前言：尋找寫作靈感？中文期刊網用心挑選的網絡證券交易安全管理思考，希望能為您的閱讀和創作帶來靈感，歡迎大家閱讀并分享。
隨著網絡技術的發展，人們的生活發生了翻天覆地的變化，證券交易的形式也隨之發生了改變。當今社會，網絡交易已成為其最主要的交易模式。網絡交易有著方便、快捷、實時性強、無須等候等優點，然而，危及網上證券交易安全的病毒、木馬、釣魚、竊取、篡改等攻擊手段層出不窮。 大部分網上證券交易用戶的防范意識不高，對于可能盜取用戶口令的攻擊手段沒有任何防范能力，嚴重影響了整個證券交易體系的安全。在交易當中，一旦網絡安全問題發生，輕則造成個人的直接經濟損失，重則對行業造成毀滅性打擊，甚至還會對整個社會秩序產生連鎖的負面影響。因此，網絡證券交易的安全性一直以來都是人們高度關注的問題。 為了保障網絡證券交易的安全，科研工作者們針對這一問題展開了大量研究，獲得了卓有成效的進展。迄今為止，在密碼保護、身份認證、日志審計等各個方面都已形成了成熟的技術和標準；同時，也能夠見到一些安全保障系統范例，例如：遼寧證券網上交易系統[1]、基于PKI技術的網上證券信息系統[2]、興安證券網上交易系統[3]等等。然而，我們綜合比較這些解決方案后發現：這些系統或多或少都存在一些不足。 這些系統或者只針對網絡交易安全的某一個方面使用了某一種核心技術；或者雖然涉及到了多個保護環節，但防護力度較為分散；或者系統的擴展性不強，難以根據實際需要進行更新和改進。 證券交易行業需要的是能夠保障交易安全并且具有商業價值的完善系統。 針對這一需求，我們開發了這套“基于面向服務架構（SOA）的網絡證券交易安全系統”。 本系統主要有以下四大優勢：在技術上，我們使用了多種先進成果相輔相成的方法，多角度全方位地保障網絡交易的各個方面；在功能上，根據保護內容的不同，將系統分為客戶防御、身份認證和日志審計三個主要部分，層次清晰合理；在性能指標上，我們的系統完全能夠滿足商業環境中大量數據并發情況下的時效性和穩定性；在系統構架上，我們根據面向服務構架（SOA）的要求，設計出了一套各模塊單元之間耦合度低、便于升級和維護的系統，系統中的三個主要部分都可以作為獨立的部件進行技術更新或移植到其他平臺，具有較強的實用價值和商業價值。 1背景 1.1網絡證券交易的安全 網絡證券交易作為一種“網絡交易”形式，它的安全問題與其他類型網絡交易相比，有許多相似性，但也具有自身鮮明的特點。 總體來說，包括了以下幾個基本的安全問題[4]： 1）保證證券交易系統運行的安全，即保證證券交易系統在信息處理和傳輸時的安全。這一問題主要側重于保證系統正常穩定地運行，避免因為系統的崩潰或損壞而對系統內存貯、處理和傳輸的信息造成破壞和損失，同時要避免因故障而引起的信息泄露。 2）保證證券交易信息系統的安全。這包括用戶身份認證和授權，用戶存取權限的控制，交易行為的可追溯和抗抵抗，資金的異常阻止，二次鑒別，計算機病毒防治和數據傳輸加密等等。 3）保證證券交易內容的安全。這主要側重于保證交易信息的保密性、真實性和完整性。避免攻擊者利用系統的安全漏洞進行竊聽、冒充、詐騙等有損于合法用戶的行為，本質上是保護用戶的利益和隱私。 1.2保障網絡交易安全的對策 針對網絡證券交易安全問題，一個能夠保障安全并投入商業使用的系統，應具有保密性、正確性和完整性、身份的確定性、不可抵賴性四個基本特點。為滿足這些特點，目前系統一般采取如下幾種對策[5]： 1）安裝防火墻，防止黑客入侵及攻擊； 2）安裝防病毒軟件； 3）采用身份認證和數字簽名支持第三方CA認證體系，確保網上委托身份識別的安全性； 4）使用128位強加密算法和數字簽名，確保委托數據的安全，防止數據在傳輸過程中被截獲修改； 5）網上委托站點和券商交易系統相互獨立，有明確的接口，訪問券商交易系統的接口轉換程序由券商編制，源代碼由券商保管； 6）在Internet與證券公司網絡的網關上采用并口隔離技術。