坚石诚信科技股份有限公司

证券行业动态口令安全解决方案北京坚石诚信科技股份有限公司2008-8-19坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn2目录1.
概述31.
1证券市场背景.
31.
1.
1证券市场的功能.
31.
1.
2证券市场对民生的影响.
41.
2网上证券现状.
51.
2.
1证券交易方式.
51.
2.
2各种交易方式的安全性.
51.
2.
3常见的安全风险.
61.
3动态口令认证技术.
61.
3.
1基本原理.
71.
3.
2工作过程.
71.
3.
3动态口令特点.
82.
坚石OTP解决方案.
92.
1方案概述.
92.
2总体方案.
92.
2.
1OTP系统组成92.
2.
1OTP系统工作流程112.
2.
3OTP系统与券商服务器的集成112.
2.
4OTP系统对各交易方式的保护122.
3方案效益分析.
132.
3.
1对券商的利益.
132.
3.
2对证券用户的好处.
132.
4OTP的特点.
143.
结束语.
14坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn3证券是指发行人为筹集资金而发行的、表示其持有人对发行人直接或间接享有股权或债权并可转让的书面凭证,包括债券、股票、新股认购权利证书、投资基金证券及其他各种派生的金融工具.
证券市场是有价证券发行和流通的场所.
它包括证券发行市场和证券流通市场.
证券发行市场是发行新证券的市场.
证券流通市场亦称"证券交易市场"、"次级市场"、"转让市场"、"流通市场".
1.
概述从1990年12月19日,上海证券交易所成立至今,在不到二十年的时间内,中国证券市场取得了快速发展.
2007年全年股票、基金、债券、权证交易额超过46万亿,日均交易额1840亿,上证综指最高达到6030点,深证成指最高达19134点,两市总市值最高超过28.
5万亿元,两市开户人数突破1亿.
计算机技术和网络技术的发展为证券行业的发展提供了必要的技术基础,尤其是网上证券业务的推出,更是有赖于技术的发展和相关基础设施的建设(比如宽带网).
由于计算机技术和网络技术自身的特点,如果缺少必要的安全措施,可能造成严重的安全问题.
所以,网上证券业务也必须提供充分的安全措施,才能保障其安全性.
1.
1证券市场背景证券市场的发展是社会经济发展的一个必然趋势,同时也是社会经济发展水平的一个重要指标.
证券市场在社会经济发展中的地位将得到进一步的提升,而其重要性也将进一步得到体现.
1.
1.
1证券市场的功能证券市场快速发展的主要原因是其迎合了社会经济发展的需求,整体经济的健康快速发展是证券市场发展的基础,证券市场的发展又会促进社会经济的进一步发展.
总的来说,证券市场的主要功能体现在以下几个方面:(1)它是联系资金供应者与资金需求者的桥梁证券市场所提供的经常性和统一性的市场,使证券发行者、证券购买者、证券转让者和中介机构得以在这个市场上联系起来,使证券的发行与流通便利地进行.
(2)证券市场是企业筹集社会资金的另一渠道银行储蓄存款,保险业吸收保险费等,都是吸收社会闲散资金的渠道.
但是,一般的企业不能经营存款业、保险业和金融信托业务,它们吸收资金的渠道,除证券市场外,只能通过银行、保险公司和金融信托企业获得.
证券市场为一般企业提供了向大众直接筹集资金的重要渠道,公司可以通过发行股票或公司债券的坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn4方式,把一部分社会资金吸收到生产领域.
(3)为政府提供公开市场操作的调节杠杆证券市场上证券交易可以用许多指标来衡量,其中一项指标是证券收益与证券价格之比,称为证券收益率.
这个指标的高与低,对整个金融市场的其他因素的变化都有相当大的影响.
因此,政府可以在证券市场上通过买卖政府债券的方式来影响证券市场上的证券利率,这如同中央银行调整再贴现利率来影响商业银行的贴现率一样,这便成为政府间接调节金融业的杠杆.
(4)证券市场是社会资金重新配置的调节机构证券投资者对证券的收益十分敏感,而证券收益率在很大程度上决定于企业的经济效益.
经济效益高的企业的证券拥有较多的投资者,这种证券在市场上买卖也很活跃.
相反,经济效益差的企业的证券投资者越来越少,市场上的交易也不旺盛.
所以,社会上部分资金会自动地流向经济效益好的企业,远离效益差的企业.
这种流动使社会资金得到重新配置.
另一方面,证券市场与其他金融市场互相联系,当社会上银根松动,游资便自动流向证券市场.
