密码学在银行安全系统的应用

杨卫卫，刘功朝，张帮振

随着科技的发展，计算机技术和网络技术在银行的应用越来越广泛，使银行的数据更加集中，提高了银行的处理决策水平，在为客户提高更优质、更便捷、更丰富的服务同时，也带来了一定的数据集中风险，同时银行的计算机网络系统已成为黑客侵犯的对象和渠道，不仅影响了网络稳定运行和用户的正常使用，造成重大经济损失，而且还会威胁到国家金融安全。所以，银行需要自身建立一个多层次、多功能、全方位、立体化的安全防御体系。

在银行安全系统中，数据加密是最基础的安全防卫措施，能够有效的保护数据、文件、信息。根据实际需求，构建银行数据加密系统实现网络通讯保密是银行安全的主要措施。而数据的加密方式应用了密码学范畴。密码学是一门古老的学科，已有4 000 多年历史，可分为传统密码学和现代密码学。目前银行应用比较广泛的是现代密码学中的对称密钥算法和非对称密钥算法。

1 密码学分类

1.1 传统密码学

传统密码学根据加密的方式可以分为替代密码和换位密码两类。替代密码顾名思义就是使用一个字符去替代另一个字符，主要有以下几类：简单替代密码（明文和密码相互对应）、多明码替代密码（一个明文可以用多个密码替代）、多字母替代密码（字符块被成组加密）、多表替代密码（有多个简单替代密码组成）。例如，最古老的一种密码是凯撒密码，在这种方法中，a 换成D，b 换成E，c 换成F…，z 换成C。于是attack 就变成了DWWDFN。换位密码是根据一定的规则，将明文的顺序打乱，重新组合。

1.2 现代密码学

现代密码学根据密钥的不同可以分为两类，对称密钥算法和非对称密钥算法。对称密钥加密算法始于1977 年美国国家标准局正式公布实施的美国数据加密标准DES。对称密钥算法可以分为序列算法（一次对单个明文加密）和分组算法（一次对一组明文加密）。对称密钥算法在加密过程解密过程使用同样的密钥。如图1 所示，在整个加解密之前，发送者和接收者需约定好加解密密钥。发送者使用双方约定好的密钥对数据进行加密，然后将密文发送到接受者，接受者再使用相同的密钥进行解密操作。由于使用的密钥相同，比较简便高效，加解密过程简单。若选取的密钥长度足够，则很难破解。但是通信双方需要在通信前交换密钥，不能提供认证和抗抵赖的功能。主要包括三重3DES、IDEA、RC5、RC6、AES、SSF33、SCB2 等算法。

图1 对称密钥算法加密过程

1976 年，Hellman 为解决密钥管理问题，研究出全新的密钥交换协议，该协议以数学理论为基础，可以保证发送方和接收方在不安全的媒介上达成安全一致的密钥，从而保证数据加密的安全性。这篇文章引导了整个密码学历史上最大的而且也许是惟一真正的革命。非对称密钥算法建立在大素数不可分解质因数的数学理论上，有别于传统密码学。非对称密钥算法由于使用两个不同的密钥，所以它的密码是非对称的。两个密钥对于保密通信、密钥分配和鉴别等领域都有着深远的影响。在加密过程之前，接受者将自己的公钥交给发送者。在加密过程中，发送者使用收到的公钥对明文进行加密，接受者收到密文后使用己方私钥进行解密，如图2 所示。在加解密过程中，通信双方可以随时通信，有很好的密钥分发功能，能提供保密性、完整性、真实性、不可否认性，但是加解密速度慢。常见的非对称密钥算法主要有RSA、ECC、EI、DSA、Knapsack 等算法。目前在银行应用比较广泛的有数字信封、数字签名、密钥分发等。

图2 非对称密钥算法加密过程

2 非对称密钥加密算法在银行安全系统的应用

2.1 数字信封

对称密钥算法具有运算快，但是密钥的分发、统一管理比较困难，相比之下，非对称密码算法则克服了这类缺点，但运算速度较慢，所以经常需要将二者结合。

数字信封将私钥密码算法和公钥密码算法有效的结合使用。如图3 所示，在加密的过程中，发送方会产生一个随机的对称密钥来对数据进行加密，产生信息密文，然后在使用接收方的公钥对随机的对称密钥加密，产生数字信封，将信息密文和数字信封一同传送到接收方。接收方使用自身的私钥对数字信封进行解密，得到对称密钥，在使用对称密钥对信息密文进行解密。

数字信封完美的结合了对称密钥算法和非对称密钥算法的特点，发挥了各自的优点。数字信封既发挥了对称加密算法速度快、效率高的特点，又发挥了非对称加密技术安全性的特点。

图3 数字信封加密过程

2.2 数字签名

在现实生活中，可以使用亲笔签名来鉴定书信的真伪性。同样，银行的信息流、数据流也可以使用数字签名技术来进行验证。其实现的原理简单的说，就是签名和验签两个过程。如图4 所示，首先发送方使用哈希算法对信息原文进行计算，得到一个哈希值，然后使用发送方的私钥，对该哈希值加密，得到数字签名。将消息和数字签名一同送至接收方，接收方使用发送方公钥对数字签名解密，得到一个哈希值，然后使用哈希算法对消息进行哈希运算得到另一个哈希值，两个哈希值比较，相同则报文来自发送方。

图4 数字签名加密过程

3 结束语

数据加密是银行安全系统的首要屏障，是整个银行安全体系的重要组成部分，能够以很小的代价达到很大的防护作用，有效的保证银行数据的机密性。单一的非对称密钥算法和对称密钥算法无法满足银行数据加密的需要，数字信封、数字签名等组合算法成为银行安全系统的首选，是银行信息安全的重要保障。