CN116192493A - 一种网银安全保护方法、系统、介质、设备及终端 - Google Patents

一种网银安全保护方法、系统、介质、设备及终端 Download PDF

Info

Publication number
CN116192493A
CN116192493A CN202310119095.8A CN202310119095A CN116192493A CN 116192493 A CN116192493 A CN 116192493A CN 202310119095 A CN202310119095 A CN 202310119095A CN 116192493 A CN116192493 A CN 116192493A
Authority
CN
China
Prior art keywords
input
protection
key
module
browser
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202310119095.8A
Other languages
English (en)
Inventor
罗勇
杨长专
常保丰
王雪松
宋子豪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Yunhe Network Technology Co ltd
Original Assignee
Beijing Yunhe Network Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Yunhe Network Technology Co ltd filed Critical Beijing Yunhe Network Technology Co ltd
Priority to CN202310119095.8A priority Critical patent/CN116192493A/zh
Publication of CN116192493A publication Critical patent/CN116192493A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/121—Timestamp

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

本发明属于网络安全技术领域，公开了一种网银安全保护方法、系统、介质、设备及终端，由浏览器向网上银行系统和网银安全服务发送HTTPS请求，网上银行系统和网银安全服务接收浏览器发送的HTTPS请求并对浏览器进行HTTPS响应；采用IRP对敏感数据进行对称加密后返回给网银安全服务辅助驱动，采用RPC对敏感数据进行对称加密后返回给网银安全服务辅助进程；网银安全服务将敏感数据采用RSA或SM2嵌套加密后，通过HTTPS响应给浏览器；浏览器通过HTTPS将加密处理后的数据返回给网上银行系统。本发明的网银安全保护系统有效阻止了木马程序获取用户输入信息，保护用户密码或敏感信息内容，提升网银安全服务安全性。