证券市场交易活跃,必然把社会的游资更多地吸引去,使公司发行证券的成本降低,企业界筹资便利.
相反,社会上银根紧缩时,证券市场的资金就流向银行,企业发行证券的成本提高,投资规模相对缩减.
证券市场的供求关系的变化也可以形成这种自发的调节.
在不同国家的金融市场上的供求关系不同,造成市场价格不同时,资金还将在不同国家的金融市场之间流动.
(5)证券市场是观察经济状况的重要指标在证券市场上市的公司,虽然在公司总数上不占多数,却在公司资财上占相当大的比重,这说明上市公司都是大公司.
大公司在各生产领域都是重要的企业,它们的发展状况往往影响这一行业的发展状况.
证券市场上的指数统计,正是选择这些有代表性的大公司的股票交易状况,可以在一定程度上反映社会经济变化情况.
股市上各种不同类别的指数还可以反映社会上资金的余缺、具体行业和企业的发展情况.
1.
1.
2证券市场对民生的影响随着越来越多的人参与到证券交易活动中,证券市场的发展变化与民生的联系也越来越紧密了,主要体现在以下几个方面:(1)民众的收入来源正在发生重大改变.
通过将部分剩余资产转化为资本来获取投资收益,正成为中国民众,尤其是城市居民又一自主性很强的收入来源.
资本和土地、劳动力、生产资料与知识技术一样,是最基本的生产要素.
在城市,绝大多数居民没有一分土地,只能通过投入劳动与知识技术来获取工资报酬.
因此,通过投入资本这一生产要素来获取收益,就像农民通过土地获取收益一样,正成为城市居民试图开辟的又一经济来源.
(2)民众的经济观念正在发生重大改变.
通过将部分储蓄转化为投资,避免因低利率、甚至负利率而造成的财富损失,进而获取与经济增长相吻合的更高收益,正成为民众理财意识觉醒的标志.
研究坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn5表明,从长期趋势看,在经济持续增长的情况下,股票收益要明显高于债券和储蓄.
这种经济观念的改变,将对经济社会产生难以估量的影响.
(3)民众的生活保障基础也在发生重大改变.
在看好经济前景的前提下,民众将部分收入转化为投资,获取长期投资收益,一则可以在一定程度上避免出现因退休或失业等因素造成的收入减少进而影响生活质量的窘境;二则可以在一定程度上获得个人财务自由,按照自己的理念安排生活.
这样一种自我保障意识在广泛的社会人群中自然扩展,无疑将对整个国家的社会保障格局与长期安定有实质性影响.
1.
2网上证券现状网上证券作为证券行业的一个重要组成部分,由于其具有维护管理成本低廉、使用方便、经济效益好的特点,所以受到券商和广大用户的喜爱,因此取得了快速的发展.
1.
2.
1证券交易方式证券服务形式是指券商向其用户提供的服务形式,主要包括四种方式:柜台递单委托、电脑自动委托、电话自动委托和远程终端委托.
(1)柜台递单委托柜台递单委托就是你带上自己的身份证和帐户卡,到你开设资金帐户的证券营业部柜台填写买进或卖出股票的委托书,然后由柜台的工作人员审核后执行.

(2)电脑自动委托电脑自动委托就是你在证券营业部大厅里的电脑上亲自输入买进或卖出股票的代码、数量和价格,由电脑来执行你的委托指令.
(3)电话自动委托电话自动委托就是用电话拨通你开设资金帐户的证券营业部柜台的电话自动委托系统,用电话上的数字和符号键输入你想买进或卖出股票的代码、数量和价格从而完成委托.
(4)远程终端委托远程终端委托就是你通过与证券柜台电脑系统连网的远程终端或互联网下达买进或卖出指令.
具体形式包括在计算机上通过证券服务商的网站或者专门的客户端软件来实现交易,还有就是通过手机、PDA等智能终端设备和专门的软件来实现交易.
1.
2.
2各种交易方式的安全性不同的证券交易方式存在不同的安全性,主要的安全问题是帐号和密码泄露,下面对几种交易方式面临的主要安全问题分别说明.
坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn6序号交易方式潜在安全问题解决方法1柜台递单委托输入帐号和密码时被人偷看到使用一次性密码2电脑自动委托输入帐号和密码被人偷看到使用一次性密码3电话自动委托输入帐号和密码被人偷看到帐号和密码通过电话重拨偷看到帐号和密码在电话线上被人窃听使用一次性密码4远程终端委托输入帐号和密码被人偷看到帐号和密码被木马程序窃取帐号和密码在网络传输时被窃取使用一次性密码1.
