网络金融的广域网架构优化

(一) 金融行业广域网建设的需求

(1) 业务与数据大集中以后，为广域网几乎承载了金融各项业务，同时，随着异地中心的建设需求，广域网建设需要与之相适应。

(2) 交易类型的丰富提升带宽需求，涵盖银行业印鉴、影像和微缩资料需求。

(3) 业务模式改变推动广域网络改造，如扁平化业务模式在银行业的应用。

(4) 广域网络接入模式越来越多样化，从STM-1、ATM到MSTP等，如工行、建行等。

(5) 银行全网模型应用的普及推动银行广域网架构变化。

(6) 随着异地中心的建设，广域网的接入考虑要满足未来多中心架构，为业务连续性和提升客户体验奠定基础。

(二) 银行业的广域网架构

长期以来，银行业一直以来各地分支机构模式运营，虽然现在网络银行业务量比重越来越高，但是以传统分支机构作为业务架构核心的局面仍然延续。银行的广域网架构中业务运作中的作用依然重要，因此，广域网架构的合理性和高效性是决定银行业效率的关键。

目前，银行业广域网的结构层次分成个级别，依次是总行网络、一级分行网络和二级分行网络。总行网络通过骨干路由器与广域网连接，广域网则与各一级分行相连，一级分行则由广域网与二级分行网络接驳(见图2-11)。

(三) 银行业一级分行节点网络设计

在一级分行层面，分行级网络由一级分行城域网承担，并设置灾难备份切换中心网关接口、外联网网关以及各运营商的网络接口。在运营商一端，设置上行与下行的网关，其中上行则对接总行网络，下行则可与二级分行及网点进行接驳(见图2-12)。

图2-11 银行业的广域网架构

图2-12 银行一级分行网络节点设计

(四) 二级分行节点设计

在二级分行层面，业务网络是由分行局域网管理，通过路由器与各运营商连接。各运营商则分别具有上行和下行网关接口，上接一级分行网络，下接下级支行及各网点(见图2-13)。

图2-13 银行二级分行网络节点设计

(五) 三级(支行)接入网络设计

到支行一级，实际上属于银行业的三级层面。支行在业务上属二级分行管辖，通过主用线路和备用线路与各支行、大型营业网点交叉连接，前沿营业网点还承担大量前置机如POS机、ATM等接入设备(见图2-14)。(www.xing528.com)

图2-14 三级(支行)网络节点设计

前沿窗口

基于面向服务架构(SOA)的网络证券交易安全系统

随着网络技术的发展，人们的生活发生了翻天覆地的变化，证券交易的形式也随之发生了改变。当今社会，网络交易已成为其最主要的交易模式。网络交易有着方便、快捷、实时性强、无须等候等优点，然而，危及网上证券交易安全的病毒、木马、钓鱼、窃取、篡改等攻击手段层出不穷。大部分网上证券交易用户的防范意识不高，对于可能盗取用户口令的攻击手段没有任何防范能力，严重影响整个证券交易体系的安全。在交易当中，一旦网络安全问题发生，轻则造成个人的直接经济损失，重则对行业造成毁灭性打击，甚至还会对整个社会秩序产生连锁的负面影响。因此，网络证券交易的安全性一直以来都是人们高度关注的问题。

为了保障网络证券交易的安全，科研工作者们针对这一问题展开了大量研究，获得了卓有成效的进展。迄今为止，在密码保护、身份认证、日志审计等各个方面都已形成成熟的技术和标准;同时，也能够见到一些安全保障系统范例。然而，综合比较这些解决方案后发现这些系统或多或少都存在一些不足。这些系统或者只针对网络交易安全的某一个方面使用了某一种核心技术;或者虽然涉及多个保护环节，但防护力度较为分散;或者系统的扩展性不强，难以根据实际需要进行更新和改进。证券交易行业需要的是能够保障交易安全并且具有商业价值的完善系统。针对这一需求，“基于面向服务架构(SOA)的网络证券交易安全系统”主要有以下四大优势:①在技术上，使用了多种先进成果相辅相成的方法，多角度全方位地保障网络交易的各个方面;②在功能上，根据保护内容的不同，将系统分为客户防御、身份认证和日志审计三个主要部分，层次清晰合理;③在性能指标上，系统完全能够满足商业环境中大量数据并发情况下的时效性和稳定性;④在系统构架上，根据面向服务构架(SOA)的要求，设计出了一套各模块单元之间耦合度低、便于升级和维护的系统，系统中的三个主要部分都可以作为独立的部件进行技术更新或移植到其他平台，具有较强的实用价值和商业价值。

