基于令牌的口令认证系统

一、引言随着信息技术在银行业务系统中的广泛使用，系统前台操作员输入操作员号和口令图１后台根据收到的操作员号在后台数据库中查找与该操作员相对应的口令并与前台上传的口令比较后台是否返回成功码出错返回进入业务系统NY向前台返回出错码向前台返回成功码口令是否相同NY后台前台安全对于保证银行业务系统正常运行、保护资金安全的意义凸显。口令是保证银行业务系统正常运行、保护银行资金安全的关键环节，它是业务人员进入业务系统进行日常工作的惟一途径。据不完全统计，在金融系统内部犯罪案件中，有相当比例与口令的安全有关。因…     

人行哈尔滨中支有效防范风险隐患

人行哈尔滨中心支行内审处近期在对涉及会计、国库等部门业务进行的专项审计和对辖区县(市)支行的全面审计中,发现在计算机业务处理系统管理方面存在着一些带有共性的不容忽视的安全隐患问题,归纳起来有五个方面:一是口令密码设置不严密,系统操作员和管理员口令设置过于简单化和大众化;二是口令未按规定封存保管。有的口令未按月定期更换密码,有的未能将定期更改后的口令封存保管等;三是定期更换口令管理制度执行不严。有的未按规定定期更换口令,初始口令长期使用,不做变更,或者定期更换的口令重复使用以前用过的口令;四是口令管理不规范。有些部门上机操作人员统一使用一个密码,违反了有关业     

柜面系统内控防范的技术对策

一、序言 　　银行柜面系统通常指的是储蓄、会计、出纳、综合柜员等业务系统,从近年金融系统发生的案件看,多数案件是内部人员所为。因此,如何堵住柜面系统的安全漏洞,是防范金融案件发生的重要课题之一。柜面系统有如下安全问题：添加操作员的权限控制、操作员口令泄漏、数据库的数据安全、重要业务的授权控制等。过去往往采用一些行政命令,出台一些管理条例,如"添加操作员只能由所长或业务主管进行,且要具有合法性"、"口令必须定期修改"等,然而管理条例往往起不到强制约束的作用,柜台添加操作员很随意,其合法性得不到保证,部…     

会计电算化工作必须规范化

为了保证会计电算化系统的安全可靠 ,及时提供合法、真实、准确、完整的会计信息 ,会计电算化工作必须规范化。从会计数据的输入、处理到输出 ,必须有一套严格的操作管理制度 ,定期检查制度。我们在２年多的工作实践中体会到以下几点特别要落实 ,确保会计信息的准确和安全。一、定期或不定期地修改操作口令。严格对操作口令的管理 ,各操作员按口令进入会计软件 ,口令应定期或不定期地修改 ,特别是在实际工作中会出现这种情况 ,某一操作员出差 ,为了不影响工作 ,将口令告诉了系统管理员 ,回来后必须及时修改口令。二、会计凭证的审核。会计凭…     

ABS系统操作员口令管理隐患及风险防范

操作员口令是央行会计集中核算系统（ABS）高效、安全运行的一个重要环节,是确保央行资金安全的一把金钥匙。但笔者在检查过程中却发现：业务核算部门、会计监督检查部门均忽视了口令管理,导致口令形同虚设,给系统安全运行带来隐患。     

营业室岗位整合后亟待加强会计风险防范

按照《湖南省人民银行市(州)中心支行会计营业部门岗位整合推广方案》(以下简称《方案》)的要求,全省已于6月20日全面完成了营业室岗位整合工作。劳动组合的优化整合了人力资源,提高了工作效率(见下图),但由于系统更新滞后、内控制度不够完善等原因,实际运行中存在一定风险隐患,亟待引起重视并加强防范。一、营业室岗位整合后会计风险主要表现(一)部分岗位和业务流程缺乏监督,不符合内控管理要求一是网点录入员既负责接柜工作,又兼综合录入和CIS录入工作,还管理使用业务专用章,集会计凭证审查、编制、盖章、回单签发于一身,尤其是部分自制凭证的编制→盖章→签发全过程由录入员独自完成,岗位间缺乏相互监督,使风险难以有效控制。如对开户单位的转帐业务,网点录入员在无人监督的情况下直接签发回单,潜伏较大的风险隐患。二是会计主管集中保管密押卡、密钥、操作口令及操作员代码,位高权重,缺乏他人监督。三是联行主管兼综合三级别工作,在系统中既负责中心的重要空白凭证管理,又负责联行柜重要空白凭证管理,在日间可独自对系统中重要空白凭证的状态进行修改,如把当日重要空白凭证的“已使用”或“作废”状态修改为“未使用”状态,可造成凭证重复使用而不被发现,加之又...     

