发信人: sokee()
整理人: majorsun(2000-10-26 13:05:13), 站内信件
|
在设计银行网上业务时，有两种思想：
1、 CLIENT+WEB SERVER+FIREWALL再接后台业务系统
2、 CLIENT+FIREWALL+WEB SERVER+GERWAY再接后台业务系统
现在问题是，网上业务一般是放在公网的，向2这种思想，如果在WEB SERVER前
接了防火墙，相当于一部分USE不能访问WEB SERVER。这样是不是对WEB方式本
身就失去了意义，不如干脆用CS模式得了？
大家的意见呢？
--
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 202.103.116.66]
发信人: majorsun (major), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易 BBS (Wed Oct 11 11:44:21 2000), 转信
安全第一，也许可以这样
client -- inet -- Web Server (服务指南服务器)
|
+- Firewall -- Web Server (前台服务)
|
Sniffer/NetSecMonitor--+--Firewall -- RSxxxx(后台服务)
如果效率不是关键问题的话，用户数据库是在后台服务区的，
前台只是转发认证请求等等
服务指南和前台服务最好分开，一个是效率问题，还有一个是安全等级不同
服务指南服务器唯一要注意的安全漏洞是前台服务器的定向不要让人给改了 :)
--
落英缤纷 拈花微笑
※ 来源:．网易 BBS bbs.netease.com．[FROM: 202.105.16.162]
发信人: sokee (1), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易虚拟社区 (Wed Oct 11 13:02:35 2000), 站内信件
【 在 majorsun (major) 的大作中提到: 】
: 安全第一，也许可以这样
: client -- inet -- Web Server (服务指南服务器)
: |
: +- Firewall -- Web Server (前台服务)
: .......
octasoft公司是这样：
BROWSE-----INTERNET（FIREWALL）-----WEB SERVER----（firewall）
|
WEB SERVER（INTRANET）
|
业务系统
其实关键是WEB放哪最为安全和容易实现。
因为WEB上肯定没DB和关键事物，只是起一个MESSAGE 转发的作用。
如果在WEB前有一FIREWALL，那FIREWALL怎么样过滤信息？
您这种方式中，服务指南服务器是不是该连DB？
--
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 61.137.60.85]
发信人: majorsun (major), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易 BBS (Wed Oct 11 14:17:40 2000), 转信
阅读服务指南的用户未必都是有实际操作账号的需要，访问流量和
前台服务器的访问量可能不是一个数量级；而且，由于
安全等级不需要很高，因此服务指南服务器上可以开不少服务，
比如抽奖游戏什么的？:)
为了更加安全，可以在服务指南服务器前面加防火墙系统。
这样的话类似万网双响炮三响炮之类的异地镜像虚拟主机方案
就不能用了。服务指南服务器和前台服务器很可能会发展成
动态平衡负载的服务器集群。
防火墙除了简单的ip过滤之外，现在的中高档产品一般都具备
防御攻击（包括饱和轰炸之类）的性能，比较昂贵点的也有一些
智能化的警报功能。
服务指南和客户数据库无关的，前台服务发请求给后台，认证之后
建立ssl一类的保密连接(当然是前台的两条连接）。
这样攻击者在利用前台服务攻击账号的同时，位于同一网段的
net security monitor和前台服务系统本身的预警程序都可以
比较高效率的工作。
而打算黑服务指南服务器的安全策略是可以利用网页比较监测
程序来简单保护的，因为我的想法是客户从服务指南服务器
上的访问页面中提供的连接访问前台服务入口的。那么防御重点就是
保证客户访问和页面内容的正确。
我在图中将前台和服务指南分开，主要是为了流量问题和安全设置
上的划分。--银行是比较有钱的 呵呵 防火墙可以买多几套
内部的intranet也有类似的问题。每个公网节点的出口路由器
后面最好也有一套防火墙，router telnet入口最好关掉。
--
落英缤纷 拈花微笑
※ 来源:．网易 BBS bbs.netease.com．[FROM: 202.105.16.162]
发信人: majorsun (major), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易 BBS (Wed Oct 11 14:28:43 2000), 转信
web上的系统还是要有流程控制部分的吧。
而且，如果是信用卡一类，还要有认证中心和与其他银行的认证过程
这个流程控制是在前台服务处实现还是交给后台实现呢？
这个与其他intranet(现在的时髦说法叫ebs? hehe)系统之间的安全
