前言：寻找写作灵感？中文期刊网用心挑选的网络证券交易安全管理思考，希望能为您的阅读和创作带来灵感，欢迎大家阅读并分享。
随着网络技术的发展，人们的生活发生了翻天覆地的变化，证券交易的形式也随之发生了改变。当今社会，网络交易已成为其最主要的交易模式。网络交易有着方便、快捷、实时性强、无须等候等优点，然而，危及网上证券交易安全的病毒、木马、钓鱼、窃取、篡改等攻击手段层出不穷。 大部分网上证券交易用户的防范意识不高，对于可能盗取用户口令的攻击手段没有任何防范能力，严重影响了整个证券交易体系的安全。在交易当中，一旦网络安全问题发生，轻则造成个人的直接经济损失，重则对行业造成毁灭性打击，甚至还会对整个社会秩序产生连锁的负面影响。因此，网络证券交易的安全性一直以来都是人们高度关注的问题。 为了保障网络证券交易的安全，科研工作者们针对这一问题展开了大量研究，获得了卓有成效的进展。迄今为止，在密码保护、身份认证、日志审计等各个方面都已形成了成熟的技术和标准；同时，也能够见到一些安全保障系统范例，例如：辽宁证券网上交易系统[1]、基于PKI技术的网上证券信息系统[2]、兴安证券网上交易系统[3]等等。然而，我们综合比较这些解决方案后发现：这些系统或多或少都存在一些不足。 这些系统或者只针对网络交易安全的某一个方面使用了某一种核心技术；或者虽然涉及到了多个保护环节，但防护力度较为分散；或者系统的扩展性不强，难以根据实际需要进行更新和改进。 证券交易行业需要的是能够保障交易安全并且具有商业价值的完善系统。 针对这一需求，我们开发了这套“基于面向服务架构（SOA）的网络证券交易安全系统”。 本系统主要有以下四大优势：在技术上，我们使用了多种先进成果相辅相成的方法，多角度全方位地保障网络交易的各个方面；在功能上，根据保护内容的不同，将系统分为客户防御、身份认证和日志审计三个主要部分，层次清晰合理；在性能指标上，我们的系统完全能够满足商业环境中大量数据并发情况下的时效性和稳定性；在系统构架上，我们根据面向服务构架（SOA）的要求，设计出了一套各模块单元之间耦合度低、便于升级和维护的系统，系统中的三个主要部分都可以作为独立的部件进行技术更新或移植到其他平台，具有较强的实用价值和商业价值。 1背景 1.1网络证券交易的安全 网络证券交易作为一种“网络交易”形式，它的安全问题与其他类型网络交易相比，有许多相似性，但也具有自身鲜明的特点。 总体来说，包括了以下几个基本的安全问题[4]： 1）保证证券交易系统运行的安全，即保证证券交易系统在信息处理和传输时的安全。这一问题主要侧重于保证系统正常稳定地运行，避免因为系统的崩溃或损坏而对系统内存贮、处理和传输的信息造成破坏和损失，同时要避免因故障而引起的信息泄露。 2）保证证券交易信息系统的安全。这包括用户身份认证和授权，用户存取权限的控制，交易行为的可追溯和抗抵抗，资金的异常阻止，二次鉴别，计算机病毒防治和数据传输加密等等。 3）保证证券交易内容的安全。这主要侧重于保证交易信息的保密性、真实性和完整性。避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为，本质上是保护用户的利益和隐私。 1.2保障网络交易安全的对策 针对网络证券交易安全问题，一个能够保障安全并投入商业使用的系统，应具有保密性、正确性和完整性、身份的确定性、不可抵赖性四个基本特点。为满足这些特点，目前系统一般采取如下几种对策[5]： 1）安装防火墙，防止黑客入侵及攻击； 2）安装防病毒软件； 3）采用身份认证和数字签名支持第三方CA认证体系，确保网上委托身份识别的安全性； 4）使用128位强加密算法和数字签名，确保委托数据的安全，防止数据在传输过程中被截获修改； 5）网上委托站点和券商交易系统相互独立，有明确的接口，访问券商交易系统的接口转换程序由券商编制，源代码由券商保管； 6）在Internet与证券公司网络的网关上采用并口隔离技术。