Description

一种网银安全保护方法、系统、介质、设备及终端
技术领域
本发明属于网络安全技术领域，尤其涉及一种网银安全保护方法、系统、介质、设备及终端。
背景技术
目前，随着互联网的普及，各类网上银行用户与日趋增，保护用户输入信息的安全问题日益凸显，当用户输入密码或敏感信息时，如何输入内容不被木马程序劫持。并且在整个网银业务流程中不会已明文的形式出现。已经成为安全厂商的首要目标，因此安全输入类的软件应运而生。目前的安全输入主要包括以下两种：
(1)插件类网银安全输入控件：通过安全输入控件(ActiveX Control)和安全输入插件(NPAPI Plugin)嵌入到浏览器。以此使用对用户输入信息的加密操作。随着Windows操作系统的升级，新的Windows默认浏览器Edge已不再支持ActiveX Control控件。各大浏览器厂商由于安全和性能方面的考虑，也已经禁用了NPAPI Plugin插件，目前只保留在部分需要兼容的网上银行网站。
(2)Chrome扩展式安全输入插件：通过集成Chrome浏览器的相关接口实现用户输入信息的加密操作，但只能安装到使用Chromium内核的浏览器。
随着互联网技术的发展，ActiveX Control类型的安全输入控件已经随着Windows不在对IE浏览器的进行更新而停止服务。NPAPI Plugin类型的插件则是由于该插件与浏览器是平级运行在用户的电脑中，权限太大几乎可以访问系统的所有API。出于安全性和性能方面的考虑被浏览器厂上所淘汰。Chrome扩展式安全输入插件，基于Web技术(如HTML、CSS和JavaScript)构建的软件程序，此类安全输入插件受限于Chrome浏览器自身的功能，并且不支持非Chromium内核的浏览器。所以此类安全输入的软件使用起来有一定限制条件，无法做到普遍适配，且用户体验不好。
通过上述分析，现有技术存在的问题及缺陷为：现有的网银安全保护技术用户体验不好、应用场景受到限制，无法做到普遍适配，且安全性不高。
发明内容
针对现有技术存在的问题，本发明提供了一种网银安全保护方法、系统、介质、设备及终端。
本发明是这样实现的，一种网银安全保护方法，网银安全保护方法包括：由浏览器向网上银行系统和网银安全服务发送HTTPS请求，网上银行系统和网银安全服务接收浏览器发送的HTTPS请求并对浏览器进行HTTPS响应；采用IRP对敏感数据进行对称加密后返回给网银安全服务辅助驱动，采用RPC对敏感数据进行对称加密后返回给网银安全服务辅助进程；网银安全服务将敏感数据采用RSA或SM2嵌套加密后，通过HTTPS响应给浏览器；最后浏览器通过HTTPS将加密处理后的数据返回给网上银行系统。
进一步，网银安全保护方法包括以下步骤：
步骤一，利用键盘输入保护方法、鼠标输入保护方法、进程保护方法以及设备处理方法进行输入保护，对反挂钩线程实时扫描并及时取消发现的挂钩；
步骤二，利用时间戳技术，对交易数据加盖时间戳，控制交易报文生存期，同时利用放重新因子技术控制每一笔交易均具备唯一的ID；
步骤三，使用非对称算法对关键数据进行加解密，采用加壳方法及自定义反调试方法对控件进行保护，并采用多重密钥体系进行客户端与服务端的通讯；
步骤四，通过在本地环境部署HTTPS服务模块并集合Ajax请求进行页面与功能模块的通讯。
进一步，步骤一中的键盘输入保护方法包括：设置PS2键盘获取按键的位置在i8042Port位置，设置USB键盘获取按键的位置在USB PORT层进行键盘输入保护；当安全输入控件不能比木马程序更底层时，采用扰乱方式获取用户的真实按键和干扰按键。
进一步，步骤一中的利用鼠标输入保护方法、进程保护方法以及设备处理方法进行输入保护包括：
(1)通过随机变换软键盘按键位置进行鼠标输入保护，同时利用API Hook、虚拟桌面或其他反截屏技术对软键盘窗口进行多重保护；
(2)在安全输入控件开始工作后，利用挂钩系统关键函数直接返回拒绝未知进程访问安全输入控件所在进程；
(3)基于I/O Request Packet的处理方式对安全输入控件驱动设备栈下层无关设备采取IRP绕过方式进行处理。
进一步，步骤三中的使用非对称算法对关键数据进行加解密包括：
(1)在浏览器上安全输入控件使用加密平台下发的公钥PK1对PIN块按照加密平台指定填充方式进行加密，形成密文CT1；
(2)在浏览器上安全输入控件将密文CT1、服务器时间戳Timestamp、密码强度Degree组成新的待加密串CT1C；
CT1C＝Timestamp+Degree+CT1；
(3)在浏览器上安全输入控件使用应用服务器下发的RSA公钥PK2加密CT1C，形成密文CT2；