《中央银行会计核算系统》5.0版升级后的操作变化与对策

日前,《中央银行会计核算系统》进行了5.0版本的程序升级。升级后的新版本主要对各级别操作员的操作权限进行了严格控制,加强了操作员口令管理的合理性,增加操作员强制签退功能及日志的记录内容,并对日志功能进行完善,使会计核算系统更加安全、严密、科学,进一步加强了会计内控管理,有效地防范资金风险隐患。结合人民银行具体的业务操作实际,针对新版本操作界面及功能的变     

建立 UNIX关机用户有新招

当前，对于使用UNIX系统的营业网点，在技术管理上一般是系统管理员上收root特权用户口令，设立一个关机用户给普通操作员使用，来实现操作系统的关机管理。由于普通用户一般不能执行关机命令，在建立关机用户上一般是按照以下步骤来实现的：     

规范国库电算化管理的建议

《国库会计核算系统（2．0版）》（以下称TBS2．0）的推广应用，国库内部往来开通及大额支付系统的上线。标志着国库会计电算化工作上了一个新的台阶。但在实际运行中存在一些问题。（1）操作员口令基本公开化。国库会计核算人员口令在操作人员之间相互告知，同时，还有一人身兼数职的现象。违反了国库会计制度规定。     

口令安全

用户的口令是对系统安全的最大安全威胁。为什么这样说呢?因为用户不像系统管理员对系统安全要求那样严格,他们对系统的要求是简单易用。而简单和安全是互相矛盾的两个因素,简单就不安全,安全就不简单。简单的密码是暴露自己隐私最危险的途径,是对自己邮件服务器上的他人利益的不负责任,是对系统安全最严重的威胁。 下面将分三部分介绍口令安全。 安全与不安全的口令 首先应当明确在目前的普通机器上投有绝对安全的口令,因为目前UNIX工作站或服务器口令密码都是用8位(有的新系统是用13位)DES算法进行加密的,即有效密码只有前8位,超过8位的密码就没用了(这是DES算法决定的),昕以一味靠密码的长度是不可以的。而且DES加密算法已经可以被人很快破译。 因为设置密码的是人而不是机器,所以就存在安全的口令和不安全的口令。安全的口令真的可以让机器算5000年,不安全的口令只需要一次就能猜出。 安全的口令有以下特点： (1)位数>6位。 (2)大小写字母混合。如果用一个大写字母,既不要放在开头,也不要放在结尾。 (3)如果你记得住的话,可以把数字无序的加在字母中。 (4)系统用户一定用8位口令,而且有～！@#$％^&*<>?：”{}等符号。 不安全的口令则有如下几种情况： (1)使用用户名(帐号)作为口令。尽管这种方法在便于记忆上有着相当的优势,可是在安全上几乎是不堪一击。几乎所有以破解口令为手段的黑客软件,都首先会将用户名作为口令的突破口,而破解这种口令几乎不需要时间。在一个用户数超过一千的电脑网络中,一般可以找到10至20个这样的用户。 (2)使用用户名(帐号)的变换形式作为口令。将用户名颠倒或者加前后缀作为口令,既容易记忆又可以防止许多黑客软件。不错,对于这种方法的确是有相当一部分黑客软件无用武之地,不过那只是一些初级的软件。比如说著名的黑客软件John,如果你的用户名是fool．那么它在尝试使用fool作为口令之后,还会试着使用诸如fool123、fool1、loof、loof123、lofo等作为口令,只要是你想得到的变换办法,John也会想得到,它破解这种口令,几乎也不需要时间。 (3)使用自己或者亲友的生日作为口令。 这种口令有着很大的欺骗性,因为这样往往可以得到一个6位或者8位的口令,但实际上可能的表达方式只有100×12×31=37200种,即使再考虑到年月日三者共有六种排列顺序,一共也只有37200×6=223200种。 (4)使用常用的英文单词作为口令。这种方法比前几种方法要安全一些。如果你选用的单词是十分偏僻的,那么黑客软件就可能无能为力了。不过黑客多有一个很大的字典库,一般包含10万～20万的英文单词以及相应的组合,如果你不是研究英语的专家,那么你选择的英文单词恐怕十之八九可以在黑客的字典库中找到。