策略和实现可能也要考虑的说……
firewall过滤信息的方法比较多，基于ip的包过滤是基本的。
对于应用系统的消息，firewall处理不了，要前台系统自己解决，
比如对待暴力法破解，限定区域登录请求，指定回拨（这个现在应用
的比较少了吧，银行实现这个快成ISP了，不过内部服务器没准
还是要开这样的服务，领导在家里也可以查……）
【 在 sokee (1) 的大作中提到: 】
: 其实关键是WEB放哪最为安全和容易实现。
: 因为WEB上肯定没DB和关键事物，只是起一个MESSAGE 转发的作用。
: 如果在WEB前有一FIREWALL，那FIREWALL怎么样过滤信息？
:
: 您这种方式中，服务指南服务器是不是该连DB？
:
:
--
落英缤纷 拈花微笑
※ 来源:．网易 BBS bbs.netease.com．[FROM: 202.105.16.162]
发信人: sokee (1), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易虚拟社区 (Wed Oct 11 15:18:58 2000), 站内信件
谢谢majorsun 老兄。
目前各商业银行（一般是省级分行）在网上业务这一块都很谨慎。
他们既要考虑自身的形象和安全问题，又想以低成本获得高利润。
所以建设一个大的集群性应用，好象还不现实。
作为集成商一般建议双火防黑，客户信息DB（满足客户的个性化定制和
基本的查询）和业务DB（关键数据）分开。
CA部分人总行以建好（可以偷偷懒），交易数据去认证一下。查询的就
直接返回了（毕竟查询占总数的80%，所以在认证时不会很慢的）。
可能银行在形象工程中会选择比较简单的方案（安全等可以考虑少些）。
在应用工程中会要全面帮他们考虑。
--
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 61.137.60.85]
发信人: majorsun (major), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易 BBS (Wed Oct 11 15:51:58 2000), 转信
嗯，我们找个小黑妹去把银行的形象主机黑了？ 看谁还敢去存钱啊……
呵呵，可以用安全原则来说服银行从一开始就建立适度的安全体系的。
客户信息DB也是要严格保密的，对于信用卡伪造行业（的确是个行业……）
来说，信用卡号码和客户信息是宝藏。银行的个性化服务，我个人觉得
还是理财顾问的形式好过关注消息列表的。
顺便一提，修复口令可以用生日作为第一道检测，
但修复好的口令不显示，直接送到注册人的信箱比较好些。
国内金融的wap应用不起来，也许和个人理财的观念有关吧。
--
落英缤纷 拈花微笑
※ 来源:．网易 BBS bbs.netease.com．[FROM: 202.105.16.162]
发信人: leeyg (雷云勾), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易虚拟社区 (Wed Oct 11 16:04:31 2000), 站内信件
【 在 majorsun (major) 的大作中提到: 】
: 嗯，我们找个小黑妹去把银行的形象主机黑了？ 看谁还敢去存钱啊……
: 呵呵，可以用安全原则来说服银行从一开始就建立适度的安全体系的。
: 客户信息DB也是要严格保密的，对于信用卡伪造行业（的确是个行业……）
: 来说，信用卡号码和客户信息是宝藏。银行的个性化服务，我个人觉得
: .......
其实，国外的大银行真正用网上银行实现大额（其实对网来说，大额小
额都一样）帐务处理的几乎没有，更多地用于查询及服务指南，以及银行
手续的预处理，无它，没有人敢保证网络的安全性。
聚会那天讨论的一个问题：
银行地址为A，某黑妹在底层（如路由器或交换机）改成了B（像前一段
163出问题一样），在B上设计一个与A完全一样的登录画面（特洛伊木马）
你以为到了这个银行，录入你的ID，Password，然后.....
--
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 202.104.35.224]
发信人: majorsun (major), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易 BBS (Wed Oct 11 16:23:24 2000), 转信
目前个人理财部分，还是应用的不错的。比如说记账单，可以随时看了，呵呵，
免得刷爆卡。实际上，银行必须网络化，因为电子货币支付已经是不可避免的
大趋势。大量的查询与支付是来自商家的。不过国内……至少四年后。
改路由器比较简单，交换机好像改不了吧，但作用不大，改位于查询树顶端的
几台DNS服务器才是要命的。:)
【 在 leeyg (雷云勾) 的大作中提到: 】
: 其实，国外的大银行真正用网上银行实现大额（其实对网来说，大额小
: 额都一样）帐务处理的几乎没有，更多地用于查询及服务指南，以及银行
: 手续的预处理，无它，没有人敢保证网络的安全性。
:
: 聚会那天讨论的一个问题：
: 银行地址为A，某黑妹在底层（如路由器或交换机）改成了B（像前一段
: 163出问题一样），在B上设计一个与A完全一样的登录画面（特洛伊木马）
: 你以为到了这个银行，录入你的ID，Password，然后.....
