1、桂林证券南宁营业部网上交易系统解决方案桂林证券南宁营业部网上交易系统解决方案盛润网络系统有限公司2000年11月28日目 录第一章 背 景 1第二章 系统设计 22.1 桂林证券南宁营业部网上交易系统基本架构 22.2 基本架构说明 32.2.1 行情本地化 32.2.2 交易集中化 32.2.3 接口标准化 32.3 桂林证券南宁营业部网上交易系统拓扑图 42.4 系统功能 52.4.1 行情分析子系统 52.4.2 委托交易子系统 52.4.3 银证转帐子系统 62.4.4 盘中、盘后分析及数据下载子系统 62.4.5 F10股市资讯子系统 62.5 典型业务流程 7第三章 技术策略 10
2、3.1 网络及线路 103.2 系统硬软件及系统接口要求 103.2.1各广域网线路 103.2.2 计算机及服务器 103.2.3 软件包 113.3 安全策略 113.3.1 网络安全 113.3.2 信息传递安全 123.3.3 安全数字验证 164.1 安全性 194.2 可靠性 194.3 速度及实时性 204.4 可伸缩性 204.5 易用性 20第五章 系统配置清单 2151 桂林证券南宁营业部 21第六章 系统实施计划 2461 工程施工 24611 ISP接入工程实施 24612 计算机系统的工程实施 24613 应用软件的工程实施 24614 网上交易系统的试运行 2562
3、 主要施工人员及其技术背景 2563 系统测试 25631 系统测试 25632 软件测试 2664 系统培训 26641 网络系统的培训 26642 计算机系统的培训 26642应用软件的运行培训 2765 系统验收和交付 27第一章 背 景 网上交易同传统的交易方式相比，优越性不言而喻：这不仅是指传统的朝9晚15的五天工作制的雍容华贵的气质，会放跑了从不休息的大笔大笔的钱；更主要的这已是大势所趋的行当的竞争规则从来就是大浪淘沙。领先一步，步步领先；落后一步，处处被动。 开展网上交易，桂林证券南宁营业部有着良好的资源基础可靠运行的营业部局域网。网上业务的开展不仅会拓宽服务范围，无形延长服务时
4、间，同时也克服了券商明显的地域性，使分布的个人可以获得大户级的技术分析及资讯服务，吸纳更多的潜在客户。网上交易是种罕见的一本万利的商业模式，一根DDN或ADSL线路就可充分利用Internet的无边的大量资源；一次投入，基本没有营运成本，却可得到长期回报。同时，券商有形的营业部得到无形地扩张，可以以低成本，新形式走出地区，甚至走出国门。另外作为第四媒体，Internet空间具有的巨大广告宣传影响力，桂林证券南宁营业部的品牌、形象可以籍此被真正地发扬。 盛润公司除保持技术领先外，还借鉴国际成功典范，揣摩国内业界的营运实例，总结经验教训，力图博采众家所长，提供最高品质的解决方案，做国内乃至国际一流
5、的电子商务系统供应商。 预祝我们合作愉快！永远是朋友。第二章 系统设计2.1 桂林证券南宁营业部网上交易系统基本架构2.2 基本架构说明2.2.1 行情本地化 基本的网上证券交易行情发布，考虑到Internet的在国内的建设仍带有很强地域性的特点，及行情信息量较大，Internet接入客户的地方化现状，ISP经营的地域化特点，在本地设立行情服务器，以近乎实时地交易数据供股民浏览；在行情信息源比如：券商采集行情信息，然后转换并发送到设在ISP的行情服务器，由行情服务器提供网络服务，ISP宜选取当地比较有名气，设备先进，可扩容空间充足，带宽较高，有一定营运经验及客户基础较好的ISP，如：南宁市数据