并口通信使用的是專用協議，而不是通用的TCP/IP協議，其優越性在于既能完成正常數據交換功能，又能非常有效地隔離一切來自Internet上的對證券公司網絡的攻擊； 7）所有與委托有關的程序全部在券商的營業場所內運行，電信局方面只運行與行情有關的程序。 8）交易數據處理的可監控和防抵賴。 9）行情主站和委托主站自動互為備份，確保在系統和線路出現故障或大行情突然來臨時，不會因并發量過大而導致通道堵塞，不影響客戶的交易。 在重點分析了以上幾種對策的安全性、可行性和適用性之后，我們決定同時采用上述1、2、3、4、8方案。這些方法不僅代表了計算機網絡安全方面的先進技術，同時也適于系統的實現和投入商用；為了能使整體功能進一步強化，除上述方法之外，我們還增加了反逆向分析技術、擁有自主產權的SSL加密技術、基于數據挖掘的監控預警等多種技術手段，將系統的功能劃分為“防盜取口令”、“防非法登錄”、“預警與日志審計”三個清晰的層面，構建起可靠的“三重防護”模式；除此之外，針對用戶的習慣和操作環境特點，在保障安全級別不降低的前提下，我們將一些安全策略的選擇權交給用戶，實現了系統的靈活性，這也是我們的一大創新。 1.3面向服務體系構架（SOA）#p#分頁標題#e# 面向服務的體系結構（Service-OrientedArchitecture，縮寫為SOA）是一個組件模型，它將應用程序的不同功能單元（稱為服務）通過這些服務之間定義良好的接口和契約聯系起來[6]。接口是采用中立的方式進行定義的，它應該獨立于實現服務的硬件平臺、操作系統和編程語言。這使得構建在各種這樣的系統中的服務可以一種統一和通用的方式進行交互。這種體系結構，與傳統的面向對象模型不同，它的各個模塊之間是松耦合的。松耦合保障了各個模塊之間的相對獨立性，模塊內部的修整對外不會造成使用的變化。 SOA具有平臺無關、低耦合、可以按模塊分別實施等特點，比較適合部件功能劃分清晰，同時需要頻繁更新的系統。對于我們所研究的證券交易安全系統來說，根據商業使用的反饋進行系統版本的升級、部件的更新是很普遍的，而且，各個部件也都可以作為獨立的標準化產品推向市場，因此，采用這種設計方式是非常合理的。 以下幾個小節將詳細地介紹我們開發的系統。其中第3小節從整體設計出發，展示了系統的整體構架；第4小節將以系統的“身份認證”模塊為例，詳細介紹了這一子平臺的特點；第5節系統測試，通過實驗數據證明我們系統的可靠性；第6小節總結了這一系統的研究意義和經驗，希望我們的工作能夠為后繼的研究者們提供一些參考價值，最后一部分是參考文獻。 2系統構架 根據所需防護部分的不同，依照“子系統內部緊耦合，外部松耦合”的設計原則，我們將系統劃分為：防盜取口令的客戶端防御層，防非法登錄的身份認證層，以及負責預警與日志審計的監控預警層這三個層次，又根據具體的使用需要，將各項防護技術進行進一步整合為五個子系統，分別是客戶端防護子系統、安全加密子系統、身份認證子系統、集中日志管理子系統和安全預警子系統。 本系統開發遵循先進的SOA系統架構，各子系統分別為獨立的功能實體，具備自我管理和恢復能力，子系統間耦合度低。各子系統包含一組粗粒度、標準化、可重用的服務接口，通過這組接口向外提供功能調用。同時各子系統包含精確定義的服務契約，保證系統的通用性、可拓展性和聯合協作性。 在該架構下，子系統功能被封裝起來，子系統間僅通過標準化接口進行通訊，方便系統內部維護、系統間功能的調用，以及系統的更新、升級和擴展。 從技術來講，客戶端防御層包含防木馬病毒解惑鍵盤消息技術、基于代碼混淆的反跟蹤技術、基于暴力破解模型的用戶凍結技術、基于搜索引擎的“釣魚”網站識別技術和SSL加密技術。身份認證層包含硬件信息綁定認證、CA數字證書認證、動態口令認證、通訊密碼認證技術。 監控預警層包含基于數據挖掘的入侵技術、上次登錄IP時間回顯技術、基于路由跟蹤的用戶IP定位技術和異常情況預警和反擊。 從功能上來講，客戶端防護子系統和安全加密子系統用來對客戶終端以及數據傳輸的安全進行保護和監控，集中日志管理子系統是對于服務端的管理和監控。 