--
落英缤纷 拈花微笑
※ 来源:．网易 BBS bbs.netease.com．[FROM: 202.105.16.162]
发信人: sokee (1), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易虚拟社区 (Wed Oct 11 16:35:05 2000), 站内信件
安全总是相对的（HACK的攻击，系统软硬件本身的安全），做应用总有风险（软
硬
件技术的更新换代，能否有收益，领导和客户的认可等）。
处理好这一对矛盾就是一个好的应用系统。
国内金融WAP的兴起不但只和个人客户有关，他和MOBIL TERMIAL，无线通讯服
务的提供者，金融机构的配合等有关。
设计时也把他们归纳为CLIENT。在WAP SERVER往后将数据整合后再往后就和WEB
SERVER
一样了。
--
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 61.137.60.85]
发信人: majorsun (major), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易 BBS (Wed Oct 11 16:44:31 2000), 转信
//nod
当成传输数据格式不同，作相应的转换接口好了。用XML?
【 在 sokee (1) 的大作中提到: 】
: 设计时也把他们归纳为CLIENT。在WAP SERVER往后将数据整合后再往后就和WEB
: SERVER
: 一样了。
--
落英缤纷 拈花微笑
※ 来源:．网易 BBS bbs.netease.com．[FROM: 202.105.16.162]
发信人: leeyg (雷云勾), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易虚拟社区 (Wed Oct 11 23:43:38 2000), 站内信件
【 在 majorsun (major) 的大作中提到: 】
: 目前个人理财部分，还是应用的不错的。比如说记账单，可以随时看了，呵呵，
: 免得刷爆卡。实际上，银行必须网络化，因为电子货币支付已经是不可避免的
: 大趋势。大量的查询与支付是来自商家的。不过国内……至少四年后。
: 改路由器比较简单，交换机好像改不了吧，但作用不大，改位于查询树顶端的
: .......
假如中美交恶，或是美国佬成心想搞垮中国金融，拥有全球顶级域名服务
器17个中的14个的美国佬，修改路由相当容易，对于像招商行这样的以
本国客户为服务对象的小银行或许影响不大，可是对于中国银行这样的
跨国银行，如果在这样的网上处理业务，纽约分行、伦敦分行等这样的
海外机构，其资金安全可想而知。（呵呵，往大处讲，这可是国家安全
啊)。
我们中国银行对大客户（仅是大客户）也提供网上银行的资金转移服务，
采用的手段是软硬相结合，既有总行发的CA证书(也是美国货），更需
要有由总行发放的变码印签硬件设施，即便如此，网上银行的处理也是
完成全个资金转移过程中的预处理和后处理，真正的帐务处理，仍然靠
的是传统操作。
美国本土的如CITY BANK等大银行，对于网上银行都非常谨慎的，其它
国家的网上银行，说不准中国的是最发达了，也不知是好事还是坏事。
但是，话又说回来，网上银行对于查询功能、银行手续的预处理及后处理、
金融产品推介、小规模的零售业务作用还是相当大的，零售业务中间的
网上帐务处理同样也存在风险，但由于零售业务的特点是交易量大，
且单笔交易的数额小，某一笔业务的风险，可以被其它业务产生的效益
补回来，因此算计算计，还是有数为的。
个人观点，以现有的Internet结构，巨额资金在网上的转移不太可能在
未来相当短的时间内大规模运用，网上的金融零售产品随着网上安全性
的提高会有一定规模的增长，但也许最终也只像亚马逊一样，赚了名声
不赚钱。
--
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 202.105.36.180]
发信人: majorsun (major), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易 BBS (Thu Oct 12 13:05:50 2000), 转信
与其他银行或者大客户的在线结算估计只有用物理专线外加一大堆噪声密码设备才行
--
落英缤纷 拈花微笑
※ 来源:．网易 BBS bbs.netease.com．[FROM: 202.105.16.162]
发信人: hlzhan (Unfair), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易虚拟社区 (Thu Oct 12 17:44:40 2000), 站内信件
【 在 leeyg (雷云勾) 的大作中提到: 】
: 【 在 majorsun (major) 的大作中提到: 】
: : 嗯，我们找个小黑妹去把银行的形象主机黑了？ 看谁还敢去存钱啊……
: : 呵呵，可以用安全原则来说服银行从一开始就建立适度的安全体系的。
: : 客户信息DB也是要严格保密的，对于信用卡伪造行业（的确是个行业……）
: .......