并口通信使用的是专用协议，而不是通用的TCP/IP协议，其优越性在于既能完成正常数据交换功能，又能非常有效地隔离一切来自Internet上的对证券公司网络的攻击； 7）所有与委托有关的程序全部在券商的营业场所内运行，电信局方面只运行与行情有关的程序。 8）交易数据处理的可监控和防抵赖。 9）行情主站和委托主站自动互为备份，确保在系统和线路出现故障或大行情突然来临时，不会因并发量过大而导致通道堵塞，不影响客户的交易。 在重点分析了以上几种对策的安全性、可行性和适用性之后，我们决定同时采用上述1、2、3、4、8方案。这些方法不仅代表了计算机网络安全方面的先进技术，同时也适于系统的实现和投入商用；为了能使整体功能进一步强化，除上述方法之外，我们还增加了反逆向分析技术、拥有自主产权的SSL加密技术、基于数据挖掘的监控预警等多种技术手段，将系统的功能划分为“防盗取口令”、“防非法登录”、“预警与日志审计”三个清晰的层面，构建起可靠的“三重防护”模式；除此之外，针对用户的习惯和操作环境特点，在保障安全级别不降低的前提下，我们将一些安全策略的选择权交给用户，实现了系统的灵活性，这也是我们的一大创新。 1.3面向服务体系构架（SOA）#p#分页标题#e# 面向服务的体系结构（Service-OrientedArchitecture，缩写为SOA）是一个组件模型，它将应用程序的不同功能单元（称为服务）通过这些服务之间定义良好的接口和契约联系起来[6]。接口是采用中立的方式进行定义的，它应该独立于实现服务的硬件平台、操作系统和编程语言。这使得构建在各种这样的系统中的服务可以一种统一和通用的方式进行交互。这种体系结构，与传统的面向对象模型不同，它的各个模块之间是松耦合的。松耦合保障了各个模块之间的相对独立性，模块内部的修整对外不会造成使用的变化。 SOA具有平台无关、低耦合、可以按模块分别实施等特点，比较适合部件功能划分清晰，同时需要频繁更新的系统。对于我们所研究的证券交易安全系统来说，根据商业使用的反馈进行系统版本的升级、部件的更新是很普遍的，而且，各个部件也都可以作为独立的标准化产品推向市场，因此，采用这种设计方式是非常合理的。 以下几个小节将详细地介绍我们开发的系统。其中第3小节从整体设计出发，展示了系统的整体构架；第4小节将以系统的“身份认证”模块为例，详细介绍了这一子平台的特点；第5节系统测试，通过实验数据证明我们系统的可靠性；第6小节总结了这一系统的研究意义和经验，希望我们的工作能够为后继的研究者们提供一些参考价值，最后一部分是参考文献。 2系统构架 根据所需防护部分的不同，依照“子系统内部紧耦合，外部松耦合”的设计原则，我们将系统划分为：防盗取口令的客户端防御层，防非法登录的身份认证层，以及负责预警与日志审计的监控预警层这三个层次，又根据具体的使用需要，将各项防护技术进行进一步整合为五个子系统，分别是客户端防护子系统、安全加密子系统、身份认证子系统、集中日志管理子系统和安全预警子系统。 本系统开发遵循先进的SOA系统架构，各子系统分别为独立的功能实体，具备自我管理和恢复能力，子系统间耦合度低。各子系统包含一组粗粒度、标准化、可重用的服务接口，通过这组接口向外提供功能调用。同时各子系统包含精确定义的服务契约，保证系统的通用性、可拓展性和联合协作性。 在该架构下，子系统功能被封装起来，子系统间仅通过标准化接口进行通讯，方便系统内部维护、系统间功能的调用，以及系统的更新、升级和扩展。 从技术来讲，客户端防御层包含防木马病毒解惑键盘消息技术、基于代码混淆的反跟踪技术、基于暴力破解模型的用户冻结技术、基于搜索引擎的“钓鱼”网站识别技术和SSL加密技术。身份认证层包含硬件信息绑定认证、CA数字证书认证、动态口令认证、通讯密码认证技术。 监控预警层包含基于数据挖掘的入侵技术、上次登录IP时间回显技术、基于路由跟踪的用户IP定位技术和异常情况预警和反击。 