实战 | ​​远程银行探索与实践

文 / 山东省城市商业银行合作联盟基础金融部    王志龙

联盟远程银行旨在实现对客户的无接触、随时随地的、有温度的金融服务。在业务架构设计上，以客户为中心，涵盖了线上渠道、移动展业、营业网点自助设备等接入渠道，服务范围包括交易服务、贷款服务、营销服务、远程助理等。远程银行可构建完整、开放的视频能力基础平台，把视频化能力快速输出到银行的前端场景，帮助银行提升整体金融服务及营销体验，同时降低运营成本，防范相关风险。

图  业务架构图

在技术层面，远程银行系统从逻辑结构上分为视频能力平台、柜员和用户端三个部分，其中，柜员和用户端分别包含客户端和服务端。各服务端操作系统均为redhat,数据库使用mysql。使用的中间件主要有tomcat、nginx、lvs和keepalived。用户端使用前后端分离架构实现。用户前端为微信小程序，后端使用tomcat+springmvc方式提供服务；使用nginx+keepalived配合服务器集群实现服务的负载均衡及高可用。柜员端使用联盟前端开发平台搭建，使用lvs+keepalived配合服务器集群实现负载均衡及高可用。用户端及座席端均使用https方式进行加密数据传输，使用微信密码安全键盘实现密码安全传输。视频能力平台采用混合云部署方式，由云端提供互联网用户接入，私有化部署的内网服务提供行方座席接入。采用视频数据与业务数据分离及视频录像内网存储方式来防止数据泄漏。用户端使用验证码+并发令牌桶方式抵御访问攻击。目前，远程银行已通过联盟的互联网相关渗透性测试。

联盟远程银行的技术架构是基于混合云部署的。涉及了互联网、联盟层、成员行层的部署。

联盟层又分为电子银行DMZ区（用于互联网接入），电子银行APP区（提供用户服务），次核心区（部署了座席系统），外联DMZ区（连接互联网和行内的音视频流进行交互）。

成员行内主要部署了音视频接入节点，以及用于落地音视频的存储。

图  技术架构图

联盟远程银行从网络上涉及了互联网和银行内网的交互。众所周知，金融业中的安全防控是重中之重，联盟远程银行在技术设计、网络安全等多方面采取了安全防控措施。具体措施如下：

1.技术上的安全防控

联盟远程银行系统分为互联网用户端及广域网座席端，分别从互联网及广域网接入联盟服务层。

（1）通讯安全防控。互联网用户端及广域网座席端均使用SSL协议进行安全数据传输。互联网用户端只作为业务入口进行准入校验，交易的提交均由广域网坐席端提交。互联网用户端通信报文中包含MAC校验功能，且每次会话参与运算的密钥随机生成，以防止互联网用户端通信报文被篡改。

（2）数据安全防控。系统设计上采用业务数据与视频数据分离方式，即联机交易调用跟音视频数据传输采用不同的通信通道。互联网用户端联机交易调用直接通过运营商网络接入到联盟服务层，音视频数据通过公有云方式接入到联盟代理层。广域网座席端联机交易调用直接从通过广域网专线接入到联盟服务层，音视频数据通过行方服务层接入到联盟代理层。联盟音视频代理层出向接入公有云。交易过程中产生的视频直接在行方服务层进行录制落地，公有云上不会有客户录像留存，防止客户影像信息在公有云上泄露的风险。

用户端及座席端间交互时，业务数据使用“特有的交换区”进行交互，“特有的交换区”相当于数据库，用户后端及座席后端均会访问该交换区。控制数据的交互使用透明通道方式传输，传输的只是控制指令，如“开始密码输入”“密码输入完成”；防止客户业务信息在公有云上泄露的风险。

（3）交互安全防控。互联网用户端具备多种防攻击手段，系统通过控制相同IP或相同手机号等在单位时间内发起的后台调用层面控制交易访问并发；通过重定向错误页面方式防止后端服务器信息泄露；通过限定服务访问方式为POST方式，防止诸如DELETE、COPY等方式的访问；通过单位时间内申请的验证码及短信调用次数，防止短信炸弹，验证码重用等攻击，其他诸如脚本注入、SQL注入、流程绕过等攻击手段也具备相应的防范措施。

（4）用户手机终端设备的安全防控。目前手机入口是微信小程序，不涉及ROOT手机或越狱手机。后续系统在新上线手机APP入口时，将针对APP添加手机ROOT或越狱手机的监测终止机制。

