压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

中國民生銀行是中國第一家主要由民營企業(yè)發(fā)起設立的全國性股份制商業(yè)銀行。成立 23 年來，擁有分支機構 2800 家，員工超 5.8 萬人。分支網(wǎng)點眾多，人員組成復雜，業(yè)務系統(tǒng)多樣是銀行業(yè)的典型特點，民生銀行也不例外。

之前，網(wǎng)上銀行業(yè)務的安全大多依賴基于數(shù)字證書的 PC 端安全解決方案。近年，隨著手機銀行業(yè)務的快速發(fā)展，“用戶名+口令+短信驗證碼” 的身份認證方式被廣泛應用。傳統(tǒng)基于數(shù)字證書的安全方案雖然成熟，但無法有效應對諸如偽基站釣魚短信、短信劫持木馬等移動設備側(cè)帶來的安全威脅。

基于對經(jīng)典白盒密碼算法改進，以及設備指紋服務 (DFS)、終端安全環(huán)境 (SEE) 等技術的引入，民生銀行與芯盾時代的合作從 2017 年的 “密盾” 項目開始，迄今已在多個應用場景進行項目合作。

安全牛在近期，就密盾、持續(xù)自適應認證 (ECP) 項目的概況，采訪了中國民生銀行信息科技部安全運營中心負責人虞剛，并結合案例相關的產(chǎn)品技術內(nèi)容，將民生銀行對業(yè)務安全理解和實踐整理如下。

一、密盾的三大應用場景

2016 年 7 月，中國人民銀行發(fā)布的《中國人民銀行關于進一步加強銀行卡風險管理的通知》中明確要求各商業(yè)銀行、支付機構、卡清算機構，從強化客戶端軟件安全管理、加強業(yè)務開通身份認證安全管理、提升支付交易安全強度、加強互聯(lián)網(wǎng)交易風險監(jiān)控、加大支付風險聯(lián)動防控力度五方面，加大對銀行卡互聯(lián)網(wǎng)交易的風險防控力度。

中國民生銀行在上述方面的具體實踐，就是密盾項目。

密盾項目有三個主要應用場景，分別是手機銀行、內(nèi)部員工的統(tǒng)一認證，以及柜面終端的身份認證。

• 手機銀行

移動互聯(lián)網(wǎng)、移動支付的流行，手機銀行也開始承載著諸如轉(zhuǎn)賬、開卡等多種業(yè)務。特別是每天總額低于 20 萬的轉(zhuǎn)賬，虞剛介紹，是民生銀行重要的高頻交易場景（可覆蓋近一半的轉(zhuǎn)賬需求）。如何有效、盡可能低成本、且最小化對用戶體驗產(chǎn)生影響的確認身份，并保障其不被濫用，是民生銀行身份安全工作的關鍵。

之前，手機銀行對用戶身份的認證主要采用短信驗證碼的方式。這本質(zhì)是認證交易請求和預留手機號（機主）的匹配關系。作為銀行不可控的智能終端，短信驗證碼在用戶的接收和提交過程中可能面臨多種威脅，例如短信監(jiān)聽、手機被惡意軟件劫持、仿冒 app、偽基站釣魚短信等。如果僅以短信驗證碼作為單一驗證方式，無疑用戶會暴露在諸多風險中。而根據(jù)用戶和交易情況（如交易額度），增加預設的認證方式（額度過大的需要硬件密鑰），又會讓安全工作不得不平衡和用戶體驗的矛盾，讓一方做出妥協(xié)。

對于民生銀行的手機銀行而言，密盾的核心價值在于可以通過一次混合多種認證方式的強認證，實現(xiàn)用戶身份與智能手機長期有效的強綁定。同時，基于優(yōu)化后的白盒加密算法，保障交易通信的安全性。這不僅規(guī)避了依賴短信驗證碼單一認證方式所帶來的風險，通過保障認證環(huán)節(jié)將交易風控前置；此外還節(jié)省了民生銀行短信流量成本，保證了用戶在手機銀行后續(xù)交易的體驗。

手機銀行是銀行重要的 to C 場景，與之相對應的是銀行對內(nèi)部員工認證管理需求。

• 內(nèi)部員工的統(tǒng)一認證管理

據(jù)了解，民生銀行內(nèi)部員工的身份管理從 2013 年就已經(jīng)開始做，總行-支行-部門,從上至下。但作為員工總數(shù)已經(jīng)超 5.8 萬人的企業(yè)，無論是用于辦公系統(tǒng)登錄的虛擬身份還是諸如門禁等具體實體體現(xiàn)的物理身份，這樣龐大繁雜的身份體系，都需要一個統(tǒng)一、支持多種方式、同樣安全效果的身份認證管理能力作為支撐。這也是密盾項目的重要初衷和目標之一。