(4)在应用服务器上应用程序使用PK2对应的私钥解密CT2，获得CT1C；应用服务器校验服务器时间戳Timestamp没有超时；
(5)在应用服务器上调用加密平台接口在将CT1密文转换为用网银系统加密的PIN密文后发送至总行前置系统。
本发明的另一目的在于提供一种应用所述的网银安全保护方法的网银安全保护系统，网银安全保护系统包括：
输入保护模块，包括键盘输入保护单元、鼠标输入保护单元、进程保护单元和设备处理单元，用于利用键盘输入保护方法、鼠标输入保护方法、进程保护方法以及设备处理方法进行输入保护；
反挂钩模块，用于对反挂钩线程实时扫描并及时取消发现的挂钩；
防重放模块，用于利用时间戳技术，对交易数据加盖时间戳，控制交易报文生存期，同时用于利用放重新因子技术控制每一笔交易均具备唯一的ID；
参数化配置模块，用于进行加密格式参数化配置；
输入内容校验模块，用于进行输入内容的安全校验；
输入内容过滤模块，用于基于字典进行输入内容的过滤；
输入格式设定模块，用于设定输入格式；
密码强度设定模块，用于设定密码强度；
机器指纹获取模块，用于获取机器指纹；
加密模块，用于使用非对称算法对关键数据进行加解密；
脱壳和反汇编模块，用于采用加壳法和自定义反调试法对控件进行保护；
通讯模块，用于采用多重密钥体系进行客户端与服务端的通讯；
HTTPS服务模块，包括对象管理单元、伙伴校验单元、内容校验单元、加密服务单元、输入保护单元和数字签名单元，用于结合Ajax请求进行页面与功能模块的通讯。
进一步，输入保护模块包括：
键盘输入保护单元，用于通过设置获取用户按键的位置进行键盘输入保护，同时用于当安全输入控件不能比木马程序更底层时采用扰乱方式获取用户的真实按键和干扰按键；
鼠标输入保护单元，用于随机变换软键盘按键位置进行输入保护，同时利用APIHook、虚拟桌面或其他反截屏技术对软键盘窗口进行多重保护；
进程保护单元，用于在安全输入控件开始工作后利用挂钩系统关键函数直接返回拒绝未知进程访问安全输入控件所在进程；
设备处理单元，用于基于I/O Request Packet的处理方式对安全输入控件驱动设备栈下层无关设备采取IRP绕过方式处理。
本发明的另一目的在于提供一种计算机设备，计算机设备包括存储器和处理器，存储器存储有计算机程序，计算机程序被处理器执行时，使得处理器执行所述的网银安全保护方法的步骤。
本发明的另一目的在于提供一种计算机可读存储介质，存储有计算机程序，计算机程序被处理器执行时，使得处理器执行所述的网银安全保护方法的步骤。
本发明的另一目的在于提供一种信息数据处理终端，信息数据处理终端用于实现所述的网银安全保护系统。
结合上述的技术方案和解决的技术问题，本发明所要保护的技术方案所具备的优点及积极效果为：
第一，针对上述现有技术存在的技术问题以及解决该问题的难度，紧密结合本发明的所要保护的技术方案以及研发过程中结果和数据等，详细、深刻地分析本发明技术方案如何解决的技术问题，解决问题之后带来的一些具备创造性的技术效果。具体描述如下：
本发明提供的网银安全保护系统提供了一种保护用户输入的密码或敏感信息的保护服务，不仅兼容IE浏览器和Chrome、Firefox等非IE浏览器，而且增强了对于内核级木马程序的防护，从芯片级别为用户输入信息保驾护航，支持国际、国密的加密算法如RSA、SM2等。本发明的网银安全保护系统还对用户输入的密码或敏感信息的格式以及安全性增加了更多的可定制选项，使得用户输入的信息更加安全，其中包含如下功能：加密格式支持参数化配置、支持防重放因子设定、支持输入内容校验、支持输入内容基于字典过滤、支持输入格式设、支持密码强度、支持机器指纹获取。
本发明提供的网银安全保护系统集HTTPS、键盘输入保护、数字签名、鼠标输入保护、进程保护、SSL增强保护、脚本接口保护、自我防护等多位一体，能对客户端操作系统进行安全增强，大幅提升“木马”程序非法获取用户敏感输入信息“成本”，实现安全输入、数字签名、证书管理等功能，是保护用户敏感信息的重要手段，能对客户端操作系统进行安全增强。本发明提供的网银安全保护系统在没有控件/插件开发框架的情况下，可以通过在本地环境部署HTTPS服务模块并依托于Ajax请求来解决页面与功能模块的通讯问题。
第二，把技术方案看做一个整体或者从产品的角度，本发明所要保护的技术方案具备的技术效果和优点，具体描述如下：
本发明提供的网银安全保护系统支持IE与Chrome、Firefox等IE浏览器，并且从芯片层面保护用户输入内容，有效阻止了木马程序获取用户输入信息，保护了用户密码或敏感信息内容，有效提升了网银安全服务的安全性。
第三，作为本发明的权利要求的创造性辅助证据，还体现在重要方面：
