获奖单位：中信建投证券
荣获奖项：专家好评TOP10优秀案例奖
一、项目背景及目标
随着我国经济的快速发展和金融科技的日新月异，证券投资者数量持续增长，对证券交易服务的需求日益增强。在这一背景下，我国证券行业的服务能力显著提升，但同时国际环境复杂多变，金融安全面临严峻挑战。为实现信息安全的自主可控并提升安全保障水平，国家层面对商用密码应用提出了明确要求。中国证监会自2014年起发布了一系列关于加强证券期货领域国产密码应用的通知和规划文件，旨在推动SM系列商用密码在证券期货业的全面应用。根据《证券期货业密码应用工作规划》，证监会做出金融行业密码技术升级的统一安排，要求实现SM系列密码在证券期货领域的全面升级，充分发挥密码技术在保障证券行业信息安全中的重要作用。
证券公司网上交易系统是为客户提供一站式金融服务的重要平台，也是证券公司的核心系统，系统的稳定性、可靠性、安全性尤为重要。特别是近年来移动互联网、5G的快速发展，移动证券交易系统所提供的服务愈加丰富，其所占的交易比重越来越高，超过近80%的客户使用移动证券交易系统进行证券交易、理财、投顾、咨询等活动。因此，为进一步保障交易的安全可靠，中信建投证券积极响应国家战略需求，结合移动证券交易应用的技术特点、应用场景，探索基于国产SM系列商用密码技术的解决方案，解决现有移动证券交易系统架构存在的安全风险，尤其移动终端信息存储安全、移动互联网交易过程中的客户身份识别和认证、互联网交易通讯过程的通信信道安全等。
在密码技术方面，采用国产化商业密码技术替换现有国际RSA算法的SSL证书，实现证券交易系统的身份认证、数据加密及签名服务；在系统架构方面，设计并实施一套符合国家安全要求的高可用、高性能的证券交易系统架构，确保在金融信息安全的前提下，保障系统的稳定性和实时性，满足证券交易高并发、低延时的要求，降低因外部环境变化带来的风险；在用户体验方面；保证用户在各种终端、网络的复杂环境下都能享受便捷、安全的线上交易服务。
二、创新点
项目首次在金融行业内实现了基于SM系列商用密码技术和信创产品的全面应用，解决了移动证券交易系统的通信信道安全、客户身份认证安全两大问题，并同时从软件、硬件两个层面实现了系统安全性的自主可控，在信创改造方案中，整合国产化操作系统、数据库、中间件及硬件设备，解决不同产品之间的兼容性问题，在保障系统性能的同时，确保信息安全和数据完整性，满足了《GBT 39786-2021 信息安全技术 信息系统密码应用基本要求》的三级要求。同时，通过部署架构优化，结合智能路由技术，提高了系统的灵活性、稳定性和数据传输效率，满足证券交易系统高可用、高并发、低延时的技术架构要求。
三、项目技术方案
本项目通过采纳国密和自主可控（信创）的双重策略，为中信建投证券的蜻蜓点金APP打造了一个高度安全、可靠且响应迅速的在线交易平台。技术方案的核心是国密SSL安全通道的构建，结合了SM2、SM3和SM4的商用密码技术，保障了数据传输的安全。项目亮点在于采用了协同签名技术，通过密钥分割和分布式管理，显著增强了客户端和服务端密钥的安全性。
高可用性部署模式确保了系统在各种环境下的稳定运行，智能路由技术的使用则提升了网络效率，优化了数据传输。此外，本项目特别关注了系统的扩展性和未来的升级需求，提供了插件式的工具接入选项，展现出强大的适应性和前瞻性。
1.国产密码技术应用
本项目以国产SM系列商用密码技术为核心，主要包括SM2、SM3和SM4等算法，通过构建SSL VPN安全通道，确保数据传输的安全性、机密性和完整性。此外，项目还利用数字证书实现用户身份鉴别，为中信建投证券手机交易系统提供坚实的安全基础。
2.混合部署模式
区别于传统的纯硬件或纯软件部署模式，本项目创新性地采用加密机集群与纯软件相结合的部署方式。中心机房部署加密机集群、密码管理系统（KMS）和证书管理系统（CDS），提供统一的安全服务；而接入端则仅部署协同签名网关（SKS），既保证了系统性能，又降低了后期扩容的压力。
