搜索结果: GM/T 0074-2019, GM/T0074-2019, GMT 0074-2019, GMT0074-2019
| 标准编号 | GM/T 0074-2019 (GM/T0074-2019) | | 中文名称 | 网上银行密码应用技术要求 | | 英文名称 | Technical requirement on cryptographic application for internet banking | | 行业 | Chinese Industry Standard (推荐) | | 中标分类 | L80 | | 国际标准分类 | 35.040 | | 字数估计 | 15,143 | | 发布日期 | 2019 | | 实施日期 | 2019-07-12 | | 发布机构 | 国家密码管理局 | GM/T 0074-2019: 网上银行密码应用技术要求
GM/T 0074-2019 英文名称: Technical requirements on cryptographic application for internet banking
中华人民共和国密码行业标准
网上银行密码应用技术要求
国家密码管理局 发 布
1 范围
本标准规定了密码技术在网上银行业务中应用的相关要求,包括密码算法、密钥管理、证书管理、安
全通道、密码设备及数字签名六个方面。
本标准适用于指导网上银行业务中密码技术相关安全功能的设计、实现和使用,对于网上银行系统
中密码子系统的测试、管理可参照使用。
手机银行等系统中相关部分内容也可以参照本标准。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的,凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
5 概述
网上银行密码应用技术体系是基于密码技术建立的安全服务体系,利用密码技术支撑真实性、机密
性、完整性和抗抵赖等特性,形成对网上银行系统与业务的安全支撑,以保护其应用安全及运行安全。
以密码算法、密钥管理、数字证书、安全通道、数字签名等密码技术为基础的密码设备为网上银行业务系
统的提供了安全保障,进而支撑网上银行业务安全展开。密码应用技术对网上银行业务的支撑如图1
所示。
6 网上银行业务密码应用需求
6.1 查询业务
查询业务主要包括公共信息查询和与个人客户或企业客户的账户信息查询。
对于公共信息,可以不经过身份鉴别直接查询。对于与客户身份相关的账户信息查询,客户要先通
过身份鉴别后才能查询。网银系统与客户的通讯中应保持查询结果的机密性和完整性。
6.2 资金变动业务
客户在办理资金变动业务前必须经过身份鉴别,只有账户的真正所有者才能操作账户资金。
在资金变动类业务中,资金在个人或企业名下封闭流动的(比如投资理财、定活互转等),操作中身
份认证要求相对宽松,但像转账汇款、网上支付等资金流出的操作,每一次操作都需要进行客户身份
鉴别。
除身份鉴别外,网银系统需要保证客户操作的机密性、完整性和抗抵赖性,并保持操作记录的可审
计性。
6.3 签约业务
签约业务根据内容的不同,会有选择地使用身份鉴别方式,比如柜面实名、智能密码钥匙数字签名
等。网银系统要保证客户操作的机密性、完整性和抗抵赖性,并保持操作记录的可审计性。
6.4 其他业务
在以上三类业务之外,网银还提供一系列其他服务,比如保险业务、信用卡申请、操作员日志查询
等。根据业务内容的不同,网银系统有选择性的使用身份鉴别方式,同时要保证客户操作的机密性、完
整性和抗抵赖性,并保持记录的可审计性。
不同业务类型的安全性要求对应表如表1所示。
7 网上银行密码应用技术要求
7.1 密码功能要求
7.1.1 身份鉴别
客户在进行账户操作前(账户查询、转账等),须向系统表明身份,在资金变动类交易过程中也需要
向系统再次确认自己的身份。网上银行常用的客户身份鉴别方法包括且不限于用户名与静态密码、动
态密码(OTP令牌、短信、动态口令卡等)、智能密码钥匙、生物特征等其中的一种或多种的组合。
客户在提交身份鉴别信息登录系统时,系统要保证信息的机密性与安全性,防止第三方窃取相关信
息后冒充客户登录。