本发明的技术方案转化后的预期收益和商业价值为：本发明有效提高了网银系统输入的敏感信息的安全性，从芯片层对输入的信息进行加密，保证用户通过键盘或鼠标点击输入的内容无法被木马程序或第恶意软件从驱动层面或是内核层面进行获取。用户输入的信息不仅支持RSA加密和SM2格式符合国内外主流网银的加密配置，并且还支持多种安全参数配置。可按照网银的要求进行定制化的配置。针对与目前操作系统的不断迭代，支持Windows XP至Windows11的操作系统。以上这些优点保证了用户在网银内输入信息的安全性，切实的保障了用户的资金财产安全。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图做简单的介绍，显而易见地，下面所描述的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的网银安全保护方法流程图；
图2是本发明实施例提供的网银安全保护方法原理图；
图3是本发明实施例提供的USB键盘驱动程序栈(Driver Stacks)示意图；
图4是本发明实施例提供的USB驱动程序栈(Driver Stacks)(Windows XP及以后)示意图；
图5是本发明实施例提供的IRP完成时栈指针的移动示意图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
针对现有技术存在的问题，本发明提供了一种网银安全保护方法、系统、介质、设备及终端，下面结合附图对本发明作详细的描述。
一、解释说明实施例。为了使本领域技术人员充分了解本发明如何具体实现，该部分是对权利要求技术方案进行展开说明的解释说明实施例。
如图1所示，本发明实施例提供的网银安全保护方法包括以下步骤：
S101，由浏览器向网上银行系统和网银安全服务发送HTTPS请求，网上银行系统和网银安全服务接收HTTPS请求并对浏览器进行HTTPS响应；
S102，采用IRP对敏感数据进行对称加密后返回给网银安全服务辅助驱动，采用RPC对敏感数据进行对称加密后返回给网银安全服务辅助进程；
S103，网银安全服务将敏感数据采用RSA或SM2嵌套加密后，通过HTTPS响应给浏览器，浏览器通过HTTPS将加密处理后的数据返回给网上银行系统。
作为优选实施例，如图2所示，本发明实施例提供的网银安全保护方法，具体包括以下步骤：
S1：利用键盘输入保护方法、鼠标输入保护方法、进程保护方法以及设备处理方法进行输入保护，并对反挂钩线程实时扫描且及时取消发现的挂钩；
S2：利用时间戳技术，对交易数据加盖时间戳，控制交易报文生存期；同时利用放重新因子技术控制每一笔交易均具备唯一的ID；
S3：使用非对称算法对关键数据进行加解密，采用加壳方法及自定义反调试方法对控件进行保护，并采用多重密钥体系进行客户端与服务端的通讯；
S4：通过在本地环境部署HTTPS服务模块并集合Ajax请求进行页面与功能模块的通讯。
本发明实施例提供的键盘输入保护方法包括：设置PS2键盘获取按键的位置在i8042Port位置，设置USB键盘获取按键的位置在USB PORT层进行键盘输入保护；当安全输入控件不能比木马程序更底层时，采用扰乱方式获取用户的真实按键和干扰按键。
本发明实施例提供的利用鼠标输入保护方法、进程保护方法以及设备处理方法进行输入保护包括：
(1)通过随机变换软键盘按键位置进行鼠标输入保护，同时利用API Hook、虚拟桌面或其他反截屏技术对软键盘窗口进行多重保护；
(2)在安全输入控件开始工作后，利用挂钩系统关键函数直接返回拒绝未知进程访问安全输入控件所在进程；
(3)基于I/O Request Packet的处理方式对安全输入控件驱动设备栈下层无关设备采取IRP绕过方式进行处理。
本发明实施例提供的加密处理流程如下：
(1)在浏览器上安全输入控件使用加密平台下发的公钥(PK1)对PIN块(PIN)按照加密平台指定填充方式进行加密，形成密文CT1；
(2)在浏览器上安全输入控件将密文(CT1)、服务器时间戳(Timestamp)、密码强度(Degree)组成新的待加密串(CT1C)，即：
CT1C＝Timestamp+Degree+CT1；
(3)在浏览器上安全输入控件使用应用服务器下发的RSA公钥(PK2)加密CT1C，形成密文CT2；
(4)在应用服务器上应用程序使用PK2对应的私钥解密CT2，获得CT1C；
(5)应用服务器校验服务器时间戳(Timestamp)没有超时；
(6)在应用服务器上调用加密平台接口在将CT1密文转换为用网银系统加密的PIN密文后发送至总行前置系统。
如图3所示，本发明实施例提供的USB键盘驱动程序栈(Driver Stacks)驱动程序驱动方式具体如下：