3.高可用架构
考虑到证券期货交易系统对稳定性、实时性和安全性的高要求，本项目采用高可用集群架构。通过将SSL协同签名网关升级为NSAG新一代网关，提升了整体结构的可靠性和对硬件设备的兼容性。同时，结合完善的应急预案措施，有效应对各种可能出现的问题，确保系统的稳定运行。
4.信创部署实践
遵循国家信创战略要求，本项目通过自主研发和适配，实现了从x86架构到arm架构的全面转换。不仅交易系统本身完成了信创部署，配套的CA服务、数据库等也相应进行了信创改造。这一实践不仅确保了系统的自主可控和信创兼容性，还为行业内的其他系统提供了有益的借鉴和参考。
5.终端安全适配
终端密码模块的通信链路是基于操作系统底层通信库实现，并采用了终端的可信安全存储机制，保障了国密通信、客户身份认证相关的证书、秘钥片段、PIN码摘要信息都在终端存储安全。同时设计上可以快速支持不同的通信库要求和三方通信插件，保证上层业务调用更方便和易用。
通过以上技术路线的实施，本项目成功将国产SM系列商用密码技术应用于中信建投证券手机交易系统，并实现了信创部署的综合实践。这一创新性的解决方案不仅提升了系统的安全性和稳定性，还为金融行业的信创建设探索了新的路径。
四、项目过程管理
项目实施主要分为以下几个阶段：
1.可行性分析及方案调研。项目组结合行业的相关技术要求，以及国产化密码技术的应用情况，深入探究未来业务和技术发展趋势，明确系统升级和扩展的具体目标及要求。
2.总体方案制定及论证。基于前期可行性分析成果，精心制定包括硬件适配、软件架构及安全强化方案在内的总体系统架构，并邀请行业专家对方案进行评审。
3.系统开发与验证阶段。按照设计方案严谨执行系统的开发与测试流程，包括功能测试、兼容性测试、性能测试、稳定性测试、馄饨工程测试等，确保系统整体的稳定性和与其他系统组件的良好兼容性。
4.上线部署与试运行。采取灰度发布的策略，在生产环境中正式部署运行，逐步扩大系统的服务范围和规模。在实施过程中收集用户反馈和系统运行数据，驱动针对性的持续技术调整和系统参数优化。
五、运营情况
根据系统的架构设计，上线后完成了两地三中心的部署，并且系统上线后运行稳定，累计为超过400万用户颁发数字证书，每日处理请求近2亿笔。
六、项目成效
在社会成效方面，该项目的成功贯彻落实了国家信息安全战略，按照证券期货领域国产密码应用的要求，成功落地国产化商业密码在移动交易系统中的应用。标志着我司网上交易系统成功从依赖传统国外密码技术转向完全基于国产密码技术体系，促进了金融科技领域的技术进步与创新。同时，作为行业首批落地实施的方案，成功推动了信创国密技术在证券期货行业的应用与发展，为行业下一步全面推广国产商业化密码应用提供一定的借鉴意义。
在公司内部成效方面，通过SM系列国产密码算法和协同签名技术应用，大幅增强了网络交易安全，有效防范了各类网络安全风险，为客户的个人信息通信安全、证券交易、资金划转提供了安全保障机制。同时，通过技术架构和系统架构的创新应用，有效降低了系统的技术风险和操作风险，提升了系统的稳定性和可靠性。
七、经验总结
本项目首次在行业内融合了国产商用密码技术（SM2、SM3、SM4）与信创架构，相比前期的案例，该项目起点更高、要求更严、技术实施难度更大。通过持续优化SM系列商用密码算法性能、引入国密SSL VPN、协同签名模块、使用密钥分割技术，实现SM系列商用密码算法与“高并发、低延时”高效融合，开拓性实现了行业首家信创部署，为证券行业提供了一套全面的安全增强解决方案，展示了显著的示范效应。它为追求自主可控的安全技术体系的机构设立了标杆，并在增强系统安全性与用户认证可靠性方面做出了示范，比如数字证书与密钥管理系统的高效整合。该项目不仅满足了监管的合规要求，也积极响应了国家对商用密码应用的倡议，为同行业提供了一套可复制、可推广的安全管理模式。
更多金融科技案例和金融数据智能优秀解决方案，请在案例库、选型库查看。