如果是那样的话,以20万单词的字典库计算,再考虑到一些DES(数据加密算法)的加密运算,每秒1800个的搜索速度也不过只需要110秒。 (5)使用5位或5位以下的字符作为口令。从理论上来说,一个系统包括大小写、控制符等可以作为口令的一共有95个,5位就是7737809375种可能性,使用P200破解虽说要多花些时间,最多也只需53个小时,可见5位的口令是很不可靠的,而6位口令也不过将破解的时间延长到一周左右。 实际上UNIX的口令设计是十分完善的,一般用户是不可能把自己的密码改成用户名、小于4位或简单的英文单词。这是UNIX系统默认的安全模式,是除了系统管理员(超级用户)以外不可以改变的。因此只要改过口令,应该说口令一般是安全的。重要的是一定要改口令,这应该是用户上网的第一件事。 对于系统管理员的口令即使是8位带～!@#$％^&*的也不代表是很安全的,安全的口令应当是每月更换的带～！@#％^...的口令。而且如果一个管理员管理多台机器,请不要将每台机器的密码设成一样的,防止黑客攻破一台机器后就可攻击所有机器。获得主机口令的方法 口令被盗也就是用户在这台机器上的一切信息将全部丧失,并且危及他人信息安全,计算机只认口令不认人。最常见的是电子邮件被非法截获,上网时被盗用。而且黑客可以利用一般用户用不到的功能给主机带来更大的破坏。例如利用主机和Internet连接高带宽的特点出国下载大型软件,然后在从国内主机下载;利用系统管理员给用户开的shell和UNIX系统的本身技术漏洞获得超级用户的权利;进入其他用户目录拷贝用户信息。 获得主机口令的途径有两个： 1．利用技术漏洞。如缓冲区溢出,Sendmail漏洞,Sun的ftpd漏洞,Ultrix的fingerd,AIX的rlogin等等。 2．利用管理漏洞。如root身份运行httpd,建立shadow的备份但是忘记更改其属性,用电子邮件寄送密码等等。 如何对付口令攻击 目前的情况下系统管理员还不能依靠用户自觉保证口令的安全,管理员应当经常运用口令破解工具对自己机器上的用户口令进行检查,发现如在不安全之列的口令应当立即通知用户修改口令。邮件服务器不应该给用户进shell的权利,新加用户时直接将其shell指向／bin／passwd。对能进shell的用户更要小心保护其口令,一个能进shell的用户等于半个超级用户。保护好／etc／passwd和／etc／shadow当然是首要的事情。 不应该将口令以明码的形式放在任何地方,系统管理员口令不应该很多人都知道。 另外,还应从技术上保密,最好不要让root远程登录,少用Telnet或安装SSL加密Telnet信息。另外保护用户名也是很重要的事情。登录一台机器需要知道两个部分——用户名和口令。如果要攻击的机器用户名都需要猜测,可以说攻破这台机器是不可能的。     

央行县级支行计算机安全管理探讨

正一、基层央行计算机信息安全系统现状(一)信息安全意识不足。一方面对计算机信息安全认识不到位,往往片面认为计算机信息安全是计算机管理员一个人的事,操作员不会给信息安全带来威胁,在使用计算机的过程中没有安全意识,没有形成全行上下齐抓共管的局面。另一方面,基层计算机操作员安全知识匮乏,使信息安全工作无从抓起。(二)组织机构建设流于形式。基层央行普遍建立了计算机安全领导小组,但是在实际工作中,没有充分     

JS—1型金匙卡身份鉴别系统简介

JS－ 1型金匙卡身份鉴别系统主要用于软件和数据安全方面。目前 ,我国金融系统计算机普遍采用 Unix操作系统 ,该系统的安全性要优于 DOS和 Windows操作系统。 Unix操作系统的登录本身是非常安全的 ,但由于工作中存在着很多隐患 (口令被盗或破译等 ),使得金融系统的计算机犯罪率频繁发生。 JS－ 1型金匙卡身份鉴别系统从计算机应用的第一个环节登录入手 ,比较好地解决了用户名和口令的加密保护问题 ,从技术上保证了操作员必须以真实身份登录 ,对上机人员起到了很好的管理控制作用 ,发生案件后便于侦破及分清责任。 1.系统的特点和安全…     