运行Windows的计算机中的处理器有两个不同模式：用户模式和内核模式。根据处理器上运行的代码的类型，处理器在两个模式之间切换。应用程序在用户模式下运行，核心操作系统组件在内核模式下运行。客户端和传输微型驱动程序从用户模式或内核模式访问类驱动程序。
Windows中的HID驱动程序堆栈的体系结构基于名为hidclass.sys的类驱动程序。HID客户端是与HIDClass.sys通信的驱动程序、服务或应用程序，通常表示特定类型的设备(例如操纵杆、键盘、鼠标等)。HID类驱动程序旨在使用HID微型驱动程序访问硬件输入设备。HID微型驱动程序通过向HID类驱动程序注册，将其操作绑定到HID类驱动程序。HID类驱动程序通过调用微型驱动程序的支持例程来与HID微型驱动程序通信。HID微型驱动程序反过来会将驱动程序堆栈上的通信发送到基础总线或端口驱动程序。
其中，用户模式包括三种方式：
(1)利用传统的Win32应用程序winmm.dll，通过直接输入，进而驱动鼠标工作；
(2)利用user32.exe或user.exe，驱动键盘类工作；
(3)利用传统的Win32应用程序winmm.dll，通过直接输入，驱动操纵杆工作。
如图4所示，本发明实施例提供的USB驱动程序栈(Driver Stacks)(Windows XP及以后)具体如下：
系统提供主机控制器驱动程序，包括微型端口驱动程序，与USB集线器(总线)驱动程序连接，与USB客户端驱动程序、USB通用父驱动程序连接，USB通用父驱动程序与USB客户端设备驱动连接；其中，USB客户端驱动程序和USB客户端设备驱动由系统或供应商提供。
其中，Usbhub.sys包含通用父驱动程序，使用通用父驱动程序的功能，系统或者设备供应商可以选择性使用驱动程序，以支持某些接口。Usbhub.sys识别并找到匹配的设备驱动，提供USB读写函数，当Usbhub.sys完成IRP处理时，它会将IRP传递至(Usbuhci.sys，Usbport.sys)组。
如图5所示，本发明实施例提供的IRP完成时栈指针的移动具体如下：
基于I/O Request Packet的处理方式，对安全输入控件驱动设备栈下层无关设备采取IRP“绕过”方式处理，以防止其完成例程被先调用。
每一个IRP都会被操作系统发送到设备栈的顶层，如果顶层设备对象的派遣函数结束了IRP请求，则这次I/O请求结束。如果没有将IRP的请求结束，那么操作系统将IRP转发转发到设备栈的下一层去处理，一直到IRP请求被设备对象处理，则停止向下转发。IoCompletion是一个I/O完成例程的地址，该地址是由与这个堆栈单元对应的驱动程序的更上一层驱动程序设置。设备堆栈的最低一级驱动程序并不需要完成例程，因为它们直接完成请求。
本发明实施例提供的网银安全保护系统包括：
输入保护模块，包括键盘输入保护单元、鼠标输入保护单元、进程保护单元和设备处理单元，用于利用键盘输入保护方法、鼠标输入保护方法、进程保护方法以及设备处理方法进行输入保护；
反挂钩模块，用于对反挂钩线程实时扫描并及时取消发现的挂钩；
防重放模块，用于利用时间戳技术，对交易数据加盖时间戳，控制交易报文生存期，同时用于利用放重新因子技术控制每一笔交易均具备唯一的ID；
加密模块，用于使用非对称算法对关键数据进行加解密；
脱壳和反汇编模块，用于采用加壳法和自定义反调试法对控件进行保护；
通讯模块，用于采用多重密钥体系进行客户端与服务端的通讯；
HTTPS服务模块，包括对象管理单元、伙伴校验单元、内容校验单元、加密服务单元、输入保护单元和数字签名单元，用于结合Ajax请求进行页面与功能模块的通讯。
本发明实施例提供的网银安全保护系统还包括：
参数化配置模块，用于进行加密格式参数化配置；
输入内容校验模块，用于进行输入内容的安全校验；
输入内容过滤模块，用于基于字典进行输入内容的过滤；
输入格式设定模块，用于设定输入格式；
密码强度设定模块，用于设定密码强度；
机器指纹获取模块，用于获取机器指纹。
本发明实施例提供的输入保护模块包括：
键盘输入保护单元，用于通过设置获取用户按键的位置进行键盘输入保护，同时用于当安全输入控件不能比木马程序更底层时采用扰乱方式获取用户的真实按键和干扰按键；
鼠标输入保护单元，用于随机变换软键盘按键位置进行输入保护，同时利用APIHook、虚拟桌面或其他反截屏技术对软键盘窗口进行多重保护；
进程保护单元，用于在安全输入控件开始工作后利用挂钩系统关键函数直接返回拒绝未知进程访问安全输入控件所在进程；
设备处理单元，用于基于I/O Request Packet的处理方式对安全输入控件驱动设备栈下层无关设备采取IRP绕过方式处理。