6、局。建议使用DDN数据专线。当网上股民的数量增加时，亦可以在省内其它地方设立镜像站点。营业部可以利用盛润公司分布在各大城市的行情服务器给桂林证券南宁营业部的股民提供行情。2.2.2 交易集中化 证券交易委托服务器，可设于具有证券业务经营权的证券公司及其营业部，采用ADSL与Internet相联充分发挥网上强大的通讯资源优势，节约昂贵的电话中继线和通讯设备的投资，让更多的股民通过Internet进行证券交易和相关查询。 2.2.3 接口标准化 对柜台、银证等接口，考虑到系统安全、规模实施及扩容升级等要素实行标准化，由于前置机要与各营业部使用的柜台系统进行通讯以完成交易委托及成交查询等功能，因此要
7、得到对应柜台系统开发商的配合，给出一套开放的标准接口，对此盛润的交易软件包也会给出一套通用的接口标准，另外开发一个接口转换程序完成两个标准的转换。 银证转帐接口类似于柜台，盛润也会给出一套接口标准。2.3 桂林证券南宁营业部网上交易系统拓扑图2.4 系统功能盛润网络经纪系统主要由五个功能模块、包括：行情接收及浏览子系统、委托交易子系统、银证转帐子系统、盘中、盘后分析及数据下载子系统、F10股市资讯子系统。为客户提供全方位的电子商务解决方案，以及实时专业的财经资讯服务。2.4.1 行情分析子系统行情分析系统基本功能：1、 实时行情报价照顾用户使用习惯，全面支持钱龙小键盘功能，使用户使用全无陌生感
8、；2、 大盘走势、个股行情速度特快，每分钟可达12笔，数据特全；保留历史所有实时行情数据，只有您双击所选日线，立即可在右下角显示其当日走势。指标分析：显示个股的分时走势及K线图的各种技术分析指标，包括量线指标、K线指标、MACD指标、KD指标、OBV指标、RSI指标等。技术指标具有可进一步设置的参数，成交价格平均参数可自行设置，均线天数及均线数都可灵活修改，另外平均成交量分为两根，可分别自行设置。 全天24小时行情提供。2.4.2 委托交易子系统可完成对股票和基金的如下功能：1 买入委托2 卖出委托3 撤单委托4 委托查询，包括当日查询，本周查询5 成交查询包括当日查询，时间段查询6 余股查询
9、7 保证金对帐单查询8 保证金余额查询9 修改证券交易密码2.4.3 银证转帐子系统1 储蓄余额查询2 从保证金转款到储蓄3 从储蓄转款到保证金4 开户确认5 转托管6 办理指定交易2.4.4 盘中、盘后分析及数据下载子系统1 数据下载；2 离线浏览；3 大盘分析；4 板块定义及分析；5 自选股设置；6 综合排名；振幅排名；涨幅排名；跌幅排名；成交量排名；量比排名；委比排名；7 各种指标分析； 2.4.5 F10股市资讯子系统盛润F10的功能包括：1. 上市公司基本情况：公司所属行业、地址、营业范围、法人代表、咨询电话、传真、网址，以及重要财务数据等一目了然。2. 分红送股能力分析：提供分配潜
10、力分析、最近一次分配情况等，以便投资者对该公司的送配力度有明确理解。3. 公司发行情况：包括公司主承销商、配股主承销商、发行价格、是否发行B股、上市日期等数据资料4. 历年财务指标和利润构成：通过财务指标和利润构成的历年列表，使投资者直观了解到该公司的财务状况和历史对比情况。5. 公司简介：对该上市公司的历史和现状进行介绍，方便投资者全面了解该公司的沿革变迁。6. 价格与成交量：以昨日收盘价为基础，将公司的市盈率、市净率以及换手率、流通市值等重要数据指标进行汇总。7. 主要股东：列表显示该公司十大股东的名称、持股量和持股比例。8. 股本结构：按流通情况对公司全部股本中的国家股、法人股、A股、H