基层国库TCBS系统风险及对策探讨

正2013年7月国库TCBS新系统的正式上线运行,实现了国库会计数据的集中化处理和信息共享,但同时我们也发现系统带来的新风险不可忽视。一、系统风险(一)系统管理参数不完善。一是TCBS系统不能打印系统维护员与会计主管操作员清单,使操作与维护参数不能得到实时的反映与监督。二是TCBS系统操作员日志上未显示人员登录、退出系统的记录,无法判断操作员是否在中午休息时段未签退或超时未签退等情况。(二)数据交换方式存在漏洞。一是TCBS系统日志不具备打印功能,只能导出系统日志电子版,而该电     

Sco unix系统应用二例

案例一:忘记超级用户口令时的处理办法 Unix系统超级用户的密码是很重要的,大多数的unix系统都可以利用某种办法删除超级用户的口令,然而对于某些unix系统来说,却不得不重新安装操作系统。对于不同的unix系统来说,删除超级用户口令的办法稍有不同,但是总的思想是一致的,就是利用紧急启动软盘启动系统,然后安装(mount)硬盘上的文件系统并修改记录超级用户口     

金融领域UNIX网络系统的安全管理策略

1.UNIX系统的基本安全机制(1)用户帐号用户帐号就是用户在UNIX系统上的合法身份标志，其最简单的形式是用户名/口令。在UNIX系统内部，与用户名/口令有关的信息存储在/etc/passwd文件中，一旦当非法用户获得passwd文件时，虽然口令是被加密的密文，但如果口令的安全强度不高，非法用户即可采用“字典攻击”的方法枚举到用户口令，特别是当网络系统有某一入口时，获取passwd文件就非常容易。(2)文件系统权限UNIX文件系统的安全主要是通过设置文件的权限来实现的。每一个UNIX文件和目录都有18种不同的权限，这些权限大体可分为3类，即…     

综合网业务系统辅助功能设计

我行综合网业务系统数据集中改造后,全行柜面系统采用统一的运行环境。为减轻各分支行技术人员的维护劳动量,根据系统的业务需求,整合网点需要的常用功能,设计编写辅助业务管理。这样,网点操作员遇到一般的故障可以不需要超级用户的口令,不求援于分支行的技术人员,即可进行简单的维护工作。     

工商银行新推电子银行口令卡

近日，工商银行正式推出保障电子银行安全的新产品——电子银行口令卡。这种口令卡相当于一种动态的电子银行密码。口令卡上以矩阵的形式印有若干字符串，客户在使用电子银行（包括网上银行或电话银行）进行对外转账、B2C购物、缴费等支付交易时，电子银行系统会随机给出一组口令卡坐标，客户根据坐标从卡片中找到口令组合并输入电子银行系统。只有口令组合输入正确时，客户才能完成相关交易。     

UNIX系统root口令的恢复

Root作为UNIX系统的超级用户,在管理和维护系统方面有着最大的权限,它的口令管理是系统管理员的重要工作之一。一旦root口令泄露,整个系统将门户洞开,不再有任何安全性可言。因此好的系统管理员不仅使用难于记忆和猜破的root口令,而且还经常改变口令。但如果使用中一时忘记     

巧用shell批量维护Unix系统

由于Unix是一个支持多用户、多任务的交互式系统,具有很好的灵活性和可移植性,且支持网络功能,因此Unix在很多部门得到了广泛应用。在Unix系统运行过程中,经常要统一更换应用程序和维护系统。在一定的时间内对大批量的远程主机进行维护,操作起来非常麻烦。笔者利用Unix系统的网络功能,用shell编写了一组小程序,在局域网内可批量、无干预发送文件到远程主机并更换程序,及时对远程主机进行维护。1.批量发送程序功能:批量、无干预发送程序到远程主机。(1)把所有需要同时维护的远程主机的用户口令修改为同一个口令,如jhfdtpoi。(2)对自己所使…     

改进中央银行会计集中核算系统风险防范功能的建议

(一)严格按会计制度规定要求设置岗位,杜绝一手清现象。对三级操作员可独立完成的事项增设复核功能,杜绝“一手清“的行为,以强化风险防范措施。使会计基础工作尽量少出差错,达到进一步提高会计核算质量的目的。在系统中增加联行查询查复业务复核功能,为二级操作员增加编写查询查复书的功能,为会计主管增加审批、发送功能,确保联行资金安全。