一個安全的互聯(lián)網(wǎng)金融系統(tǒng)環(huán)境對于互聯(lián)網(wǎng)公司業(yè)務(wù)的開展具有十分重要的意義，但由于開發(fā)人員大多沒有豐富的經(jīng)驗所以搭建的互聯(lián)網(wǎng)系統(tǒng)平臺存在很多漏洞，如XSS、SQL等。因此，在系統(tǒng)開發(fā)設(shè)計過程中，開發(fā)人員可以從以下幾方面防止業(yè)務(wù)設(shè)計缺陷的出現(xiàn)。
互聯(lián)網(wǎng)金融業(yè)務(wù)要正常開展，就必須有安全穩(wěn)定的系統(tǒng)平臺做保障。因此平臺科學(xué)合理開發(fā)相當(dāng)?shù)闹匾?。首先，在系統(tǒng)開發(fā)前要組建一支具有豐富互聯(lián)網(wǎng)金融平臺開發(fā)經(jīng)驗，熟知互聯(lián)網(wǎng)金融平臺在實際運行遇到各種各樣的風(fēng)險，非常了解互聯(lián)網(wǎng)金融業(yè)務(wù)流程，具備非常強的安全意識的人才隊伍。
一是解決越權(quán)漏洞防護。越權(quán)漏洞一般包括平行越權(quán)和垂直越權(quán)。對平行越權(quán)漏洞防護中，增加訪問與操作對象的用戶屬性，在對目標(biāo)對象進行訪問與操作時，服務(wù)端校驗會話與對象的用戶屬性，在校驗通過后才能執(zhí)行讀取和操作。對垂直越權(quán)漏洞防護中，所有訪問采取默認(rèn)拒絕機制，采取基于角色訪問控制，對于各個功能的訪問，規(guī)定不同角色擁有不同的訪問權(quán)限，當(dāng)用戶在使用該功能時，系統(tǒng)要校對用戶的權(quán)限和訪問控制機制是否與規(guī)定相同，通過校對者才能使用，否則拒絕使用該功能。
二是解決任意用戶密碼修改的問題。主要解決用戶使用重置密碼功能修改密碼，在修改的過程中要保證驗證碼自身安全，限定認(rèn)定隨機驗證碼的次數(shù)，如果認(rèn)證次數(shù)超過了限定時驗證碼立即失效。也要保證使用短信驗證碼時驗證流程不被繞過，必須經(jīng)過服務(wù)端的會話信息來判斷用戶是不是經(jīng)過了短信驗證碼的校驗。還要保證不能換位使用重置密碼功能，不能從客戶端參數(shù)中獲取重置密碼的目標(biāo)賬號，應(yīng)從服務(wù)端會話層獲取。
三是解決惡意注冊代碼的問題。在注冊中一般使用郵箱認(rèn)證或手機短信認(rèn)證，因缺陷或被惡意利用，常出現(xiàn)惡意注冊代碼。在設(shè)計平臺注冊時，對于這兩種注冊認(rèn)證方式的認(rèn)證次數(shù)要加以限制，特別注意郵箱認(rèn)證的不可預(yù)測性。要保證注冊目標(biāo)賬戶是會話層中保存的郵箱或手機。
四是解決惡意短信代碼的問題。解決惡意短信類安全問題時，可以從服務(wù)端限制每個電話號碼每天發(fā)送的次數(shù)與發(fā)送頻率，防止攻擊者使用短信接口對服務(wù)端進行惡意轟炸。只有通過圖形驗證碼認(rèn)證的情況才能發(fā)送短信，有效阻止攻擊者通過便利手機號來發(fā)送短信。系統(tǒng)內(nèi)部對發(fā)送短信的內(nèi)容直接定義，通過數(shù)字和字符的方式，客戶端選擇所需要發(fā)送的內(nèi)容，通過數(shù)字來索引要發(fā)送的內(nèi)容。
（原標(biāo)題：如何構(gòu)建互聯(lián)網(wǎng)金融信息安全？從以下四方面入手）
