请详细解释以下名词：
圈存
user
圈存就是增加卡中电子现金余额的过程。圈存有多种实现方式，可以从主账户中划入金额，也可以通过现金进行圈存，或者从其它账户转入金额，但圈存后的电子现金余额不能超过电子现金余额上限(即1000元)。#### 圈存技术现状分析

目前，基于固定地点的圈存技术方案主要包括：
基于电子钱包的幽存方案：基本遵循《中国会融集成电路(IC)卡电子钱包／电子存折规范第2部分：应用规范》，目前非金融行业领域主要采取该技术方案”；
基于电子现金的圈存方案：基本遵循《中国金融集成电路(IC)卡规范第13部分：甚于借记／贷记应用的小额支付规范》，目前金融领域主要采取该技术方案”。
圈存系统的安全性分析与防范从实现功能的角度来说，电子现金和电子钱包没有区别，二者均可实现圈存、消费、查询余额3项基本功能。但是电子现金解决方案是完全兼容借记／贷记应用的支付产品组件，并具有标准借记／贷记应用的高级风险管理特性。
而电子钱包本身是独立于借贷记的一种应用，其交易流程与借贷记应用有很大的差别，是人民银行专门为小额支付推广制订的一个应用，其优点在于和电子现金相比其交易流程较为简单，缺点在于安全性和电子现金相比存在差距。
从用户使用圈存技术的角度来看，电子现金和电子钱包的这两种圈存方式，都是基于固定地点来实施的圈存方式，除具体圈存技术内部实现技术上的区别外，对广大的实际用户来说，都需要去一个固定场所办理圈存的相关业务。
因此，从这一点米说，电子现金和电子钱包这两种传统的圈存方式，已经无法很好地适应目前移动支付蓬勃发展的新形势。
从单纯的圈存技术角度来看，目前这两种传统的圈存方式彼此之间是分离的，是基于不同的技术原理和相关标准规范来设计并最终建立起来的。
从单纯的圈存技术角度来看，目前这两种传统的圈存方式彼此之间是分离的，是基于不同的技术原理和相关标准规范来设计并最终建立起来的。
从实现技术和最终的业务提供平台来讲，这两种圈存方式彼此之间是完全分离的。不同的技术方式提供相同的业务和应用，可能会出现基础设施重复建设和资源浪费的一些情况。
正是由于传统的基于固定地点的圈存方式存在诸多问题，现已无法满足和适应蓬勃发展的移动支付的广泛需求。#### 圈存系统的安全性分析与防范

1.系统功能结构
固存系统是第三代银校一卡通的主要子系统，与银行合作共同完成由学生银行卡向校园卡转账的功能。该系统通过圈存机终端向学生提供圈存、银行卡余额查询、校园卡余额查询、校园卡修改密码等功能。圈存系统组成分为硬件和软件两部分。硬件部分包括前置机主机服务器、自助终端等设备，提供系统的操作界面、数据处理、数据存储等功能。软件部分包括圄存前置机上的服务程序，终端设备上的自助服务软件，校园一卡通应用主机上的服务处理程序，和银行前置机的接收服务程序，共同完成数据的转发、交易记账等功能。
2.安全性分析
圈存系统作为一个实时转账系统，其安全性是至关重要的。该系统涉及两个网络之间的通讯，即校园网和Internet网络之间的通讯。如何防止来自Intemet对校园网的外部攻击．保证圈存前置机与银行前置机之间的信息通讯安全是我们需要考虑的问题。从交易的角度上看，圈存前置机需要和三方进行相互通讯．即罔存前置机与前置机，圈存前置机与银行前置机。圈存前置机与校囝一卡通应用主机。我们要保证通讯双方要相互认证，防止非法终端参与交易。我们要保证信息所涉及的各个点都要保证安全，圈存业务是由持卡人在圈存机上发起交易的，如何坊止伪卡参与交易，非法圈存机终端进行交易，敏感信息在通讯线路上被窃取、篡改等问题。圈存系统所面临的安全问题可归纳为以下几类：