1. 系统构架

根据所需防护部分的不同，依照“子系统内部紧耦合，外部松耦合”的设计原则，将系统划分为:防盗取口令的客户端防御层，防非法登录的身份认证层，以及负责预警与日志审计的监控预警层这三个层次。又根据具体的使用需要，将各项防护技术进行进一步整合为五个子系统，分别是客户端防护子系统、安全加密子系统、身份认证子系统、集中日志管理子系统和安全预警子系统。

本系统开发遵循先进的SOA系统架构，各子系统分别为独立的功能实体，具备自我管理和恢复能力，子系统间耦合度低。各子系统包含一组粗粒度、标准化、可重用的服务接口，通过这组接口向外提供功能调用。同时各子系统包含精确定义的服务契约，保证系统的通用性、可拓展性和联合协作性。在该架构下，子系统功能被封装起来，子系统间仅通过标准化接口进行通讯，方便系统内部维护、系统间功能的调用，以及系统的更新、升级和扩展。

从技术来讲，客户端防御层包含防木马病毒截获键盘消息技术、基于代码混淆的反跟踪技术、基于暴力破解模型的用户冻结技术、基于搜索引擎的“钓鱼”网站识别技术和SSL加密技术。身份认证层包含硬件信息绑定认证、CA数字证书认证、动态口令认证、通讯密码认证技术。监控预警层包含基于数据挖掘的入侵技术、上次登录IP时间回显技术、基于路由跟踪的用户IP定位技术和异常情况预警和反击。从功能上来讲，客户端防护子系统和安全加密子系统用来对客户终端以及数据传输的安全进行保护和监控，集中日志管理子系统是对于服务端的管理和监控。身份认证子系统是对整个系统认证过程的加强和保护，安全预警子系统起到对整个系统的预警和保护的作用。这5个子系统分别侧重于网上交易安全的不同方面，组合后涵盖了整个网上交易过程中的所有流程(见图2-15)。

图2-15 基于面向服务架构(SOA)的网络证券交易系统架构

2. 身份认证子系统

身份认证子系统用于判明和确定网上交易双方身份的真实性和合法性，是保证交易安全性的重要环节，也是网上交易盗买盗卖防范系统的中枢部分。身份认证包括用户向系统出示自己的身份证明(通讯密码、动态口令、数字证书等)和系统通过某种认证手段查核用户身份证明的过程，用户只有通过了身份认证才能获得访问某些资源的权限。

目前常用的系统身份认证方式有基于口令的认证、基于数字证书的认证、基于生物特征的认证和综合认证方式。综合考虑网络证券交易本身的特点、系统安全性、用户需求、运行成本和实现复杂度等因素，本系统选择包含通讯密码、动态口令、数字证书等已有的先进认证技术，同时创新性地引入硬件绑定认证技术。硬件绑定的主要思想是将用户的电脑特征码或手机信息(手机号码或手机硬件信息)和用户账号绑定，并且保存在网上交易委托认证库中;用户登录时只有通过系统对硬件信息的验证才可以进入账户。这种方式安全性比较高，但对一些使用多台电脑的用户造成不便。除了多种认证方式的创新与融合，本子系统还引入信息回显，入侵检测等新的认证保护机制，并且在信息传输时使用了在充分研究分析国内外先进技术的基础上自行研发的SSL加密技术，进一步提高用户账户和认证信息传输的安全性。

网上交易客户登录时，委托服务器将用户的登录信息(包括所选择的认证方式)转发给统一安全认证服务器，随后服务器向认证数据库发送请求，查询并检测用户登录信息。若用户采用通讯密码认证方式，则返回其加密的私钥数据;若用户采用了第三方认证方式(如动态口令认证)，则返回该账户绑定的第三方认证系统识别码(如动态口令卡的硬件序列号)，认证网关程序再向第三方认证系统校验用户的登录信息。

依照SOA系统架构，身份认证子系统将具体系统实现部分封装起来，通过标准化接口实现子系统间的功能调用，从而降低与其他子系统的耦合度，方便子系统的维护和管理，同时提高系统的可拓展性。子系统定义了一系列标准化的接口协议，通信消息采用STEP协议长连接格式。这些接口包括连接认证、安全密码认证及修改、自动开户、连接测试、各认证方式接口、IP回显信息查询等。

3. 系统测试

在目前的实验结果中，系统单台设备平均处理能力不低于500笔/秒;单台设备峰值处理能力不低于1500笔/秒;周边应用客户端认证响应延时＜200ms;系统可用性不低于99%。总体来说，取得了较好的实验效果，在安全层面上能够达到行业标准。

资料来源:浙江核新同花顺网络信息股份有限公司。