客户在交易过程中进行的身份鉴别,除要保证身份鉴别信息的机密性与安全性,还应保证身份鉴别
信息的完整性、不可抵赖性和可审计性。
为保证身份鉴别的安全性,在 GB/T 15843 的基础上应采用 GB/T 32918、GB/T 32905、
GB/T 32907或国家密码主管部门认可的密码算法。
7.1.2 数据机密性要求
客户与网银系统间交互的数据需要加密传输,以保证数据内容机密性,包括且不限于登录信息、交
易信息、签约信息以及网银系统内存储的数据等,防止客户电脑上的恶意程序或传输过程中的第三方
窥测。
为保证数据机密性,应对其进行加密处理,根据应用场景采用GB/T 32918、GB/T 32907或国家密
码主管部门认可的密码算法,其中,使用GB/T 32918时,应遵循GB/T 35275或GB/T 35276。
7.1.3 数据完整性要求
客户与网银系统间交互的数据要进行完整性校验,以防止第三方修改。需要进行完整性校验的数
据包括且不限于:客户从本地发送至网银系统的登录数据、交易申请数据以及签约数据等,网银系统发
送至客户本地的登录结果、查询结果、交易结果以及签约结果等。
为保证数据的完整性,应对其进行数字签名、杂凑或其他类似的处理,根据应用场景采用
GB/T 32918、GB/T 32905、GB/T 32907,或国 家 密 码 主 管 部 门 认 可 的 密 码 算 法,其 中,使 用
GB/T 32918时,应遵循GB/T 35275或GB/T 35276。
7.1.4 抗抵赖性要求
客户登录网银系统后进行的交易、签约等活动,要求银行和客户双方都不能抵赖:客户不能否认自
己操作的转账记录或签约记录等,银行也不能否认自身已经完成的转账、签约等各项操作。
为保证双方动作的抗抵赖性,应对活动信息进行数字签名,根据应用场景采用GB/T 32918或国家
密码主管部门认可的密码算法。
7.1.5 核验审计要求
核验审计主要包括事中核验审计与事后核验审计两方面:事中核验审计是在客户操作网银系统过
程中核验或审计客户的身份与权限是否合法,主要包括系统登录、交易中的身份认证及权限核对等;事
后核验审计是对于网银系统后台存储的交易数据,核验或审计是否正确等。
为保证核验审计的可操作性以及安全性,审计前宜对审计目标中的姓名、账号、金额等关键字段进
行加密或屏蔽。若采用加密的方式,根据实际情况应采用GB/T 32918、GB/T 32905、GB/T 32907,或
国家密码主管部门认可的密码算法。
7.2 密钥管理要求
7.2.1 概述
密码算法在网上银行的身份鉴别、通信加密、核验审计、数据机密性、数据完整性、抗抵赖以及安全
通道建立等方面发挥着重大作用,相应的密钥管理是网上银行系统运行管理的基础。
密钥管理应遵循GM/T 0054的要求。除特定场景的密钥管理应遵循相关标准外(比如证书中的
认证密钥管理应遵循GM/T 0038),用户使用的智能密码钥匙中的业务密钥以及系统管理员密钥等常
用的密钥管理要求见7.2.2~7.2.6。
7.2.2 密钥生成
密钥生成应遵循随机生成原则,所采用的随机数为密码设备产生的真随机数,应满足GB/T 32915
的要求。
密钥文档资料保存期限应不低于记录对象的生命周期。
7.2.3 密钥存储
密钥在未受保护的环境中不得以明文的方式存储。密钥的存储安全可以用安全硬件保证,也可以
用加密算法保证。
对于受知识分割或双重控制等安全机制保护的密钥,不同部分应保存在不同地点,并且不能由一个
人保管。
7.2.4 密钥使用
密钥使用应该按照密钥正确用途进行使用。例如:在进行身份鉴别、保证信息的数据完整性和抗抵
赖时使用签名密钥,在保证信息的机密性时使用加密密钥。不同用途的密钥不能混用。
7.2.5 密钥备份和恢复
设备内部的工作密钥可以在本设备的安全区域进行备份,当设备检测到工作密钥被非法更改时,设
备应对密钥进行恢复操作。密钥工作及存储的安全区域禁止提供外部访问接口,防止密钥泄露。
需要对密钥进行外部备份时,应采用安全硬件进行保护,或将密钥加密后以密文形式导出,不得以
明文方式直接导出。
7.2.6 密钥撤销与存档
失效、作废或泄漏的密钥应及时更新,原密钥可以归档但不应再使用。
7.3 证书管理要求