身份認證子系統是對整個系統認證過程的加強和保護，安全預警子系統起到對整個系統的預警和保護的作用。 這5個子系統分別側重與網上交易安全的不同方面，組合后涵蓋了整個網上交易過程中的所有流程。 在廣度上，本系統囊括了整個交易系統部署過程中的各個方面，在深度上，每個環節采用的技術都是領先技術或行業標準。 其中“身份認證”是保證網上交易安全最為重要的環節，同時，也作為一個完整的子系統設計實例，以下我們將重點對該子系統進行描述。 3身份認證子系統 身份認證子系統用于判明和確定網上交易雙方身份的真實性和合法性，是保證交易安全性的重要環節，也是網上交易盜買盜賣防范系統的中樞部分。 身份認證包括用戶向系統出示自己的身份證明（通訊密碼、動態口令、數字證書等）和系統通過某種認證手段查核用戶身份證明的過程，用戶只有通過了身份認證才能獲得訪問某些資源的權限。 3.1常用系統身份認證方式 目前常用的系統身份認證方式有基于口令的認證、基于數字證書的認證、基于生物特征的認證和綜合認證方式。 3.1.1基于口令的認證 口令是用戶和系統相互約定或者系統制定的一段代碼。只要用戶輸入正確密碼即得到身份認證。根據口令產生方式的不同可分為靜態口令認證和動態口令認證。 1）靜態口令認證 靜態口令[7]指在某一特定的時間段內沒有變化，可以反復多次使用的口令。用戶進入系統時輸入用戶名密碼，系統將其與保存的用戶信息進行比較，從而判斷用戶身份的合法性。它的優點在于使用簡單，無需任何附加設備，成本低，速度快。但它同時包含許多安全隱患，口令容易被竊取、截獲和破解，對于重放攻擊也毫無抵抗力。 2）動態口令認證 動態口令認證[8]是指每次進行身份認證和交易確認時輸入的口令都是動態變化的，且不重復。動態口令由一種稱為動態令牌的專用硬件使用密碼生成芯片運行專門的密碼算法。根據當前時間或者使用次數產生，且每個密碼只能使用一次。 用戶使用時只需要將動態令牌上顯示的當前密碼輸入客戶端計算機，即可實現身份的確認。它具備抗截獲攻擊能力、抗實物解剖能力和抗窮舉攻擊能力，避免了靜態密碼在傳輸和存儲過程中可能出現的安全問題。 3.1.2數字證書認證 #p#分頁標題#e# 數字證書[9]是一種能在網絡上進行身份驗證的電子文檔；它由權威公正的第三方機構CA中心，又稱為證書授權（CertificateAu-thority）中心簽發；它包含用于識別通訊各方身份的一系列數據。數字證書根據存放介質的不同，分為軟件證書（存放于電腦本地瀏覽器）和硬件證書（存放于USBKey介質中）。 用戶經過證書存儲介質向服務器提供用戶證書，服務器端由此解析并驗證用戶真實身份；而服務器向客戶端返回服務器證書，從而證明服務器的真實性。數字證書采用PKI(PublicKeyInfrastructure)公開密鑰基礎架構技術。以數字證書為核心的加密技術可以對網絡傳輸信息進行加密和加密、數字簽名和簽名認證，從而確保網上傳遞信息的機密性和完整性。 目前存在數字證書的一種簡化方式稱為通訊密碼。 它對靜態密碼采用PKI公鑰體系技術和SSL協議進行加密和傳輸。 3.1.3生物特征認證 生理和行為特征統稱為生物特征，常見的生物特征有指紋、掌紋和DNA圖像等。生物特征識別技術具有不易遺忘、防偽性能好、不易偽造或被盜、隨身“攜帶”和隨時隨地可用等優點，是最可靠的身份認證方式；但這種認證方式過度依賴硬件安全性，推廣起來成本較高。 3.1.4綜合認證方式 綜合認證方式即雙因素認證方式，它將之前提到的兩種或兩種以上身份認證要素結合成為更安全的認證方式。 常用的雙因素認證技術有動態口令與靜態口令相結合認證方式、靜態口令與數字證書認證、靜態口令與生物認證。 雙因素認證技術可以提高認證的可靠性[7]。 3.2身份認證子系統設計 各個認證方式之間不僅安全級別不同，在應用場合，歷史應用遺留等方面同樣有很大的不同，這些不同決定了每種認證平臺都有存在的必要性。 