那样数字签名就会发生作用了，呵呵
--
我们由于聪明而变得狡猾
由于狡猾而缺乏勇气
由于缺乏勇气而萎琐
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 202.105.41.44]
发信人: majorsun (major), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易 BBS (Thu Oct 12 20:12:21 2000), 转信
还要加密信息的保密传输 核心业务室的反泄漏措施等等……
【 在 hlzhan (Unfair) 的大作中提到: 】
: 那样数字签名就会发生作用了，呵呵
--
落英缤纷 拈花微笑
※ 来源:．网易 BBS bbs.netease.com．[FROM: 202.105.16.162]
发信人: sokee (1), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易虚拟社区 (Fri Oct 13 13:58:58 2000), 站内信件
【 在 majorsun (major) 的大作中提到: 】
: //nod
: 当成传输数据格式不同，作相应的转换接口好了。用XML?
用XML肯定能行的。
不过我觉得在系统设计时自定协议也许更能把握系统的精髓。
--
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 61.137.60.85]
发信人: rampig (码农), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易虚拟社区 (Sat Oct 14 00:19:40 2000), 站内信件
【 在 sokee (1) 的大作中提到: 】
: 在设计银行网上业务时，有两种思想：
: 1、 CLIENT+WEB SERVER+FIREWALL再接后台业务系统
: 2、 CLIENT+FIREWALL+WEB SERVER+GERWAY再接后台业务系统
: 现在问题是，网上业务一般是放在公网的，向2这种思想，如果在WEB SERVER前
: .......
各位任重而道远，多多为国家着想，不要都跑了。虽然可能无人知道 :-<
--
星星知我心。
猩猩知我心。
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 202.104.82.122]
发信人: trouble (有点儿烦), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易虚拟社区 (Sun Oct 15 02:48:25 2000), 站内信件
【 在 sokee (1) 的大作中提到: 】
: 在设计银行网上业务时，有两种思想：
: 1、 CLIENT+WEB SERVER+FIREWALL再接后台业务系统
: 2、 CLIENT+FIREWALL+WEB SERVER+GERWAY再接后台业务系统
: 现在问题是，网上业务一般是放在公网的，向2这种思想，如果在WEB SERVER前
: .......
诸位考虑的挺好，我作银行网络这么多年，还没听说那家银行准备把关键业务
搬到网上实现，不过大家要注意的网上银行和电子商务对银行网络的安全性的
要求是不同的，而且各大专业银行都在建立自己独立的业务网络和办公网络
而且是闭合的。
--
+----------------------------+
|上班吧,没劲, 不上班吧,也没劲; |
|睡觉吧,没劲, 不睡觉吧,也没劲; |
|上网吧,没劲, 不上网吧,也没劲; |
+----------------------------+
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 61.140.188.90]
发信人: leeyg (雷云勾), 信区: SystemAnalysis
标 题: Re: 银行业务中的问题
发信站: 网易虚拟社区 (Sun Oct 15 13:40:04 2000), 站内信件
个人认为：
1、以目前Internet的金字塔型域名解释机制，Internet并没有安全可言，
只要愿意，塔尖的人可以控制一切。
2、Internet所用的网络协议，只要存在路由功能，控制这个设备的
国家或者个人就完全可以将网络层以上的一切安全措施架空。
网上银行如此，电子商务也如此。当你的企业借助Internet成长到可以威
协某些国家的大企业时，你的企业的命运可想而知。
关键业务不可上Internet,电子商务中的核心部分宜用较封闭的网络(或
自建网络)。
Internet原来只是用于科研的。
最早提出并支持TCP/IP协议的美国军方早已坚决反对采用TCP/IP。
任何一个需要绝对安全的网络决不应与Internet有任何的联系。
--
※ 修改:．leeyg 于 Oct 15 13:49:23 修改本文．[FROM: 202.105.36.176]
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 202.105.36.176]
|
|