a．信息泄漏。圈存金额、银行卡密码等重要信息在传输过程中被窃取，篡改。
b．假冒身份。无权限的用户、圈存机终端、服务端伪装成有合法权限的用户、圈存机终端、服务端的身份访问校园一卡通圈存系统，非法参与交易，给学校和银行造成经济损失。
c．否认或抵赖。指数据交换的参与者如持卡人，银行等终端，否认其行为。导致系统无法进行对账，导致了系统的不稳定性。
d．密钥泄漏。指卡片内密钥和系统进行加密解密的密钥被人窃取。可以解析系统中流动的密文，或制造伪卡进行交易，导致系统失去其安全性。
3.防范策略
只要是可能影响系统安全、稳定、持续运行的一切不利因素都必须进行严格的防范和控制。新模式下的校园“一卡通”圈存子系统针对交易过程的每一个关键节点都设计了有针对性的安全措施，从而构筑了一个立体的、完整的安全防范体系。
3.1通讯安全性
在前置机和银行之间通过一条DDN专线进行通讯，DDN即数字数据网，是以传输数据信号为主的数字传输网络。提供点对点的高可靠传输通道。在前置机上设置双网卡，从物理上隔离校园网和银行专网．保证任何一方无法发起对另一方的恶意攻击。
3.2交易节点的安全性
交易节点包括IC卡片、圈存机终端、圈存前置机、校园一卡通应用主机服务器和银行前置机；着重考虑直接面向用户的IC卡片的安全性。在校园一卡通系统整体设计时将IC卡片根据不同的应用划分不同的分区，如基本信息分区、圈存分区、消费分区等。各个应用分区拥有各自不同的密钥，如信息维护密钥、圈存密钥、消费密钥等。在密钥生成时，由主密钥根据lC卡的应用序号进行3DES分散运算得到。由于每张IC卡的同一应用分区的应用序号都是不同的，保证了每张IC卡的相同分区的密钥不同。将卡余额等敏感数据通过DES算法加密后存储在卡片中，为数据再加上一层保护措施，防止数据被篡改。
3.3交易节点之间认证
在系统中设计了三级认证体系，防止无权限的某用户、圈存机终端、服务端伪装成有合法权限的用户、罔存机终端、服务端的身份去访问校园一卡通圈存系统，非法参与交易，给学校和银行造成经济损失。第一级是lc卡和罔存机之间的认证。第二级是圈存机与圈存前置机之间的认证。主要是通过在软件上采用IP访问控制列表来实现的。第j级是圈存前置机和银行前置之间的认证及圈存前置机和后台应用主机之间的认证。在系统软件设计实现过程中，采用签到方式来实现第三级的认证。银行向学校提供一个认证码，圈存前置机每天向银行方发起签到请求．把认证码加密后发送给银行，进行认证，认证通过后。银行端返回当天的MAC密钥，对当天向银行发送的数据报文都用此MAC密钥进行加密．银行端验证处理接收到的报。圈存前置机和后台应用主机之间的认证和与银行前置之间的认证原理相似，不同的是认证码是圈存前置机自身的IP和MAC地址信息。
3.4数据安全性
系统中的一些敏感信息．如校园卡密码、圈存金额等重要信息通过加密之后存储到数据库中。系统采用Oracle9i作为整个系统的后台中心数据库。Oracle具有高安全性．安全等级达到C2级．架构在公认系统级数据安全的基础上，Oraele数据库本身使用了多种手段来加强数据库的安全性，常见的就有密码、角色、权限等等。而且，后台中心数据库采用双机热备份来保证系统安全稳定运行。使终端设备的批量交易数据能够实时回传。数据存储采用双重保障机制．一方面通过磁盘阵列柜进行交易数据的实时备份；另一方面通过磁带机对每天日结后的数据进行备份保存，保证数据存储的完备性、安全性和可靠性。
数据在传输过程中，系统采用了端到端的加密方式。在实际工程应用中。由于非对称加密体制算法开销较大、处理速度慢，在系统中采用了对称加密体制算法。选择的对称加密算法是基于DES的不公开算法。
assistant