11、股、B股的数量和比例列表显示。9. 分红配股情况：为方便投资者还权，列示该公司历次分红派息配股记录。10. 公司大事记：全面记录上市公司所有内外大事，包括业务回顾和业务展望，以及有关该公司的重要报道、评述和分析。11. 财务评述：根据上市公司的基本财务数据，利用专家模型，给出一个针对该公司财务状况的结论性意见，方便股民解读报表。12. 财务比率排名：就公司企业规模、短期偿债能力、长期偿债能力、运营能力、获利能力、发展能力、现金流量等给出一个行业性的意见。2.5 典型业务流程网上经纪系统主要由券商、银行/信用卡部、ISP构成三方。以下是该系统中典型的业务关系数据流程图：A. 数字身份验证过程数据
12、流程图B. 行情查看/提供数据流程图C. 交易委托及银证转帐数据流程图第三章 技术策略3.1 网络及线路 桂林证券南宁营业部网上交易系统可分为两个层面：1 桂林证券南宁营业部已建立的稳定运行的局域网；2 额外的线路，这部分包括；行情提供：证券公司与电信（ISP）间ADSL或DDN专线；交易委托：证券公司与电信（ISP）间ADSL或DDN专线。银证转帐；以营业部为单位与当地各银行间的线路，视具体情形定线路数，一般性能要求不低于19.2K，最好有备份线路（如电话线）；3.2 系统硬软件及系统接口要求3.2.1上广域网线路ADSL连接上网方式，此方式带宽高、费用低、实施使用方便。但ADSL 在我国目
13、前属推广阶段，要视各地具体情况而定。目前，深圳、上海等地区已提供ADSL服务。DDN连接上网方式，采用此方式时每条DDN线路需要路由器和DTU各一对；若使用ISDN备份注意选取即可联DDN又有ISDN接口的路由器；使用电话线备份另需一对Modem；此方式的可在全国所有地方使用。3.2.2 计算机及服务器 计算机使用位置及数量可参照前面的网络拓扑图； 机器配置在后面的配置清单中有详述； 机型的选择，考虑到系统对安全及可靠性的高要求建议采用COMPAQ、HP和IBM等美国著名品牌厂商高档机。另对于大容量的行情提供以及总部的交易委托服务器建议采用多/双处理器双总线结构的服务器，至少8G的高速SCSI
14、硬盘。3.2.3 软件包 主要由客户端、三大软件包及各接口软件构成 行情交易的客户端，一般而言不外两种 方式1：Browser/Web Server 方式2：Client/Server 方式1的优点是客户端不需要软件，使用Internet通用浏览器即可，但系统安全由于受美国加密出口策略限制，只能达到40位，不够安全下面有详尽论述，另由于国内网络建设的现况决定了在未来一段时间内网络带宽不会有大的改善，因此速度也成问题。方式2的优点是速度快、加密策略可得到加强，缺点是系统需要客户端软件，系统升级等不够方便。盛润两种方式都提供，既有网络行情的Web based的服务器，又有经过加密统一签发密钥的客户
15、端，但交易主要以客户端为主，行情查看的程序可由盛润2000的网站免费下载。 三大软件包： +行情提供软件包 包括行情转换，行情发送，行情接受，行情网络提供等； +交易委托软件包 主要包括系统认证、加密，交易路由，通讯隔离，中央流程处理及与柜台及银行的接口等； +银证系统软件包 银证系统由于银行行业本身特点，因此个性化很强，盛润提供成功的样板；具体内容及开发等事宜需多方协商而定； 接口软件前面已经论述，盛润提供软件接口标准及成功样板，技术细节具体实施而定。3.3 安全策略自诞生以来网上金融系统就额外得网络Hacker（黑客）的青睐，另外还有成批的居心叵测的才子们搞出来的病毒；没有一套过硬的安全策
