_MESSAGE_PARA pVerifyPara ，

DWORD dwSignerIndex ，

const BYTE *pbSignedBlob ，

DWORD cbSignedBlob ，

BYTE *pbDecoded ，

DWORD *pcbDecoded ，

PCCERT_CONTEXT *ppSignerCert

) ;

證書驗證過程中所涉及到的參量通過pVerifyPara加以設定，主要包括證書所在的證書庫信息、證書服務的供應方以及證書編碼信息等。當有若干個簽名者進行簽名時，必須進行索引設置，這是由參數dwSignerIndex加以設定的。證書的簽名信息參數由*pbSignedBlob和cbSignedBlob加以驗證。而每個證書都有一個句柄相對應，這主要由變量*ppSignerCert加以表示。

4 總結

總之，本文的研究能有效保障證券業務交易信息處理和傳輸系統的安全，避免攻擊者利用系統的安全漏洞進行竊聽、冒充、詐騙等活動，同時為探索證券業務應用層系統的安全保障體系的建立邁出有益的一步，本文研究的意義就在于此。

參考文獻：

[1] 田青.證券電子商務系統的應用層安全體系設計[J].計算機與網絡，2009(5).

[2] 朱道奇，竇爾翔.我國證券業信息化現狀與發展探析[J].中國金融電腦，2008(6).

[3] 張瑜，費文曉，余波.一種基于PKI的安全公文簽名加密解決方案[J].微計算機信息，2010(18).

[4] 劉華春.基于PKI的網上證券交易系統的構建[J].計算機技術與發展，2009(7).