本发明实施例提供的网银安全保护系统的防护原理如下：
(1)键盘输入防护
获取用户按键的位置要尽量低，防止木马程序先获得用户按键。PS2键盘获取按键的位置在i8042Port位置。USB键盘获取按键的位置在USB PORT层。
(2)绕过机制
基于I/O Request Packet的处理方式，对安全输入控件驱动设备栈下层无关设备采取IRP“绕过”方式处理，以防止其完成例程被先调用。
(3)反挂钩
反挂钩线程实时扫描，发现挂钩及时取消。
(4)扰码
当安全输入控件不能比木马程序更底层时(比如：双方都处于目前技术条件的最底层时)，采用扰乱方式。扰乱后安全输入控件及木马程序均获得用户的真实按键和干扰按键，由于干扰按键是安全输入控件所发，它能去除干扰按键而木马程序不能。
(5)鼠标输入防护技术
软键盘按键位置随机变换，按键干扰背景。
API Hook、虚拟桌面等多项反截屏技术对软键盘窗口进行多重保护。
(6)进程保护技术
挂钩系统关键函数，在安全输入控件开始工作后，当有未知进程访问安全输入控件所在进程时，函数将直接返回拒绝访问。
(7)防重放技术
利用时间戳技术，对交易数据加盖时间戳，控制交易报文生存期。
利用放重新因子技术，使得每一笔交易都有唯一的ID。
(8)PKI技术
使用非对称算法对关键数据进行加解密。算法库控件代码自包含，防止系统加密函数被HOOK后造成敏感信息泄露。
(9)防脱壳和反汇编技术
采用成熟商业加壳软件及自定义反调试技术对控件进行保护，提高核心代码的破解难度。
本发明实施例提供的网银安全保护系统的通讯方式包括：客户端与服务端采用多重密钥体系进行通讯，可以实现网银用户密码(PIN)从浏览器到银行后台主机的全程保护，避免PIN明文出现在加密平台(加密机)以外的任何地方。从而保证用户PIN不会被包括银行员工在内的人员非法获取。
二、应用实施例。为了证明本发明的技术方案的创造性和技术价值，该部分是对权利要求技术方案进行具体产品上或相关技术上的应用实施例。
本发明的应用实施例提供了一种计算机设备，计算机设备包括存储器和处理器，存储器存储有计算机程序，计算机程序被处理器执行时，使得处理器执行所述的网银安全保护方法的步骤。
本发明的应用实施例提供了一种计算机可读存储介质，存储有计算机程序，计算机程序被处理器执行时，使得处理器执行所述的网银安全保护方法的步骤。
本发明的应用实施例提供了一种信息数据处理终端，信息数据处理终端用于实现所述的网银安全保护系统。
三、实施例相关效果的证据。本发明实施例在研发或者使用过程中取得了一些积极效果，和现有技术相比的确具备很大的优势，下面内容结合试验过程的数据、图表等进行描述。
本发明实施例使用VMProtect工具进行了加壳处理。对相关代码和关键函数进行了混淆，经过相关专业测试机构测试，使用多种手段对本发明的敏感信息输入的防护能力进行测试，使用以下方法：SendMessge(WM_GETTEXT)、SetWindowsHook/SetWindowsHookEx、GetKeyState、GetAsyncKeyState、GetKeyboardState、GetRawInputData、DirectInput、键盘类过滤驱动(内核态)均未能获得键盘输入内容。
本发明实施例无法使用PrintScreen热键以及BitBit截屏。对主机的进程进行保护，无法通过读写进程内存、修改内存程序代码、插入恶意线程、控制关键线程运行状态等方式获取用户输入的敏感信息。整个流程中用户输入的内容在用户输入时、页面提交时、页面提交后产生的所有文件读写、Cookie记录、进程内存、调试信息输出等，均未发现可疑的敏感信息泄露情况。
应当注意，本发明的实施方式可以通过硬件、软件或者软件和硬件的结合来实现。硬件部分可以利用专用逻辑来实现；软件部分可以存储在存储器中，由适当的指令执行系统，例如微处理器或者专用设计硬件来执行。本领域的普通技术人员可以理解上述的设备和方法可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、CD或DVD-ROM的载体介质、诸如只读存储器(固件)的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本发明的设备及其模块可以由诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用由各种类型的处理器执行的软件实现，也可以由上述硬件电路和软件的结合例如固件来实现。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，都应涵盖在本发明的保护范围之内。

