金融業符合端點對端點加密機制規範之最佳選擇

 

現今各種網頁應用系統和行動應用軟體帶給使用者無比的便利性,也讓各行業業者有快速拓展業務和提供服務的平台,但是網際網路的便利性背後同時也隱藏了駭客攻擊、詐欺事件的風險,所以業務系統需要採取越來越嚴格的安全措施來避免資料遭第三者窺探。

 
 

中華民國銀行商業同業公會全國聯合會(以下簡稱銀行公會)所訂定的【金融機構辦理電子銀行業務安全控管作業基準】(以下簡稱安控作業基準)中便對於網際網路應用系統採用固定密碼進行網路銀行身分確認者有以下規定:

 

提供端點對端點加密機制。係指於客戶端(如瀏覽器)輸入資料時立即加密,傳送至金融機構可信任網段(如經兩道防火牆隔離之獨立網段)並於符合FIPS 140-2 Level 3以上之硬體安全模組(如HSM)內進行解密驗證。

 

 
 

我們因應此需求特別開發出「叡廷E2EE伺服器」來協助金融單位符合相關規定,提供:

 

  • 一體式2U機架型伺服器,內建德國Utimaco 公司CryptoServer PCIe HSM,符合FIPS 140-2 Level 3認證
  • HSM中內含特製E2EE模組,採Utimaco CryptoScript架構開發,未置入額外韌體故不影響HSM設備之FIPS 140-2認證(市售HSM若在取得FIPS 140-2之軟硬體認證範圍內增加額外模組,需重新送驗以重新取得認證資格)
  • Client端安控元件和Script,負責將客戶之密碼或密碼雜湊值以公鑰加密
  • Server端RESTful Web Service API,呼叫HSM內E2EE模組進行密碼驗證

 

 

 
 

安全不必顧此失彼

 
 

「E2EE在HSM內進行密碼驗證是為了達到最高的安全性,但是市面上的HSM要增加此功能通常需要新增韌體模組,但出廠後新增韌體便破壞了HSM原有的FIPS 140-2認證,除非重新送實驗室取得新認證(費時且費用極高),否則便牴觸安控作業基準E2EE相關條文中HSM需符合FIPS 140-2 Level 3以上的規定。」

 

要在Utimaco HSM上新增功能除了透過傳統的修改韌體方式,還有更聰明的CryptoScript架構,新增的CryptoScript程式碼置放在FIPS boundary外,但是執行在FIPS認證範圍內的VM上,所以可以一兼二顧,暨滿足E2EE需求又不影響FIPS認證。

 
 


 
 

 
 

CryptoServer H/A架構

 

  • PKCS#11 / CXI API 支援 Load Balancing Clustering 和 Failover Clustering
  • PKCS#11 API在cs_pkcs11_R2.cfg設定檔中決定H/A作法 (所以各應用系統可根據需求選擇不同的配置及Primary/Passive組合)
  • Cluster內所有HSM中Slots/Users/Keys必須保持一致 (產生新金鑰可透過RKMS同步機制)

 
 


 
 

 
 

支援演算法

 

  • RSA (512~16384 bits)
  • DSA
  • ECDSA
  • AES、DES、3DES
  • AES MAC、3DES MAC
  • CMAC、HMAC、Retail MAC
  • 雜湊演算法
    • SHA-1、 SHA-2(FIPS 180-4)、SHA3(FIPS 202)
    • RIPEMD-160、 MD5
  • Diffie-Hellman
  • Hash-based Deterministic Random Number Generator (DRNG)
  • True Random Number Generator (TRNG acc. AIS31 class PTG.2)
  • 詳細清單以原廠文件為準
  • 可依需求新增其他演算法

 
 

 
 

產品特點

 

  • 符合銀行公會安控作業基準中交易面安全設計之E2EE要求
  • 內建符合FIPS 140-2 Level 3之德製Utimaco HSM
  • 內建在HSM上之E2EE模組不影響HSM之FIPS 140-2安規認證
  • 提供Web Service API,降低開發門檻、導入時程
  • 同時適用各類業務,不管既有資料庫儲存的是密碼的雜湊值或加密值,可同時支援