2023銀行應用程序接口安全管理規(guī)范

范 規(guī)范性引用文 術語和定 縮略 概 接口類型與安全級 安全設 安全部 安全集 安全運 服務終止與系統(tǒng)下 安全管 附錄A（規(guī)范性附錄）商業(yè)銀行應用程序接口關系示 附錄B（資料性附錄）商業(yè)銀行應用程序接口統(tǒng)一識別碼編碼規(guī) 銀行應用程序接口安全管理規(guī)范GB/T25069JR/T0071.2—2020金融行業(yè)網絡安全等級保護實施指引第2JR/T0124—2014JR/T0185—2020GB/T25069應用程序接口applicationprogramming應用方application應用程序接口唯一標識applicationprogramminginterfaceunique應用程序接口統(tǒng)一標識碼uniqueapplicationprogramminginterface應用軟件開發(fā)工具包softwaredevelopment應用唯一標識applicationunique應用鑒別密文application應用合法性鑒別憑證，與應用唯一標識配套使用，以驗證通過API方式接口的應用合法性。接入驗移動金融客戶端應用軟件financialmobileapplication支付賬號payment個人金融信息personalfinancial支付敏感信息paymentsensitiveAPI：應用程序接口（ApplicationProgrammingAPI_ID：接口唯一標識（ApplicationProgrammingInterfaceuniqueID）U_API_ID：應用程序接口統(tǒng)一標識碼（UniqueApplicationProgrammingInterfaceID）App_ID：應用唯一標識（ApplicationuniqueID）App_Secret：應用鑒別密文（ApplicationSecret）SDK：應用軟件開發(fā)工具包（SoftwareDevelopmentKit）2FA：雙因子驗證（2FactorAuthentication）SSL：安全套接層協(xié)議（SecureSocketsLayer）TLS：安全傳輸層協(xié)議（TransportLayerSecurity）MAC：消息鑒別碼（MessageAuthenticationCode）DDoS：分布式拒絕服務攻擊（DistributedDenialofService）HTML：超文本標記語言（HyperTextMarkup恒豐銀行應用程序接口服務是一種依托API技術實現(xiàn)內部與外部互聯(lián)的金融服務模式。恒豐銀行通態(tài)黏性提供有力補充。外部機構能夠通過互聯(lián)網渠道，調用恒豐銀行應用程序接口（外部API，詳見附圖 流程圖/架構——應用方服務端直接調用恒豐應用程序接口（如REST、SOAP協(xié)議）——應用方服務端使用恒豐提供的服務端SDK，其中，服務端SDK主要實現(xiàn)恒豐通用接口算法的封裝，為降低應用方接入開發(fā)難度，一版此類SDK——應用方服務端應用軟件使用恒豐提供的移動終端應用SDK，移動終端SDK除封裝恒豐通用接入算法外，還可封裝業(yè)務邏輯、個人金融安全保護（例如密碼數據按照服務場景類型將應用程序接口安全級別分為兩級，安全保護要求從A2至A1A2:資金交易與賬戶信息查詢應用類，此類金融產品和服務與用戶個體直接關聯(lián)，實施高等級安全SDK，SDK，提供用戶賬戶信息查詢類服務，如賬戶余額、交易歷史、賬戶限額、付款時間、金A1:金融產品與服務信息查詢應用類，此類金融產品和服務與用戶個體并無直接關聯(lián)，實施通用的IPv6IPv4/IPv6App_ID、App_SecretApp_IDApp_ID合《中華人民共和國電子簽名法》、JR/T0118—2015等有關規(guī)定，確保數字證書的唯一A2級別的接口，商業(yè)SDK——APISDKSDK實現(xiàn)方式的技術細節(jié)。（或其等效信息），——不應以編碼的方式將私鑰明文（或密文）編寫在商業(yè)銀行應用程序相關代碼中SM系列密碼算法（GM/T0002—2012、GM/T0003—2012、GM/T—2012），MD5、SHA-1、DES商業(yè)銀行與應用方應遵循商業(yè)銀行應用程序接口網絡部署邏輯結構示意圖，見圖2，進行商業(yè)銀行應用程序接口的安全部署。商業(yè)銀行及應用方都應在互聯(lián)網邊界部署如防火墻、IDS/IPS、DDoS防護等圖2商業(yè)銀行的安全控制要求依據JR/T0071部署相應級別的安全控制措施。應用方部署商業(yè)銀行應用App_ID及與之相匹配的應用鑒別密文App_IDApp_IDApp_SecretApp_IDApp_IDApp_IDApp_Secret、數字證書（或公私鑰對）的A21）中第二條至第四條給出的任意一種方式進行雙向A1MAC校驗等手段，保證商業(yè)銀行與應用方之間數據傳輸的完整性，必要時可A2類應采用數字簽名等手段，保證商業(yè)銀行與應用方之間數據傳輸的完整性與不可抵賴SSL/TLSTLS1.2SETEESETEESEJR/T0098.5TEEJR/T0156—2017App_ID、接口、用戶等維度，依據最小授權原則進A26個月?！獞梅綉鶕虡I(yè)銀行提供的用戶手冊以及商業(yè)銀行授權其使用的服務類型，正確合理使用SDK，則應用方需使用商業(yè)銀行提供的SDKAPISDK進行反編譯、篡改或二次封裝。1——應建立應用方信息（如運營能力、風控能力等）B7.3.37.3.3 （規(guī)范性附錄圖A.1銀行API企業(yè)定制API（PartnerAPIs）：指銀行與特定的合作伙伴之間進行定制集成，目標是支持特定的外部API（PublicAPIs）：指銀行廣泛地面向應用方提供標準接口，供外部合作伙伴使用的API， （資料性附錄商業(yè)銀行應用程序接口統(tǒng)一識別碼（U_API_ID）編碼見表B.1表B.1262662固定位值固定為字母“OP”，商業(yè)銀行機構代碼應符合JR/T0124—2014，采用金融機構編碼的前6接口類型編碼由200保留，01表示A1安全級別，02表示