16、略，网上交易寸步难行。一个系统的安全由它的结构决定。对电子商务而言，可一分为三：网络安全、信息传递安全、安全数字验证。3.3.1 网络安全网络安全的主要技术是防火墙技术（Firewall），防火墙技术的核心思想是在不安全的网间网环境中构造一个相对安全的子网环境。目前其实现方式有两种，即基于包过滤（Packet Filter）的防火墙和基于代理（Proxy）的防火墙。包过滤型防火墙处在网络层，根据IP包的包头信息来对信息的访问进行控制，而IP包的包头主要包括以下信息：IP包的源地址、目的地址、包类型、端口号，因此包过滤型防火墙主要完成基于地址和端口的过滤功能。基于代理的防火墙，也叫应用层防火墙，
17、处于应用层，可对IP地址和发生在该IP地址上的具体应用进行控制，由于它能识别应用协议，因此可对应用的整个过程进行控制，比如在应用建立时的密码验证、在FTP应用中允许某站点get而不允许put等等。这两种防火墙各有优缺点，包过滤型防火墙由于基于网络层，因此对用户来说比较透明，但它一般采用“没被禁止的就是允许的”这一策略，在它失效时，网络是畅通的，这时内部网络将失去安全的屏障，而应用层防火墙采用“没被允许的就是禁止的”这一策略，在它失效时，内部网络与外部网络是隔离的，因此应用层防火墙要比包过滤型防火墙安全。盛润公司采用的是应用层防火墙 + 包过滤防火墙复合技术； 首先，盛润公司采用支持包过滤的Ci
18、sco路由器，通过设置access-list的过滤规则来实现包过滤功能：禁止外部网络对内部网络的重要机器的访问，并且利用端口号来选择控制的应用协议。另外，盛润公司采用一台通讯隔离服务器的方式，在外部网和内部网使用公司自己开发的一套通讯协议，只有盛润公司的经过加密的程序和数据才能通过该隔离。这样即使有非法侵入者即使通过了包过滤防火墙也不可能通过应用层防火墙。公式：“没被禁止的就是允许的”/“没被允许的就是禁止的”=“安全”3.3.2 信息传递安全除了网络本身是安全的外，信息在传递过程中，会面临被窃取、重发和修改和恶意跟踪等威胁。为此要保证信息在传递过程中的安全。Internet主要采用TCP/I
19、P协议，但TCP/IP协议本身不提供任何信息安全方面措施，因此必须另外开发。而这方面的主要技术是加密技术。这里我们要谈三个问题：一个是安全标准，一个是加密方法和加密强度，最后是协议。1安全标准目前，Internet上有几种加密协议在使用，对应(七层)网络模型的每一层都已提出了相应的协议。对应用层有SET(安全电子交易)协议。对会话层有SSL(安全套层)协议。在所有的协议中，SSL和SET与电子商务的关系最为密切。SSL(Secure Socket Layer Protocol)网络资料传输的安全协定，是由著名的Internet先驱Netscape Communication提出的针对数据的隐秘
20、性/完整性/身份的确认/开放性的安全标准机制。Netscape公司已经把SSL协议递交给W3C网络安全工作小组以便使之成为万维网应用的安全标准。尽管使SSL协议成为标准还需要一段时间，但SSL协议事实上已被大部分万维网软件生产商所采用。SSL协议能很好地解决身份验证、信息保密、信息完整等网络信息传输过程中最为关键的安全保密问题。SET(Secure Electronic Transactions)安全电子交易规格，是由著名的信用卡机构VISA及MasterCard提出的针对电子钱包/商场伺服器/认证中心的安全标准。由于Visa与MasterCard的强大实力，以及得到IBM，Microsoft
21、等业界巨人的支持，SET协议得到了业界的广泛支持。 2加密方法和加密强度信息加/解密技术可分为两种体系，即单密钥的加密体系和双密钥的加密体系/也称对称加密和非对称加密。单密钥的加密体系/对称加密在加密和解密时采用相同的密钥，如著名的加密算法DES；加密和解密过程采用了相同的密钥。这一密钥必须由信源方和信宿方在通信的加密过程之前通过秘密途径达成一致，所以这种方法也叫密钥加密系统。双密钥的加密方法/非对称机密又叫公开密钥的加密方法，加密和解密时采用不同的密钥，即公开密钥和私人密钥，如著名的RSA算法。非对称加密系统，是在76年Diffie和Hellman提出的公钥加密加密模型的基础上发展起来的。这