从功能上来讲，客户端防护子系统和安全加密子系统用来对客户终端以及数据传输的安全进行保护和监控，集中日志管理子系统是对于服务端的管理和监控。 身份认证子系统是对整个系统认证过程的加强和保护，安全预警子系统起到对整个系统的预警和保护的作用。 这5个子系统分别侧重与网上交易安全的不同方面，组合后涵盖了整个网上交易过程中的所有流程。 在广度上，本系统囊括了整个交易系统部署过程中的各个方面，在深度上，每个环节采用的技术都是领先技术或行业标准。 其中“身份认证”是保证网上交易安全最为重要的环节，同时，也作为一个完整的子系统设计实例，以下我们将重点对该子系统进行描述。 3身份认证子系统 身份认证子系统用于判明和确定网上交易双方身份的真实性和合法性，是保证交易安全性的重要环节，也是网上交易盗买盗卖防范系统的中枢部分。 身份认证包括用户向系统出示自己的身份证明（通讯密码、动态口令、数字证书等）和系统通过某种认证手段查核用户身份证明的过程，用户只有通过了身份认证才能获得访问某些资源的权限。 3.1常用系统身份认证方式 目前常用的系统身份认证方式有基于口令的认证、基于数字证书的认证、基于生物特征的认证和综合认证方式。 3.1.1基于口令的认证 口令是用户和系统相互约定或者系统制定的一段代码。只要用户输入正确密码即得到身份认证。根据口令产生方式的不同可分为静态口令认证和动态口令认证。 1）静态口令认证 静态口令[7]指在某一特定的时间段内没有变化，可以反复多次使用的口令。用户进入系统时输入用户名密码，系统将其与保存的用户信息进行比较，从而判断用户身份的合法性。它的优点在于使用简单，无需任何附加设备，成本低，速度快。但它同时包含许多安全隐患，口令容易被窃取、截获和破解，对于重放攻击也毫无抵抗力。 2）动态口令认证 动态口令认证[8]是指每次进行身份认证和交易确认时输入的口令都是动态变化的，且不重复。动态口令由一种称为动态令牌的专用硬件使用密码生成芯片运行专门的密码算法。根据当前时间或者使用次数产生，且每个密码只能使用一次。 用户使用时只需要将动态令牌上显示的当前密码输入客户端计算机，即可实现身份的确认。它具备抗截获攻击能力、抗实物解剖能力和抗穷举攻击能力，避免了静态密码在传输和存储过程中可能出现的安全问题。 3.1.2数字证书认证 #p#分页标题#e# 数字证书[9]是一种能在网络上进行身份验证的电子文档；它由权威公正的第三方机构CA中心，又称为证书授权（CertificateAu-thority）中心签发；它包含用于识别通讯各方身份的一系列数据。数字证书根据存放介质的不同，分为软件证书（存放于电脑本地浏览器）和硬件证书（存放于USBKey介质中）。 用户经过证书存储介质向服务器提供用户证书，服务器端由此解析并验证用户真实身份；而服务器向客户端返回服务器证书，从而证明服务器的真实性。数字证书采用PKI(PublicKeyInfrastructure)公开密钥基础架构技术。以数字证书为核心的加密技术可以对网络传输信息进行加密和加密、数字签名和签名认证，从而确保网上传递信息的机密性和完整性。 目前存在数字证书的一种简化方式称为通讯密码。 它对静态密码采用PKI公钥体系技术和SSL协议进行加密和传输。 3.1.3生物特征认证 生理和行为特征统称为生物特征，常见的生物特征有指纹、掌纹和DNA图像等。生物特征识别技术具有不易遗忘、防伪性能好、不易伪造或被盗、随身“携带”和随时随地可用等优点，是最可靠的身份认证方式；但这种认证方式过度依赖硬件安全性，推广起来成本较高。 3.1.4综合认证方式 综合认证方式即双因素认证方式，它将之前提到的两种或两种以上身份认证要素结合成为更安全的认证方式。 常用的双因素认证技术有动态口令与静态口令相结合认证方式、静态口令与数字证书认证、静态口令与生物认证。 双因素认证技术可以提高认证的可靠性[7]。 3.2身份认证子系统设计 各个认证方式之间不仅安全级别不同，在应用场合，历史应用遗留等方面同样有很大的不同，这些不同决定了每种认证平台都有存在的必要性。 