行业信息安全风险及应对.pptVIP

感谢各位专家！ * * 目录 一、信安世纪公司介绍 二、在等级保护架构中信息安全面临问题 三、如何构建行业信息安全支撑平台 四、行业安全案例分享 五、总结 身份认证方式安全挑战 ROOT CA CA 1 CA 2 CA 3 根CA证书 USER1 USER2 用户证书 用户证书 三级CA证书 二级CA证书 二级CA证书 USER3 用户证书 行业数字证书中心 通过CA系统为每一位授权用户颁发数字证书实现用户内部可靠的网络身份识别,标识每一个访问用户的网络身份。 可靠的身份认证，保证应用系统的安全用户确实为该用户所声明的用户，防止非系统用户登录和以非自己身份用户登录。 信息安全加密 数字签名控件 应用系统 证书DN与用户信息映射应用 证书关系映射表 用户A --- DN1 用户B --- DN2 用户C --- DN3 … 证书签发管理平台 IE浏览器 RA LDAP CA KMC 签名信息 证书信息 用户信息 用户信息 证书信息 CRL 数字签名服务器： 1.验证签名信息 2.通过DN与用户关联获得用户信息 3.交易信息和签名信息存入数据库留痕 4.事后验证数据库中存储的交易和签名信息 数字签名服务器 交易信息 交易信息 签名信息 验签结果 签名 数字签名控件： 1.获得交易信息 2.调用密码接口数字签名 数据库 交易信息 签名信息 调用密码接口，在USBKey中密码运算 数字签名系统 升级 更新 参数 设置 密码 管理 报表 查询 日志 查看 统计 查询 信息校验 统计报表 审计日志 电子签章 服务器 系统管理 密钥 发放 密钥 注销 签章 制作 签章 管理 密钥管理 签章制作 统计 报表 报表 生成 打印 管理 密钥管理 审计日志 签章制作 数字签名、签章系统 数字签名及签章系统 WPS 文档 CAD 图纸 Office 文档 PDF 文档 HTML 页面 手机 签章 Tif传真 文件 签章文档格式 Office文档签字审批 PDF文档在线签章 HTML页面签字盖章 电子签章及电子签名行业应用 移动签章 统一身份认证平台 统一身份认证平台系统架构 构建行业统一身份认证平台 项目收益-构建行业统一身份认证平台 项目收益-构建行业统一身份认证平台 项目收益-构建行业统一身份认证平台 企业安全云接入平台 VM VM VM VM 云端服务器 数据安全：资讯集中监管，本地无数据 节能减排：平均每用户小于25W 易于管理：集中部署、配置、监控 灵活访问：任何地方、任何连接、任何终端 稳定可靠：资源负荷分担，自动切换 易于备份：集中设置策略，自动执行备份 传统桌面办公 安全云办公 2014年5-6月间，信安世纪参考人民银行在2013年初发布的《中国金融移动支付-客户端技术规范》，对包括中信银行、中国银行、广发银行、南京银行等国内50家银行进行的Android手机安全评估调研分析中，发现绝大多数银行都存在严重的移动安全风险，下表是部分比较集中和突出的风险。 移动安全风险及趋势 任意网络、任意设备、任意应用 LAN WIFI WLAN 2G/3G/4G 手机 平板 PC 安卓、IOS、Windows 任意应用 网络安全 终端安全 应用安全 常见的移动应用风险总述 常见的移动应用攻击手段-动态调试 进程可被调试，可轻松获取、修改例如对方账户、姓名、金额等重要交易信息。 对于移动客户端，该风险可修改客户端业务操作时的数据，比如账号、金额等。 客户端可篡改，可添加病毒代码、广告SDK；添加恶意代码窃取登录账号密码、支付密码、拦截验证码短信，修改转账目标账号、金额等等。 常见的移动应用攻击手段-信息篡改 应用安全 代码保护 本地敏感资料保护 内存关键数据安全 安全密码控件 防动态劫持攻击 通信安全 传输安全控制 通讯全程加密 身份认证 身份验证 常规安全控制 动态图像验证 第三方库及开源代码安全 客户端程序是否使用了不安全的第三方库，是否错误使用了第三方接口 移动安全服务接入重点安全场景 行业移动安全支撑平台 PC端认证 APP安全 统一用户 管理 统一用户 认证、 授权、审 计 PC端 二维码 认证 APP 双因素身 份认证 信息加 密传输 已建PKI 系统延伸 移动4A安全认证平台 (认证、授权、审计、账户管理) 移动RA APP安全保障（数字证书/动态口令认证) APP集中安全发布 终端硬件绑定 数据加密传输 PC端安全认证 通过终端实现 PC端安全认证 移动安全解决方案 如何保障移动安全 APP 服务器 APP 服务器 APP 服务器 进不来 改不掉 看不到 赖不了 数字证书/动态口令 —— 强身份认证 —— 基于实名的权限管理 数据加密/数字签名 —— 数据传输加密 —— 数据加密存储 数字签名 ——数据完整性、 —