22、一方法的特点是：定义特定的互逆数学变换，但该变换可以保证计算复杂性的单向性。也就是说，可以方便地由A变换到B，但是要实现从B到A则不能满足可计算性（即算法的时间复杂度和空间复杂度远远超过实际能够承担的范围，比如让全世界所有的计算机同时计算同一问题，要花费几万年，这种问题我们就认为是不能满足可计算条件的）。利用该数学变换的特性，加以巧妙地组合，可以构建加解密算法系统。在这样的算法系统中，任何通信方可以公布一个密钥，由专门的密钥管理机构管理。这样，甲如果要与乙通信，首先通过向密钥管理机构申请得到乙的公钥，并用乙的公钥加密需要传递的信息。由于只有乙的私钥和他自己的公钥才能构成一对变换，所以甲送来的信
23、息只有乙才看得懂。也就是说，在甲对信息加密后，即使是他自己，也无法看懂自己得到的密文！这样，通过以上方法，就可以在不需要专用的秘密途径来达成某对称密钥。当然，事物是一分为二的。对称加密技术虽然必须首先达到密钥的保密传输后，才能付诸使用。但，在该方法中，密钥只需要通过伪随机产生即可，非常迅速；加、解密处理速度也很快，目前还有相应的硬件产品。非对称加密算法虽然具有上文提到的优势，但是为了使产生的密钥满足变换复杂性的单向性，需要非常高深的数论、近世代数以及计算复杂度理论的知识。密钥产生速度一直是该方法得到广泛应用的瓶颈。同时，密钥的维护、管理也比较困难。目前，在这一领域，有许多数学工作者和密码学家集
24、中于这方面的研究。现在采用的方法是融合两种加密算法的优势，用非对称加密算法传递对称密钥，而实际的大量数据则由对称加密算法加密传递，以满足速度上的要求。这两种加密体系在Internet都得到了不同的应用。比如Unix系统的用户密码password就采用DES算法；而信息加解密工具PGP（Pretty Good Privacy）采用了公开密钥的加密方法。那么各种加密算法被攻破的可能性有多大呢？让我们以比较常用的DES与RSA加密算法为例作一分析。目前，破译DES的最佳手段还是强行破译法。设备投资为100万美元时对不同长度的DES密钥进行强行破译的时间长度如下：密钥长度年份40位56位64位80位1
25、12位128位1995年.2sec3.6hrs38days7,000yrs10yrs2000年.02sec21min4days700yrs10yrs2005年2ms2min9hrs70yrs10yrs2010年.2ms13sec1hr7yrs10yrs而目前对RSA的最佳破译法是叫做General Number Field Sieve的因子分解法。用因子分解法对不同长度的大数进行因子分解的成本如下：大数长度年份332位498位664位830位996位1162位1995年USD74010M40B20T3000T2000年741M4B2T300T2005年7.4100K400M200B30T201
26、0年0.741000040M20B3T根据上述分析专家们认为：按目前的技术：密钥长度为85位或以上的DES加密算法或密钥长度为1024位或以上的RSA加密算法。直到2000年，可以认为是难以攻破的，而密钥长度少于上述标准的加密算法则是不甚安全的。在美国本土，各网上证券交易系统基本选用密钥长度为128位triple-DES：(64-8)*2的对称加密方法以及密钥长度为1024位的非对称加密方法（通常为RSA算法），因此，可以认为系统是安全的。由于象DES、RSA这样的加密技术除了可用于商业目的外，还能用于军事目的（事实上，美国目前在军事上就普遍采用了类似的加密技术），因此，美国对加密技术一直采取
