JR_T 0068-2020《网上银行系统信息安全通用规范》.pdf

ICS 35. 240. 40A 11JR中华人民共和国金融行业标准JR/T0068—2020代替 JR/T 0068—2012网上银行系统信息安全通用规范General specification of information security for internet banking syste施中国人民银行发布 JR/T 0068—2020目次前言I引言III1范围.2规范性引用文件3术语和定义4缩略语5网上银行系统概述6安全规范参考文献. JR/T 0068—2020网上银行系统在使用密码算法时应符合国家密码主管部门的要求，在支付敬感信息加密及传输、数字证书签名及验签等环节宜支持并优先使用SM系列密码算法（GM/T0002一2012、GM/T0003一2012、GM/T0004—2012)6安全规范6.1概述本规范分为安全技术规范、安全管理规范和业务运营安全规范三个部分。金融机构应针对不同的业安全要求。网上银行系统应按照网络安全等级保护第三级安全要求进行建设与运维管理。6.2安全技术规范6.2.1客户端安全6.2.1. 1客户端程序基本要求：a)客户端程序开发设计过程中应注意规避各系统组件、第三方组件、SDK存在的安全风险，应对开发框架和技术路线进行严格的论证，必要时应进行选型安全测试。客户端程序应具有明确的应用标识符和版本序号，设计合理的更新接口，当某一版本被证明存在重大安全隐患时，提示并强制要求用户更新客户端。客户端程序的每次更新、升级，应进行源代码审计、安全活动审查和产格归档，以保证客户端程序不存在隐藏的非法功能和后门d)应采用安全的方式对客户端程序进行签名，标识客户端程序的来源和发布者，保证客户所下教的客户端程序来源于所信任的机构。e)客户端程序在启动和更新时应进行真实性、完整性校验（例如，联机动态校验等），防范客户端程序被墓改或替换。f)客户端程序应采取代码混清、加壳等安全机制，防止客户端程序被逆向分析，确保客户端的感逻辑及数据的机密性、完整性。g)客户端程序应保证自身的安全性，避免代码注入，缓冲区溢出、非法提权等漏洞。h)客户端程序应采取进程保护措施，防止非法程序获取该进程的访间权限，扫描内存中的敏感数据或替换客户端页面等。i)客户端程序应对关键界面采用反录屏等技术，防范非法程序通过拷屏等方式获取支付敏感信息。j)客户端程序应提供客户输入支付敏感信息的即时防护功能，并对内存中的支付敏感信息进行保护，例如，采取逐字符加密、自定义软键盘、防范键盘窃听技术等措施。k)客户端软件不应以任何形式在本地存储用户的支付敏感信息，存储位置包括但不限于Cookies、本地临时文件和移动数据库文件等。1)客户端程序应采取有效措施保证所涉及密钥的机密性和完整性客户端程序应采取措施对密码复杂度进行校验，保证用户设置的密码达到一定的强度(u客户端程序密码框应禁止明文显示密码，应使用同一特殊字符（例如，*或·）代替。客户端程序登录后在一段时间内无任何操作，应自动登出，重新登录才能继续使用。 JR/T 0068—2020p/客户增程序应配合服务器端采取有效措施，对登永请求、服务请求以及数据库查询等资源消耗较高行为的频率进行合理限制。(b客户端程序具备条码生成、展示或识读解析功能时，应符合《条码支付安全技术规范（试行）（银办发（2017）242号文印发）要求。r)客户端程序应能够有效屏蔽系统技术错误信息，不将系统产生的错误信息直接反馈给客户，s)客户端程序应支持通过IPv6连接访间网络服务，在IPv4/IPv6双栈支持的情况下，优先采用IPv6连接访间。t)客户端程序应具备隐私政策。u)客户端程序在收集、使用客户信息之前，应明示收集、使用信息的目的、方式和范国，公开其收集、使用规则，并取得客户的明示同意。在采集客户个人敏感信息前应对采集的用途和必要性进行提醒v)（例如，申请读取通讯录、地理位置等权限），并取得用户的明示同意w)客户端应保留最少的客户信息，并限制数据存储量和保留时间。x)客户端程序退出时，应清除非业务功能运行所必须留存的业务数据，保证客户信息的安全性。y)应采取案道监控等措施对仿胃客户端程序进行监测。6. 2.1. 2客户端环境基本要求：a)应对客户端运行环境的安全状况进行检测并向后台系统反馈，并将此作为风控策略的依据，b)应采取有效措施提升客户端环境安全级别，针对不同的安全等级采取相应的风险控制措施，c)应在门户站点等案道发布客户端环境安全的提示。d)当发现客户端环境存在重大安全缺陷或安全威脉时，应采取必要措施对用户进行警示或拒绝交易.6.2.2专用安全机制6.2.2.1智能密码钥匙本标准所涉及的智能密码朗匙包含目前网上银行系统普通应用的USBKey、蓝牙Key、音频Key、S