為了方便用戶操作并且提高了管理人員的操作效率，本系統對一些普遍使用的認證方式進行了有效整合。 用戶在進行網上交易時，可根據實際情況選擇不同認證方式。 綜合考慮網絡證券交易本身的特點、系統安全性、用戶需求、運行成本和實現復雜度等因素，本系統選擇包含通訊密碼、動態口令、數字證書等已有的先進認證技術，同時創新性地引入了硬件綁定認證技術。 硬件綁定的主要思想是將用戶的電腦特征碼或手機信息（手機號碼或手機硬件信息）和用戶賬號綁定，并且保存在網上交易委托認證庫中；用戶登錄時只有通過了系統對硬件信息的驗證才可以進入賬戶。這種方式安全性比較高，但可能使用不便，特別是對一些可能會使用多臺電腦的用戶。 除了多種認證方式的創新與融合，本子系統還引入了信息回顯，入侵檢測等新的認證保護機制，并且在信息傳輸時使用了在充分研究分析國內外先進技術的基礎上自行研發的SSL加密技術，進一步提高用戶賬戶和認證信息傳輸的安全性。 網上交易客戶登錄時，委托服務器將用戶的登錄信息（包括所選擇的認證方式）轉發給統一安全認證服務器，隨后服務器向認證數據庫發送請求，查詢并檢測用戶登錄信息。 若用戶采用通訊密碼認證方式，則返回其加密的私鑰數據；若用戶采用了第三方認證方式（如動態口令認證），則返回該賬戶綁定的第三方認證系統識別碼（如動態口令卡的硬件序列號），認證網關程序再向第三方認證系統校驗用戶的登錄信息。 依照SOA系統架構，身份認證子系統將具體系統實現部分封裝起來，通過標準化接口實現子系統間的功能調用，從而降低了與其他子系統的耦合度，方便子系統的維護和管理，同時提高系統的可拓展性。子系統定義了一系列標準化的接口協議，通訊消息采用STEP協議長連接格式。這些接口包括連接認證、安全密碼認證及修改、自動開戶、連接測試、各認證方式接口、IP回顯信息查詢等。 4系統測試 我們對實現后的系統進行了測試。在目前的實驗結果中，系統單臺設備平均處理能力不低于500筆/秒；單臺設備峰值處理能力不低于1500筆/秒；周邊應用客戶端認證響應延時<200ms；系統可用性不低于99％?？傮w來說，取得了較好的實驗效果，在安全層面上能夠達到行業標準。理和維護。 軟件方面比較常見的問題有：還原卡損壞或保護口令被破譯造成整臺電腦系統和軟件被破壞；電腦系統出現崩潰導致無法開機；專業軟件插件丟失或部分程序損壞不能正常運行等。 這些情況下簡單地采用網絡復制方法重新發射往往不能完全消除故障，正確的做法是先卸載掉還原卡，將電腦關機后重啟，然后重新開啟還原卡功能，重新分區格式化，最后再將樣機的系統重新發射復制過去，再重新對專業軟件進行安裝才能徹底解決問題。 4.2專業軟件的更新或升級 如果以前安裝的軟件不適合教學需求，或有些軟件需要更新版本，或者需要安裝以前沒有安裝的軟件，則可以采用以下的步驟和辦法。 如果是不需要注冊機注冊，安裝完即可使用的軟件，只要在機房內選擇一臺性能最佳的計算機作樣機把軟件安裝好，再通過網絡拷貝的方法，發送拷貝到所有的計算機上。 如果是安裝過程比較復雜，需要單獨注冊或調試的軟件，則需將相應的安裝程序和注冊機等發射復制到各臺電腦的裝機軟件存放區，然后再進行相應的安裝。 上機過程中教師有臨時性的課件或作業等文件要下傳給學生時，如果文件比較小，可以通過多媒體教學軟件直接發送，只需要很短的時間。如果文件相對比較大，可以通過機房的文件服務器共享，由學生自己復制拷貝到計算機上。#p#分頁標題#e# 5結束語 藝術專業機房軟件的安裝與維護對機房管理員來說，是比較繁瑣的，比起硬件維護來所花的時間要多得多。以上是作者結合多年專業機房管理經驗，對藝術專業機房軟件安裝與維護的一些心得，在實際機房維護過程中，還有其它許多安裝方法和維護手段。 隨著新技術、新理論的不斷發展，維護計算機軟件的技術也在不斷更新，對機房管理者的要求也不斷提高，只要掌握了各種軟硬件的工作原理和方法，就能靈活運用，做到管理省事，用機方便。只有把握新形勢下專業機房軟件維護的特點，不斷探索實踐，才能更好地為教學服務。