为了方便用户操作并且提高了管理人员的操作效率，本系统对一些普遍使用的认证方式进行了有效整合。 用户在进行网上交易时，可根据实际情况选择不同认证方式。 综合考虑网络证券交易本身的特点、系统安全性、用户需求、运行成本和实现复杂度等因素，本系统选择包含通讯密码、动态口令、数字证书等已有的先进认证技术，同时创新性地引入了硬件绑定认证技术。 硬件绑定的主要思想是将用户的电脑特征码或手机信息（手机号码或手机硬件信息）和用户账号绑定，并且保存在网上交易委托认证库中；用户登录时只有通过了系统对硬件信息的验证才可以进入账户。这种方式安全性比较高，但可能使用不便，特别是对一些可能会使用多台电脑的用户。 除了多种认证方式的创新与融合，本子系统还引入了信息回显，入侵检测等新的认证保护机制，并且在信息传输时使用了在充分研究分析国内外先进技术的基础上自行研发的SSL加密技术，进一步提高用户账户和认证信息传输的安全性。 网上交易客户登录时，委托服务器将用户的登录信息（包括所选择的认证方式）转发给统一安全认证服务器，随后服务器向认证数据库发送请求，查询并检测用户登录信息。 若用户采用通讯密码认证方式，则返回其加密的私钥数据；若用户采用了第三方认证方式（如动态口令认证），则返回该账户绑定的第三方认证系统识别码（如动态口令卡的硬件序列号），认证网关程序再向第三方认证系统校验用户的登录信息。 依照SOA系统架构，身份认证子系统将具体系统实现部分封装起来，通过标准化接口实现子系统间的功能调用，从而降低了与其他子系统的耦合度，方便子系统的维护和管理，同时提高系统的可拓展性。子系统定义了一系列标准化的接口协议，通讯消息采用STEP协议长连接格式。这些接口包括连接认证、安全密码认证及修改、自动开户、连接测试、各认证方式接口、IP回显信息查询等。 4系统测试 我们对实现后的系统进行了测试。在目前的实验结果中，系统单台设备平均处理能力不低于500笔/秒；单台设备峰值处理能力不低于1500笔/秒；周边应用客户端认证响应延时<200ms；系统可用性不低于99％。总体来说，取得了较好的实验效果，在安全层面上能够达到行业标准。理和维护。 软件方面比较常见的问题有：还原卡损坏或保护口令被破译造成整台电脑系统和软件被破坏；电脑系统出现崩溃导致无法开机；专业软件插件丢失或部分程序损坏不能正常运行等。 这些情况下简单地采用网络复制方法重新发射往往不能完全消除故障，正确的做法是先卸载掉还原卡，将电脑关机后重启，然后重新开启还原卡功能，重新分区格式化，最后再将样机的系统重新发射复制过去，再重新对专业软件进行安装才能彻底解决问题。 4.2专业软件的更新或升级 如果以前安装的软件不适合教学需求，或有些软件需要更新版本，或者需要安装以前没有安装的软件，则可以采用以下的步骤和办法。 如果是不需要注册机注册，安装完即可使用的软件，只要在机房内选择一台性能最佳的计算机作样机把软件安装好，再通过网络拷贝的方法，发送拷贝到所有的计算机上。 如果是安装过程比较复杂，需要单独注册或调试的软件，则需将相应的安装程序和注册机等发射复制到各台电脑的装机软件存放区，然后再进行相应的安装。 上机过程中教师有临时性的课件或作业等文件要下传给学生时，如果文件比较小，可以通过多媒体教学软件直接发送，只需要很短的时间。如果文件相对比较大，可以通过机房的文件服务器共享，由学生自己复制拷贝到计算机上。#p#分页标题#e# 5结束语 艺术专业机房软件的安装与维护对机房管理员来说，是比较繁琐的，比起硬件维护来所花的时间要多得多。以上是作者结合多年专业机房管理经验，对艺术专业机房软件安装与维护的一些心得，在实际机房维护过程中，还有其它许多安装方法和维护手段。 随着新技术、新理论的不断发展，维护计算机软件的技术也在不断更新，对机房管理者的要求也不断提高，只要掌握了各种软硬件的工作原理和方法，就能灵活运用，做到管理省事，用机方便。只有把握新形势下专业机房软件维护的特点，不断探索实践，才能更好地为教学服务。