Claims (10)

1.一种网银安全保护方法，其特征在于，网银安全保护方法包括：由浏览器向网上银行系统和网银安全服务发送HTTPS请求，网上银行系统和网银安全服务接收浏览器发送的HTTPS请求并对浏览器进行HTTPS响应；采用IRP对敏感数据进行对称加密后返回给网银安全服务辅助驱动，采用RPC对敏感数据进行对称加密后返回给网银安全服务辅助进程；网银安全服务将敏感数据采用RSA或SM2嵌套加密后，通过HTTPS响应给浏览器；最后浏览器通过HTTPS将加密处理后的数据返回给网上银行系统。
2.如权利要求1所述的网银安全保护方法，其特征在于，网银安全保护方法包括以下步骤：
步骤一，利用键盘输入保护方法、鼠标输入保护方法、进程保护方法以及设备处理方法进行输入保护，对反挂钩线程实时扫描并及时取消发现的挂钩；
步骤二，利用时间戳技术，对交易数据加盖时间戳，控制交易报文生存期，同时利用放重新因子技术控制每一笔交易均具备唯一的ID；
步骤三，使用非对称算法对关键数据进行加解密，采用加壳方法及自定义反调试方法对控件进行保护，并采用多重密钥体系进行客户端与服务端的通讯；
步骤四，通过在本地环境部署HTTPS服务模块并集合Ajax请求进行页面与功能模块的通讯。
3.如权利要求2所述的网银安全保护方法，其特征在于，步骤一中的键盘输入保护方法包括：设置PS2键盘获取按键的位置在i8042Port位置，设置USB键盘获取按键的位置在USBPORT层进行键盘输入保护；当安全输入控件不能比木马程序更底层时，采用扰乱方式获取用户的真实按键和干扰按键。
4.如权利要求2所述的网银安全保护方法，其特征在于，步骤一中的利用鼠标输入保护方法、进程保护方法以及设备处理方法进行输入保护包括：
(1)通过随机变换软键盘按键位置进行鼠标输入保护，同时利用API Hook、虚拟桌面或其他反截屏技术对软键盘窗口进行多重保护；
(2)在安全输入控件开始工作后，利用挂钩系统关键函数直接返回拒绝未知进程访问安全输入控件所在进程；
(3)基于I/O Request Packet的处理方式对安全输入控件驱动设备栈下层无关设备采取IRP绕过方式进行处理。
5.如权利要求2所述的网银安全保护方法，其特征在于，步骤三中的使用非对称算法对关键数据进行加解密包括：
(1)在浏览器上安全输入控件使用加密平台下发的公钥PK1对PIN块按照加密平台指定填充方式进行加密，形成密文CT1；
(2)在浏览器上安全输入控件将密文CT1、服务器时间戳Timestamp、密码强度Degree组成新的待加密串CT1C；
CT1C＝Timestamp+Degree+CT1；
(3)在浏览器上安全输入控件使用应用服务器下发的RSA公钥PK2加密CT1C，形成密文CT2；
(4)在应用服务器上应用程序使用PK2对应的私钥解密CT2，获得CT1C；应用服务器校验服务器时间戳Timestamp没有超时；
(5)在应用服务器上调用加密平台接口在将CT1密文转换为用网银系统加密的PIN密文后发送至总行前置系统。
6.一种应用如权利要求1～5任意一项所述的网银安全保护方法的网银安全保护系统，其特征在于，网银安全保护系统包括：
输入保护模块，包括键盘输入保护单元、鼠标输入保护单元、进程保护单元和设备处理单元，用于利用键盘输入保护方法、鼠标输入保护方法、进程保护方法以及设备处理方法进行输入保护；
反挂钩模块，用于对反挂钩线程实时扫描并及时取消发现的挂钩；
防重放模块，用于利用时间戳技术，对交易数据加盖时间戳，控制交易报文生存期，同时用于利用放重新因子技术控制每一笔交易均具备唯一的ID；
参数化配置模块，用于进行加密格式参数化配置；
输入内容校验模块，用于进行输入内容的安全校验；
输入内容过滤模块，用于基于字典进行输入内容的过滤；
输入格式设定模块，用于设定输入格式；
密码强度设定模块，用于设定密码强度；
机器指纹获取模块，用于获取机器指纹；
加密模块，用于使用非对称算法对关键数据进行加解密；
脱壳和反汇编模块，用于采用加壳法和自定义反调试法对控件进行保护；
通讯模块，用于采用多重密钥体系进行客户端与服务端的通讯；
HTTPS服务模块，包括对象管理单元、伙伴校验单元、内容校验单元、加密服务单元、输入保护单元和数字签名单元，用于结合Ajax请求进行页面与功能模块的通讯。
7.如权利要求6所述的网银安全保护系统，其特征在于，输入保护模块包括：
键盘输入保护单元，用于通过设置获取用户按键的位置进行键盘输入保护，同时用于当安全输入控件不能比木马程序更底层时采用扰乱方式获取用户的真实按键和干扰按键；
鼠标输入保护单元，用于随机变换软键盘按键位置进行输入保护，同时利用API Hook、虚拟桌面或其他反截屏技术对软键盘窗口进行多重保护；
进程保护单元，用于在安全输入控件开始工作后利用挂钩系统关键函数直接返回拒绝未知进程访问安全输入控件所在进程；
设备处理单元，用于基于I/O Request Packet的处理方式对安全输入控件驱动设备栈下层无关设备采取IRP绕过方式处理。
8.一种计算机设备，其特征在于，计算机设备包括存储器和处理器，存储器存储有计算机程序，计算机程序被处理器执行时，使得处理器执行如权利要求1～5任意一项所述的网银安全保护方法的步骤。
9.一种计算机可读存储介质，存储有计算机程序，计算机程序被处理器执行时，使得处理器执行如权利要求1～5任意一项所述的网银安全保护方法的步骤。
10.一种信息数据处理终端，其特征在于，信息数据处理终端用于实现如权利要求6～7任意一项所述的网银安全保护系统。
CN202310119095.8A 2023-02-07 2023-02-07 一种网银安全保护方法、系统、介质、设备及终端 Pending CN116192493A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310119095.8A CN116192493A (zh) 2023-02-07 2023-02-07 一种网银安全保护方法、系统、介质、设备及终端