2.网络安全保障

在网络安全方面，联盟的网络架构采用分层、异构的方式，采用多级安全防护架构体系，划分不同安全区域。部署了异构防火墙，通过异构防火墙并根据业务功能对生产网络进行区域划分和隔离。互联网区域在联通、电信、移动三条运营商线路上串接ADS流量清洗设备，通过控制系统总连接数、半连接数、基于协议的连接数控制和基于地址的连接数控制等手段，以防御和抵御DOS攻击。在互联网接入区部署互联网隔离防火墙，在互联网区域部署有F5负载均衡设备做SSL认证。部署了入侵检测和防御设备，入侵检测（IDS）系统采用旁路部署方式，对隐藏在4~7层特别是应用层的攻击行为进行检测，实现对深层次攻击的防御。入侵防御（IPS）系统采用串行部署方式，可对网络蠕虫、间谍软件、溢出攻击、数据库攻击、网络设备攻击等多种深层攻击行为进行主动阻断。部署了WEB应用防火墙和防篡改系统，WEB应用防火墙提供实时的、深度的、主动的安全防御；网页防篡改系统对WEB网页内容进行实时检测与保护。从网络层流量监测、主机层HIDS分析，提供从外到内纵深式安全检测能力。内网流量分析系统能及时发现网络环境中针对主机与服务器的已知网络攻击和未知的新型网络攻击行为。通过流量进行全路径溯源，帮助安全运维人员快速研判和处置各类安全告警事件。HIDS主机入侵防御系统，实现主机层面的风险发现与告警，并能够对于恶意攻击进行封禁与处置，实现主机层安全防护。

联盟统建远程银行系统，更贴切联盟各家成员行的实际，关注城商行在实际业务办理过程中的痛点，对于联盟的成员行来讲，联盟远程银行整体解决方案具有非常大的优势。

整体方案的完整性、统一性。联盟远程银行是基于联盟前端统一开发平台进行开发，柜员岗位配置、新交易开发和维护、电子印章、无纸化、集中授权和集中作业等功能由联盟统一维护，可以快速实现。远程银行场景打造过程中与已有的集中作业、CBUS5.0智慧银行系统无缝衔接，确保方案的完整性。并且，可以将柜员端使用的集中作业、CBUS5.0智慧银行系统、远程银行系统融合到一个客户端，柜员可登陆一个客户端后自由的在各个系统间切换办理业务。

业务办理方便快捷。以会话为中心，一次会话，支持办理多笔业务，身份核查一次，人脸识别一次，签字一次。

在业务安全方面，确保了证据链完整。联盟远程银行支持证据链配置管理，以及无纸化和签名。业务办理过程中生成电子凭证，采集证据链上传到行内的无纸化平台；柜员为客户推送电子凭证或协议，客户在电子凭证或电子合同上进行签名，并上传无纸化平台。对于因网络问题或其他异常情况下凭证或证据链未能上传成功的，系统支持凭证、证据链的补传处理。

在视频流、报文、视频文件的安全性上，满足监管部门和银行业务音视频传输及报文的强加密要求。严格的组合秘钥管理模式，支持最高加密强度的加密算法，真正对媒体流的全加密；业务报文统一经过加密机综合管理系统进行加密服务及密钥管理；业务系统运行在联盟及行内内网环境，录像文件直接落地在行内服务器，业务数据及用户数据保存在联盟内网环境，不经过视频能力平台传输、存储，使客户信息和交易数据等用户敏感信息更安全，确保应用接入安全，满足监管层的合规要求；支持添加水印、时间戳等方式有效保障录像文件完整有效、非技术合成等手段确保视频文件安全。

视频能力平台可扩展性强，提供了高可用性、弹性扩容、智能运维以及灵活高效部署等特性，保障用户的应用程序稳定、持久、不间断地运行。此外，联盟远程银行对各家行提供二次研发平台，视频能力服务模块化建设，视频能力具备标准统一接口，以SDK的形态对外提供音视频能力，便于客户端各渠道各平台快速接入，可快速响应行方扩充以及对接行内系统。

在平台建设方面，联盟坚守平台自主可控，对成员行业务扩展提供更加及时的响应和保障。柜员坐席系统、用户后端系统、手机用户端系统（微信小程序、手机APP、移动展业PAD等），均由联盟自主研发，平台完全自主可控。在交易流程设计及开发上，业务场景及流程由联盟业务部门与各家成员行对接，场景便捷易用，业务场景可迅速迭代开发、测试及验收投产，无须厂商。此外，支持支持法人行多法人差异化，并且支持各家行的特色化交易场景开发并可快速投产。对于多法人差异化的需求，对于已有的差异化需求，成员行可以通过多法人配置交易自主配置多法人点后直接使用。

在技术架构设计上，充分考虑了节约成员行的硬件及网络资源投入。架构部署设计采用“级联”方式，减少了2路视频的传输，保证在任何一个节点上的视频流都是1路上行1路下行，网络带宽占用小，相较于其他厂商的一路上行3路下行降低了2路下行带宽；同等条件下比其他厂商少占用2/3的网络带宽。此外，落地音视频文件占用空间小，在同等分辨率、码率的情况下，联盟落地的音视频文件，每分钟大小2.5~3M；某厂商落地的音视频文件，每分钟大小8~10M。

在远程银行系统人才建设方面，联盟目前已经建立了一支涵盖技术、业务及测试等方面的专业的团队，可确保需求、开发、测试等各方面的效率，保证产出物质量，将为成员行提供持续服务，助力成员行实现数字化转型。

（栏目编辑：马俊）