2.
3常见的安全风险针对不同的使用环境,其主要的安全风险不同,下面就其中可能性最大的几种作一简单介绍.
(1)窥视泄密,当用户输入帐号和密码的时候,可能被周围的人有意或无意看到,这种情况容易发生在公共场所,比如在证券公司营业部.
(2)盗号木马(比如证券大盗木马),木马程序记录用户在特定窗口的特定区域(比如帐号和密码输入框)输入的信息并将这些信息记录下来,在适当的时候发送给木马作者.
(3)数据窃听,通过窃听玩家计算机向外发送的信息,经过分析处理从而得出用户的帐号和密码,主要在.
(4)重放攻击,将用户向券商服务器发送的信息完全记录下来,再次发送同样的信息,从而通过服务器的验证.
(5)密码猜测,猜测用户密码,这种情况在玩家安全意识薄弱,设置密码安全性不高时,容易被猜测.
(6)穷举攻击,尝试所有可能的密码组合.
(7)记录泄密,用户可能为了安全而设置复杂的密码,同时又为了避免自己忘记帐号和密码,所以就将其写在自己的笔记本上,遗憾的是,没能很好地保证笔记本的安全性,被别人看到了自己记录的帐号和密码.
(8)共享泄密,有的用户为了方便,将自己的多个应用(比如银行卡密码、各种邮箱密码、计算机登录密码、网络登录密码等)密码设置为一个,当一个密码泄露时,全部都没有安全保障了.
1.
3动态口令认证技术动态密码即一次性密码,使用一次以后就自动作废,下次进行身份验证的时候需要新的密码.
动态密码和传统的静态密码配合使用,可以大大提高系统身份认证系统的安全.
坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn71.
3.
1基本原理动态密码基本的思路是将共同密钥信息(作为计算动态密码的常量)和加密算法同时保存在认证服务器和动态密码令牌硬件内,再选择一个认证服务器和动态令牌都可以使用的变量(比如动态密码生成次数或者当前时间或者挑战码)用于计算的动态密码,需要认证的时候,由动态令牌首先计算出动态密码,然后传输给认证服务器,认证服务器采用对应的信息计算出动态密码,通过比较这两个密码是否相同来判断输入的动态密码是否正确.
采用时间作为变量来计算动态密码而进行认证的技术称为时间同步认证技术,采用动态密码生成次数作为变量来计算动态密码而进行认证的技术称为事件同步认证技术,使用由认证服务器返回的数值作为变量来计算动态密码而进行认证的技术称为挑战/应答认证技术.
(1)时间同步认证技术基于时间同步认证技术是把时间作为变动因子,一般以60秒作为变化单位.
所谓"同步"是指用户动态密码令牌和认证服务器所产生的口令在时间上必须同步,不然,令牌产生的动态口令和认证服务器产生的动态口令不相同,服务器无法完成认证.
在实际使用中,保持动态令牌和认证服务器的时间完全相同有一定的困难,所以通常允许存在一定的时间差异,比如20分钟.
(2)事件同步认证技术基于事件同步认证技术是把已经生成动态口令的次数(即事件序列)作为动态口令令牌和认证服务器计算动态口令的一个运算因子,与令牌和认证服务器上的共同密钥产生动态口令.
这里的同步是指每次认证时,认证服务器与令牌保持相同的事件序列.
如果用户使用时,因操作失误多产生了几组口令出现不同步,服务器会自动同步到目前使用的口令,一但一个口令被使用过后,在口令序列中所有这个口令之前的口令都会失效.
其认证过程与时间同步认证相同.
(3)挑战/应答认证技术挑战/应答方式的变动因子是由认证服务器产生的随机数字序列,作为令牌和认证服务器生成动态口令的变动因子.
1.
3.
2工作过程这里以事件同步认证技术的动态口令令牌配合登录网游服务器的认证过程为例,说明用户使用动态口令完成身份认证的过程.
坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn8图1动态口令身份认证系统工作过程①客户请求接入证券服务器;②证券服务器请求认证服务器对客户的身份的合法性和真实性进行认证;③客户终端弹出身份认证对话框;④客户激活令牌,生产动态口令;⑤客户将帐号和口令键入终端的身份认证对话框;⑥客户终端将帐号和口令通过网络传输给认证服务器;⑦认证服务器调用客户信息,产生与客户信息和事件相关的随机序列,并与客户输入的口令进行比对,判别客户身份的合法性和真实性;⑧认证服务器将认证结果报告给证券服务器;⑨证券服务器根据客户身份的合法性和真实性反馈给客户终端,并决定可以提供服务或拒绝服务.
1.
3.
3动态口令特点动态密码技术用于身份认证,主要具有以下特点:(1)动态性:动态口令令牌产生的口令每分钟变化(针对时间同步技术的动态口令卡而言)一次,不同时刻使用不同口令登录,每个口令都只在其产生的时间范围内有效.
(2)随机性:动态口令每次都是随机产生的,不可预测.
(3)一次性:每个动态口令使用过一次后,不能再连续重复使用.
(4)抗偷看窃听性:由于动态性和一次性的特点,即使某一个动态口令被人偷看或窃听了,也无法使用.
(5)不可复制性:动态口令与口令卡是紧密相关的,不同的口令卡产生不同的动态口令.
而且口令卡是密封的,卡内密钥数据一旦断电就会丢失.
因此也坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn9就保证只有拥有口令卡的用户才能使用动态口令,其他用户无法获得,也无法共享.
(6)方便性:口令卡随身携带,动态口令显示在卡上,无需再为记忆复杂的、定期更改的口令而烦恼.
(7)危险及时发现性:口令卡随身携带,一旦遗失或失窃,就会及时发现、及时挂失,把损失降到最小.
(8)抗穷举攻击性:由于动态性的特点,如果一分钟内穷举不到,那么下一分钟就需要重新穷举,因此新的动态口令可能就在已经穷举过的口令中.
另外还可以通过系统设置,限制一分钟内用户登录尝试的次数,从而进一步降低穷举攻击的风险.
2.
坚石OTP解决方案OTP是坚石诚信科技有限公司推出的动态口令身份认证产品,通过使用动态口令身份认证技术来提高身份认证的准确性,防止帐号和密码泄露后被再次使用的风险.
2.
1方案概述OTP身份认证系统对各种应用环境具有广泛的灵活性和适应性,能够适应多种使用环境,包括柜台递单委托、电脑自动委托、电话自动委托和远程终端委托.
2.
2总体方案OTP身份认证解决方案采用基于模块化的分层体系结构、成熟的技术和开放体系结构,系统具有高可靠性、可用性和可维护性,同时向证券服务提供商和证券用户提供良好的灵活性和性价比.
2.
2.
1OTP系统组成考虑到各个证券服务系统的差异以及用户计算机环境的不同,OTP身份认证系统提供了充分的灵活性来满足这种需求.
认证服务器和认证备份服务器完全独立于证券服务器系统,只需要在原有认证服务器系统中安装认证代理模块即可,不用更改原有网络结构设计.
基本结构如图2坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn10图2OTP认证解决方案系统组成图1.
认证服务器认证服务器是系统的核心部分,安装在证券服务提供商的内部网络,与证券服务器通过局域网连接,向证券服务器提供身份认证的功能.
当证券服务器接收到证券用户发送的登录信息时,由证券服务器传递登录信息给认证服务器,认证服务器根据其存储的信息验证证券用户的登录信息是否正确,如果正确,认证服务器返回认证成功,证券用户成功登录证券服务器并可以进行后续操作,否则,认证服务器返回认证失败,证券用户登录证券服务器失败.
2.
认证备份服务器后备认证服务器是对认证服务器的完全备份,它能够在认证服务器发生故障或检修时,及时接管认证服务器的认证工作.
3.
管理工作站管理工作站提供动态身份认证系统的管理界面,它在网络管理员与认证服务器之间提供一个友好的操作界面,便于网络管理员对系统维护和用户管理.
通过管理工作站,网络管理员可以进行网络配置、动态口令令牌管理(比如添加、删除、和用户绑定、锁定、解锁等)、用户管理(比如添加、删除、分配令牌等)以及认证日志管理等操作.
4.
动态口令令牌坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn11动态口令令牌是一个单独的硬件设备,使用时无需连接任何外部设备,所以具有很大的灵活性,登录证券服务器时,只需要激活动态口令令牌,将生成的动态口令输入登录窗口中的对应位置即可.
2.
2.
1OTP系统工作流程为了简洁地说明OTP系统进行动态口令身份认证的工作流程,这里不考虑复杂的网络结构以及其它的安全措施(比如防火墙).