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310119095.8A CN116192493A (zh) 2023-02-07 2023-02-07 一种网银安全保护方法、系统、介质、设备及终端

Publications (1)

Publication Number Publication Date
CN116192493A true CN116192493A (zh) 2023-05-30

Family

ID=86439897

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310119095.8A Pending CN116192493A (zh) 2023-02-07 2023-02-07 一种网银安全保护方法、系统、介质、设备及终端

Country Status (1)

Country Link
CN (1) CN116192493A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116846689A (zh) * 2023-09-01 2023-10-03 建信金融科技有限责任公司 金融业务数据传输方法、装置、计算机设备和存储介质

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116846689A (zh) * 2023-09-01 2023-10-03 建信金融科技有限责任公司 金融业务数据传输方法、装置、计算机设备和存储介质
CN116846689B (zh) * 2023-09-01 2023-12-26 建信金融科技有限责任公司 金融业务数据传输方法、装置、计算机设备和存储介质

Similar Documents

Publication Publication Date Title
JP6239788B2 (ja) 指紋認証方法、装置、インテリジェント端末及びコンピュータ記憶媒体
US8225401B2 (en) Methods and systems for detecting man-in-the-browser attacks
CN103714460B (zh) 使用安全输入和非安全输出来验证交易的方法
US9047486B2 (en) Method for virtualizing a personal working environment and device for the same
US10078754B1 (en) Volume cryptographic key management
US7636851B2 (en) Providing user on computer operating system with full privileges token and limited privileges token
US11126753B2 (en) Secure processor chip and terminal device
US8874931B2 (en) System and method for securing a user interface
US9251332B2 (en) Security system and method for controlling access to computing resources
US20130104220A1 (en) System and method for implementing a secure USB application device
EP2406718A1 (en) Secure card access module for integrated circuit card applications
CN104182695B (zh) 确保验证和授权操作期间所用信息的保密性的系统和方法
US8782174B1 (en) Uploading and downloading unsecured files via a virtual machine environment
CN107209840B (zh) 与所连接的外围设备的安全交易
CN116192493A (zh) 一种网银安全保护方法、系统、介质、设备及终端
KR100985076B1 (ko) Ｕｓｂ 디바이스 보안 장치 및 방법
Breuk et al. Integrating DMA attacks in exploitation frameworks
BRPI0903816A2 (pt) processo de proteção de código secreto e um aparelho de computação
CN1311315C (zh) 用于受信平台的计算机系统、装置和方法
US8683452B1 (en) Dynamically obfuscated javascript
WO2018053988A1 (zh) 安全输入系统、方法及智能终端、存储介质
CN111538993B (zh) 一种引入外置式硬件信任根进行可信度量的装置与方法
CN103065085A (zh) 用于实现安全usb应用设备的系统和方法
US9871887B2 (en) Method for access to an operating system, removable memory medium and use of a removable memory medium
Tang et al. Techniques for IoT System Security

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination