加密技术保银行数据安全

houzeal

加密技术由来已久，最早起源要追溯到公元前2000年。加密技术主要分为数据传输、数据存储、数据鉴别以及密钥管理四种技术。本文将从前三方面，介绍其在银行信息系统中的应用。

一、加密技术在数据传输中的应用

近年来，作为一项见效快、收益大的中间业务品种，银行代理业务发展较快，一些银行将其作为增加中间业务收入来源的重要渠道。银行在办理代理业务时，不可避免地要通过广域网与第三方企事业单位进行数据传输，这些线路大多数是由公共部门的通信公司提供。由于传输线路同时暴露给公众，容易造成数据被盗用，对数据传输加密是个非常重要的环节。要保护数据在传输过程中不被泄露，保证用户数据的机密性，必须对数据进行加密。加密后，数据以密文传输，即使被入侵者截获，由于是密文形式，也读不懂；加密后的数据也存在被破译的可能，但现行密码算法的密钥都在64位以上，解密工作并不容易，需要花费相当的资金、时间。等到破译，也许这个信息已经没有价值了。
数据加密的方法有从链路层加密、网络层加密及应用层加密。链路层加密机主要根据企业采用链路协议（Frame Relay、X.25、DDN、PSTN），采用相应类型的加密机；网络层加密由于是在网络层上，因此对链路层是透明的，与链路为何种协议无关；应用层加密主要适用于具体的加密需求，针对具体的应用进行开发。
农业银行内蒙古分行与内蒙古烟草公司开展的电子结算项目就利用了链路层和应用层的加密方法，在应用层使用标准DES算法对通讯报文进行加密后传输。首先，内蒙烟草公司发送加密后的查询、扣款等交易请求报文到农行，农行通讯机在收到报文后进行解密处理；然后向行内核心账务系统发送转账请求报文，行内核心账务系统在成功处理请求后，将交易结果发送到农行通讯机；最后由农行通讯机将加密交易结果后返回给内蒙烟草公司，烟草公司经过解密后，完成最终交易步骤。这种在应用层的加密技术比较灵活、易于升级维护，在银行系统内使用广泛。

二、加密技术在数据存储中的应用

保护数据的最佳方法是对其进行加密。而银行数据量巨大，省级分行数据量动辄以TB计算，银行目前面临的真正问题不是“我们是否应当对自己的数据进行加密”，而是“对哪些数据进行加密”、“采用哪种加密算法加密”。
以下是目前比较流行的几种存储加密方法。
1.文件级加密
文件级加密可以在主机上实现，也可以在网络附加存储（NAS）这一层以嵌入式实现。对于某些应用来讲，这种加密方法也会引起性能问题。在执行数据备份操作时，会带来某些局限性，对数据库进行备份时更是如此。特别是文件级加密导致密钥管理相当困难，从而添加了另外一层管理：需要根据文件级目录位置来识别相关密钥，并进行关联。
在文件层进行加密也有其不足的一面，由于银行所加密的数据仍然比银行可能要使用的数据多得多。如果银行关心的是无结构数据，如法律文档、项目工程文档、报表文件或其他不属于组织严密的应用数据库中的文件，那么文件层加密是一种理想的方法。如果数据在文件层被加密，当其写回存储介质时，写入的数据都是经过加密的。任何获得存储介质访问权的人都不可能找到有用的信息。对这些数据进行解密的惟一方法是使用文件层的加密/解密机制。
2.数据库级加密
当数据存储在数据库里面时，数据库级加密就能实现对数据字段进行加密。这种部署机制又称字段级加密，它是在数据库表中的字段这一级来进行加密的。对于敏感数据全部放入数据库中一个字段或者两个字段的数据而言，数据库级加密比较经济。应用最为典型的例子是客户账号密码字段，客户密码经过加密程序加密后，以密文方式存储，确保客户密码安全性。
3.介质级加密
介质级加密是一种新出现的方法，它涉及对存储设备（包括硬盘和磁带）上的静态数据进行加密。虽然介质级加密为用户和应用提供了很高的透明度，但提供的保护作用非常有限：数据在传输过程中没有经过加密；只有到达了存储设备，数据才进行加密，所以介质级加密只能防范有人窃取物理存储介质。另外，要是在异构环境使用这项技术，可能需要使用多个密钥管理应用软件，增加了密钥管理过程的复杂性，加大了数据恢复面临的风险。
4.嵌入式加密设备
嵌入式加密设备放在存储区域网（SAN）中，介于存储设备和请求加密数据的服务器之间。这种专用设备可以对通过上述设备、一路传送到存储设备的数据进行加密，保护静态数据，然后对返回到应用的数据进行解密。
嵌入式加密设备很容易安装成点对点解决方案，但扩展起来难度大、成本高。如果部署在端口数量多的环境中，或者多个站点需要加以保护，就会出现问题。这种情况下，跨分布式存储环境安装成批硬件设备所需的成本会高得惊人。此外，每个设备必须单独或者分成小批进行配置及管理，给管理增加了沉重负担。
5.应用加密
最后一种方法可能也是最安全的方法。将加密技术集成在商业应用中是加密级别的最高境界，也是最接近“端对端”加密解决方案的方法。这种技术已经在本文第一部分加密技术在数据传输中的应用最后部分进行了举例阐述。

三、加密技术在数据鉴别中的应用

在信息化历程中，身份的表示方式也经历了几次发展变化。从最初的账号方式，到出现账号＋密码的方式，以及现有的数字证书、IC卡方式。无论以哪种方式，都因为自身可泄漏、可复制、可传播的特点，导致其不能满足识别的惟一性、安全性需要。更为关键的是，传统的身份不是人与生俱来的特征，而是系统分配的信物符号。所以传统的身份识别系统只认令牌（符号）不认人。如何构建可信任的交易主体表示形式，已经成为交易系统中的基础课题。
在农业银行内蒙古分行以前的交易系统中，柜员签到认证、主管授权认证两个交易也经历了账号＋密码到IC卡的过程，柜员、主管凭自己的IC登录系统。这种方式虽然较账号＋密码方式安全，但在实际运行过程中有时会出现“飞卡”现象，即柜员需要主管授权时，主管可能违反规定将自己的IC卡直接借给柜员，由柜员自行完成授权步骤，存在很大安全隐患。因此，农业银行内蒙古分行系统目前引入了指纹签到、授权方式。
指纹作为生物特征具有独一无二性、不可抵赖性，以及自身的防伪性，成为身份标识的主流选择。有了指纹识别技术，数字化生存中的身份问题将得到彻底解决。
指纹识别在数字化生存中的另一个意义是增强了交易的安全性。人的生物特征是人的自身密码，其构造复杂。以人的指纹特征来说，一个手指的指纹特征点约在 100～120之间，每个特征点以8BIT来描述，将近1KBIT。从数据层来看，是难以复制的。由于生物特征本身不是外在的，而是内在的，难以被盗取，难以被直接复制成指模。加之现有活体识别技术，复制出的指模也是无效的。另外在交易过程中，指纹识别与传统身份识别采用的验证方法不同，指纹识别采用大数据量的相似匹配方法来验证身份，而密码采用的是相等验证方法。当密码在网络传输中被拦截后，假冒验证的成功率是100%，而生物特征信息由于每次采集的数据并不完全相同，若被拦截并进行假冒验证，系统可以判定出存在完全相同的两次数据，则有机会拒绝服务，在一定程度上提高了交易的安全性。一般认为安全与方便是对立的，然而指纹识别在数字化生存中除了保障交易安全之外，还可以使交易变得便捷。
展望未来，人类将在更多的范围内（如电子商务、数字版权、指纹通关）使用指纹识别技术。虽然曾经作为契约签名的指纹所代表的交易信任关系已不覆存在，但斗转星移，网络的出现，电子商务的需要，信息安全的危机，使其再续交易信任，缔造信赖与便捷的社会关系，当属指纹识别技术及其支持者和应用者。

babyfeir

好文章