27、了非常严格的出口限制。直到最近，美国一直禁止把密钥长度超过40位的对称加密技术或密钥长度超过512位的非对称加密技术出口到美国之外的任何地方。从97年年中开始美国虽然放松了对部分国家加密技术出口的控制，但中国仍被列入“黑名单”，维持原出口限制不变。根据上面的分析，40位的对称加密或512位的非对称加密显然是不安全的，因此，企图利用美国允许出口的技术在中国建立网上证券交易系统显然是不现实的。有鉴于此，盛润公司组织了大量的人力物力进行攻关，经过一年多的时间开发了SBCA-1对称加密技术（其加密强度不亚于密钥长度为128位的Triple-DES加密算法）、攻克了RSA非对称加密技术以及SHA 杂凑函
28、数技术，这样，我们就完全打破了美国对我国的技术封锁，独立自主地开发出安全可靠的网上证券交易系统。 以下为盛润公司加密算法基本工作流程： 3协议由于 TCP/IP协议本身不提供任何信息安全方面措施，因此必须另外开发。目前，Internet上的信息加密有两种途径：基于IP层的信息加密和基于应用层的信息加密，基于应用层的信息加密是传统的方法，用户在发送信息前，利用加密工具先将信息加密，然后才发送出去，接收方可利用相应的解密工具还原信息；基于IP的信息加密是Internet上的一种新技术，它对IP包进行加密，对于应用层的用户来说是透明的，用户无需在传送数据前进行加密，数据的安全是通过IP层自动实现的，
29、但是这种应用要求发送方和接收方采用同样的技术、同样的产品，目前已有采用这种技术的产品出现，比如Sun公司的防火墙Sun Screen就具有此功能。利用基于IP包的信息加密技术可在Internet上实现安全的私有网络SVPN（Secure Virtual Private Network）。另外，信道加密技术(IP Sec)也可以在两个网络结点之间建立透明的安全加密信道。其中利用IP认证头(IP AH)可以提供认证与数据完整性机制。利用IP封装净载(IP ESP)可以实现通信内容的保密。IP信道的优点是对应透明，可以提供主机到主机的安全服务，并通过建立安全的IP隧道实现虚拟专网即VPN。对IP V
30、6标准，IP Sec在安全上做了更多的工作。 前面提到SSL是基于对话层的一种安全标准，但标准本身是不能使用的，只有基于标准的具体实现的协议才是我们需要的，以下我们就简单论述SSL协议的实现，为了叙述方便，我们还是简称SSL，注意不要和标准混淆。从原理来说，SSL协议是通过把对称加密技术、非对称加密技术与杂凑函数技术结合起来而实现各项安全保密功能。SSL协议所能实现的安全保密功能以及为实现各项功能所采用的技术如下：功能所采用的技术所防范的攻击类型信息保密性对称加密技术信息窃密信息完整性杂凑函数技术信息篡改身份的相互验证非对称加密技术身份仿冒信息保密性：在遵循SSL协议的两台计算机传递的所有信息都通过对称加密技术（如DES）予以加密。这样，网络窃听者虽然可利用 IP packet sniffers等手段截获两台计算机之间的信息流，却不可能读懂信息流中的内容。信息完整性：网络中可能有这样一些人，他们虽然不能读懂您传递的信息，却恶意地对信息包进行篡改，使对话双方产生误解。SSL协议利用了杂凑函数技术（如SHA）对此进行了防备。信息包一旦被篡改，就不能通过杂凑函数检验，该信息包就会被丢弃。身份的相互验证：为验证对方的身份，遵循SSL协议的两台计算机在进行对话之前都有一个握手过程。握手过程中所交换的信息如下：1、双方交换X