2013 年，對應的還有民生銀行內(nèi)部的統(tǒng)一安保平臺。但當時，據(jù)虞剛回憶，無論是加密還是認證，都是較為分散的，并不方便管理；技術層面也較為單一，并沒有顧及到實際體驗；同時，身份、行為等數(shù)據(jù)在設計之初也都沒有做好收集、利用的準備。

2017 年開始合作的密盾項目，是 2018 年民生銀行安保平臺 2.0 的伏筆，也是重要能力支撐。

在密盾 APP 上線前，行內(nèi)員工的身份認證主要采用靜態(tài)口令、短信驗證、一次性口令 (OTP) 等方式。安全性，體驗，還有成本，每種認證方式都有難以忽視的短板。

據(jù)虞剛介紹，與手機銀行類似，密盾 APP 也是通過初始化的強認證方式，將員工 OA 的登錄憑證、終端設備（手機）等信息綁定。并基于白盒加密，將員工手機轉(zhuǎn)換為安全的身份認證工具，保證認證設備的合法性和唯一性。密盾 APP 的另一重要價值就是對多種認證方式的支持，例如動態(tài)口令、掃碼、人臉、指紋、正在實施的聲紋等，這保證了員工在認證過程中便捷、幾乎無感知的體驗。但是，密盾 APP 只是認證優(yōu)化的第一道門檻，實現(xiàn)動態(tài)、持續(xù)自適應的認證，正是安保平臺 2.0 的重要目標。

除了員工外，內(nèi)部的身份認證還包括柜面終端的安全。這個角度經(jīng)常會被忽視。

• 柜面終端的安全管理

民生銀行在柜面終端的安全上，之前主要是基于硬件的終端加密模塊，對包含敏感信息的通信內(nèi)容進行加密。特定的硬件通信設備，也從側(cè)面實現(xiàn)了身份的唯一性。但是，既然是硬件設備，而且又是每臺柜面機必備，所以在日常運維、業(yè)務開拓會伴隨大量的安全硬件開支。數(shù)千臺的柜面終端，就是近千萬的開銷。各分行在密盾項目實施前，都面臨設備老舊、替代成本高等困難。

此外，加密硬件模塊更多的實現(xiàn)通信安全，以及終端設備的認證，而無法認證使用者，即對內(nèi)部人員的違規(guī)使用和欺詐行為，無論是防范還是追查，都較為吃力。

利用密盾項目中增強的白盒加密技術，通過在系統(tǒng)層構建柜面終端安全、可信的執(zhí)行環(huán)境，民生銀行逐步實現(xiàn)了加密硬件模塊的替換。這不僅可以實現(xiàn)同樣效力的通信安全，而且大幅節(jié)約了硬件安全模塊采購、更新以及運維成本。同時，結合設備指紋技術和密盾APP對員工多種身份認證方式的支持，確保了柜面終端和使用者身份的合法性，實現(xiàn)降本增效。

二、關鍵能力：白盒加密與設備指紋

從技術能力角度來看，民生銀行和芯盾時代在密盾項目的合作，純軟件實現(xiàn)的白盒加密技術，以及設備指紋技術，是密盾能力構建的關鍵。

首先介紹下白盒密碼算法。

簡單概括，相對于黑盒加密，白盒加密的優(yōu)勢在于，即使加密過程完全對攻擊者可見，攻擊者也無法重現(xiàn)運算過程中的密鑰。

加密算法的重要意義在于保護通信密鑰（通過設備指紋產(chǎn)生）存儲和運算過程的安全性。在安全狀況未知的個人移動端設備上，加密算法的安全性至關重要。

密盾項目所采用的白盒算法，是通過查表運算代替數(shù)學運算來表達密鑰參與的運算過程，并獲得運算結果，借此來隱藏密鑰。由于計算過程中只進行二進制數(shù)據(jù)查找，內(nèi)存中不出現(xiàn)原始密鑰、密碼算法，所以內(nèi)存窺探、靜態(tài)分析等均無法獲取原始密鑰和密碼算法的細節(jié)。

此外，此次密盾項目的合作還從非靜態(tài)隨機生成（對生成規(guī)則隨機化處理，使對查找表攻擊不可行）、非線性隨機查找（單一終端破解不會影響其它白盒）、可證明的算法安全性（使用 AES 算法）、配合相關機制（設備指紋、大數(shù)據(jù)分析、終端安全執(zhí)行環(huán)境）這四方面對經(jīng)典的白盒算法能力進行了增強，通過系統(tǒng)層的集成，增強安全性。此外，軟件實現(xiàn)的特性，相較于依賴硬件密鑰的方法，更能滿足對邊界、易用和成本的要求。