7.3.1 概述
网上银行业务使用的数字证书,主要指最终用户用以完成身份认证、安全通信和交易签名的数字
证书。
证书认证系统和相关的密钥管理系统建设应遵循 GM/T 0028、GM/T 0034、GM/T 0037、
GM/T 0038、GM/T 0039、GM/T 0054和GB/T 28447等相关标准要求。
证书格式应遵循 GB/T 20518和GM/T 0015。
在线证书状态服务应符合GB/T 19713。
7.3.2 证书生命周期管理
证书生命周期包括以下阶段:
a) 证书申请:网上银行客户申请证书时,银行对用户提交的申请信息及身份信息进行审核,确认
其是否完整、真实、有效;
b) 证书下载:证书下载过程中,智能密码钥匙内部生成非对称密钥对的私钥应全程受智能密码钥
匙保护;外部导入的密钥对应当加密保护,避免私钥泄露;
c) 证书更新:在证书即将到期的情况下,网上银行客户可以办理证书更新。更新证书时,应更换
密钥对,并吊销旧证书和密钥,在吊销列表中需包含旧证书序列号;
d) 证书吊销:在证书丢失、损坏等情况下,网上银行客户可以办理证书吊销。
7.4 通道安全要求
网上银行的客户端与后台系统之间,以及网上银行后台与其他第三方系统间的连接,应遵循
GM/T 0054的要求采用安全通道的方式对通讯数据进行保护。
安全通道应该使用加密算法和安全协议保护客户端与服务器之间所有的连接,保证传输数据的机
密性和完整性,例如,使用SSL/T LS、IPSEC和 WTLS协议。
采用SSL/T LS协议的安全产品应符合GM/T 0024,SSLVPN网关产品应符合GM/T 0025。
采用IPSec协议的安全产品应符合GM/T 0022,IPSecVPN网关产品应符合GM/T 0023。
7.5 密码设备要求
7.5.1 密码功能要求
网上银行系统使用的各类设备,包含以下部分或全部典型密码功能的属密码设备范畴,应满足
GM/T 0054所要求的安全等级:
a) 产生随机数:生成指定长度的随机序列;
b) 密钥生成:生成指定算法类型和长度的密钥;
c) 非对称密码运算:公钥运算、私钥运算、数字签名和签名验证;
d) 对称密码运算:单包或多包数据加密、解密;
e) 密码杂凑运算:单包或多包密码杂凑生成;
f) 消息鉴别码运算:单包或多包消息鉴别码生成、验证;
g) 证书运算:提供证书验证、证书解析等功能;
h) 密钥与证书管理:各种密钥的导入、导出、备份、恢复;公钥证书的导入、导出、备份、恢复;
i) 正确性自检:密码模块或功能正确性自动检测。
7.5.2 接口要求
智能密码钥匙设备的接口应满足GM/T 0016,服务类密码设备的接口应满足GM/T 0018,其他密
码设备服务接口应支持GM/T 0019,在使用其他规范时(如CSP、PKCS#11等),底层算法、功能等方
面的实现应遵循相关标准要求。
7.5.3 安全要求
7.5.3.1 通用要求
网上银行系统使用的密码设备,应使用获得国家密码主管部门认定型号的商用密码产品,并在使用
过程中,保证私钥和对称密钥不以明文形态出现在密码设备外。
7.5.3.2 服务端密码设备安全要求
网上银行系统使用的服务端密码设备,除了满足密码设备通用安全要求外,还应满足JR/T 0068
中服务器端安全功能要求。其中签名验签服务器应满足 GM/T 0029,服务器密码机应满足
GM/T 0030,金融数据密码机应满足GM/T 0045。
7.5.3.3 客户端密码设备安全要求
7.5.3.3.1 整体要求
客户端安全应遵循JR/T 0068要求。
7.5.3.3.2 智能密码钥匙
网上银行系统使用的智能密码钥匙密码设备,除了满足密码设备通用安全要求外,还应符合
GM/T 0027、JR/T 0068中关于智能密码钥匙的相关要求,其接口应满足GM/T 0016,处理的数据格式
应满足GM/T 0017。
智能密码钥匙工作时应当与客户端或后台建立安全通道,防止业务数据被监听或篡改。
7.5.3.3.3 动态口令终端
网上银行系统使用的动态口令终端密码设备,应满足GM/T 0021、JR/T 0068中关于OTP令牌 、
动态密码卡以及手机短信动态密码等相关要求......
|