图3认证过程(1)证券用户启动证券客户端程序或者打开证券交易网站登录页面,并在登录窗口中输入帐号和动态口令;(2)帐号和动态口令从证券终端传送到证券服务器;(3)帐号和动态口令从证券服务器传送到OTP认证服务器;(4)OTP认证服务器通过得到的帐号和动态口令,首先读取存储在服务器中的相关信息,并计算出动态口令,将收到的动态口令和计算得到的动态口令进行比较,判断收到的口令是否为有效口令;(5)OTP认证服务器将认证结果发送给证券服务器;(6)证券服务器根据接收到的认证结果进行处理,如果认证成功,证券服务器允许证券用户登录,如果认证失败,证券服务器拒绝证券用户登录,并将失败信息返回给玩家.
(7)如果认证通过,用户可以进入证券服务器,如果认证失败,证券用户得到登录失败提示.
2.
2.
3OTP系统与券商服务器的集成OTP系统和证券服务器进行集成时,考虑到和原系统的兼容性以及安全性,通常保留原有系统静态密码认证,此时就可以实现动态口令和静态口令相结合进行身份认证,其基本逻辑结构如图4所示.
由证券服务器的认证模块进行静态密码认证,动态口令的认证由OTP认证代理传递给OTP认证服务器进行认证,认证完成后返回认证结果.
两种认证只要有一种认证失败就可以认为认证失败,此时网游服务器就可以拒绝证券用户登录网游服务器.
静态口令认证和动态口令认证的顺序可以根据需要进行选定.

坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn12图4组件结构图2.
2.
4OTP系统对各交易方式的保护前面提到证券交易方式主要包括四种,它们分别是柜台递单委托、电脑自动委托、电话自动委托和远程终端委托.
OTP在这些交易方式下都可以发挥其功能,保护证券帐户的安全.
(1)柜台递单委托,该交易方式的主要安全威胁是在帐号和密码可能在输入的时候被周围的人有意或无意看到,从而导致帐号和密码泄露的风险.
此时如果用户使用动态密码可以有效解决这样的问题,即使别人看到了输入的帐号和密码,因为密码是一次性的,使用过以后就不能再继续使用了.
所以可以有效防止被人利用看到的帐号和密码进行非法操作.
(2)电脑自动委托,该交易方式通过证券营业部的电脑进行操作,由于是公共场所,人员活动也毕竟频繁,可能存在周围的人有意或无意直接看到自己的帐号和密码,还可能通过摄像设备(比如有摄像功能的手机)对整个操作过程进行记录.
使用动态密码可以有效避免自己的帐号被盗用,因为动态密码只能使用一次,即使有人看到或者得到你输入的帐号和密码,当别人试图通过这些信息进行登录时,系统会提示帐号或密码无效,从而有效防止帐号和密码泄露导致的安全威胁.
(3)电话自动委托,该交易方式通过电话输入用户帐号和密码,根据使用电话的环境不同,可能存在三种安全风险,即输入时被看到、通过电话重拨键查看到或者通过电话窃听到,如果使用传统的密码方式,只要得到帐号和密码以后,任何人都可以通过电话对该帐户进行操作,具有相当的危险性.
使用动态口令以后,因为动态口令不能重复使用,所以即使别人窃取到帐号和动态口令,别人通过其窃取到的帐号和密码进行登录的时候,还是不能成功,这样就有效保护了用户的帐户安全.
(4)远程终端委托,该方式主要是通过计算机或者智能终端连接证券服务坚石诚信科技股份有限公司坚石诚信科技股份有限公司地址:北京市海淀区学院路40号南一楼2层电话:010-62304411传真:010-62304415网址:www.
jansh.
com.
cn13商的服务器来完成,由于计算机、智能终端以及相关网络的迅速发展,以该种交易方式进行交易具有灵活方便的特点,不会受到证券营业部的物理位置限制,基本上只要能够连接网络的计算机和网络终端都可以进行(有的需要配置专门的软件),所以称为近年来发展最快的一种交易方式.
通过该方式进行的交易,同样可能存在帐号和密码泄露的可能性(比如被周围的人看到、被木马程序监控记录并发送到木马程序作者指定的位置、传输过程中被窃取等),使用传统的密码形式不能保证这些情况发生时用户的帐户的安全.
当使用动态密码时,即使用户的帐号和密码在使用过程中被人窃取,得到帐号和密码的人还是无法登录用户的帐户进行非法操作,这还是因为动态口令只能使用一次,下次登录必须使用不同的密码才能成功,而新的密码只有用户手里的专门设备才能生成.
2.
3方案效益分析采用OTP身份认证解决方案提高证券帐号安全性具有很大的灵活性和性价比.
主要体现在证券服务提供商和证券用户,下面对其进行简单的分析和整理.