白盒密碼保證對篡改、逆向等攻擊有更強的抵抗能力，設備指紋技術則幫助確保設備的唯一性。

白盒算法所保護的通信密鑰，是基于設備指紋技術，結合 SIM 卡、APP、時間、生物信息等多種因素生成用戶唯一的數(shù)字憑證。密鑰的生成、更新、失效都與之相關。同時，每臺設備生成密鑰的算法機制是不一樣的，這樣就在防止破譯上增加了保障。

與常規(guī)僅采集系統(tǒng)表面的特征值（如 IMEI、IMSA、 MAC 地址等）不同，密盾所采用的設備指紋技術，是通過手機內(nèi)核層和驅(qū)動層特征，采集終端更加完整且無法通過操作系統(tǒng)層偽造的信息，并結合相似度模型，為設備生成確保唯一性的設備指紋 ID，抑制沖突率和漂移率。同時，通過對終端機型、操作系統(tǒng)等環(huán)境的適配，在極端條件下（如修改器改串號、系統(tǒng)升級、刷機等），設備指紋技術仍能保證識別的穩(wěn)定性，基于海量設備信息庫和深度學習找出真實設備的參數(shù)信息，進而快速識別仿冒行為。

三、“持續(xù)自適應認證”是后續(xù)方向

如果說密盾項目是民生銀行在身份認證領域的能力載體，那么 2.0 版的安保平臺則將其囊括其中，并提供了更多底層能力的支撐。

作為民生銀行信息科技近三年規(guī)劃內(nèi)容一部分，安保平臺 2.0 擔負著重要角色。更強的可擴展性，更高的性能，應用行內(nèi)自研的分布式架構……這些自不必說；對原來相對分散的系統(tǒng)、數(shù)據(jù)，也會有更多的體系化、規(guī)范化管理。這不僅包括安全供應商基于 2.0 安保平臺的二次開發(fā)和一體化運營，還包括更多安全數(shù)據(jù)的收集、分析和利用，甚至融合到業(yè)務層面。

如何實現(xiàn)員工和客戶的統(tǒng)一身份認證并提供一致的安全保障，更好的實現(xiàn) “智能化” 目標——挖掘數(shù)據(jù)的關聯(lián)性并自適應地選擇認證方式，是安保平臺 2.0 在身份這個領域要解決的核心問題。

理想情況，是要確保用戶線上線下的身份體驗要一致；內(nèi)部員工，無論是機構出入還是系統(tǒng)登錄，要實現(xiàn)一個工具全行通用。這不僅需要第三方供應商的支持，銀行內(nèi)部的疏通工作也很重要。

密盾項目也基于安保平臺 2.0 的目標，在 2018 年進行了優(yōu)化，包括對更多認證方式的支持、集成工會系統(tǒng)多種功能、擴展了其它系統(tǒng)對密盾調(diào)用的接口等等。

此外，對于 CARTA（持續(xù)自適應風險與信任評估）和 UEBA（用戶與實體行為分析）的應用，也是民生銀行后續(xù)關注的焦點。之前的認證策略雖然也是梯度設置，但民生銀行認為仍不夠人性化。借助 2.0 安保平臺可以提供更多用于分析的用戶和行為數(shù)據(jù)，以UEBA和大數(shù)據(jù)分析技術為基礎，通過機器學習引擎生成判斷規(guī)則，并根據(jù)不同的綜合風險值，自適應的選擇認證方式，在不影響應用體驗的同時，從身份認證角度進行持續(xù)、動態(tài)的內(nèi)控。

據(jù)了解，相關平臺產(chǎn)品已在民生銀行內(nèi)部進入測試階段。持續(xù)自適應認證，無論從認證體驗，還是安全工作的效率、效果和成本角度，都不失為一個值得嘗試的方向。后續(xù)，虞剛表示，結合內(nèi)部的實踐成果，持續(xù)自適應認證能力也可以逐漸從業(yè)務安全角度向員工和客戶開放。

密盾項目是民生銀行在身份認證領域和芯盾時代合作成果的具體體現(xiàn)，也是其對白盒加密、設備指紋等技術的重要應用思路。真正能夠落地的實踐，是不能僅從技術思維來考慮的。從服務內(nèi)控的甲方視角來看，可以明顯感受到，民生銀行在技術路線選擇時，著重在安全性、體驗、成本間尋求共贏的平衡，同時仍要和行內(nèi)信息安全規(guī)劃的大方向保持一致。這不僅需要從架構高度，從上至下對系統(tǒng)、技術實現(xiàn)有充分理解和認識，還需要協(xié)同供應商、內(nèi)部相關部門的密切配合。這些都是難能可貴的。做好身份認證對于銀行客戶而言，對內(nèi)可以實現(xiàn)更加細粒度的安全管控，對外可以將欺詐風控前置，對欺詐交易的判定也是一個重要維度的補充。后續(xù)結合 CARTA、UEBA 等技術，認證方式也可以更加靈活。