建站
咨詢
售后
建站咨詢
新聞中心
目前，很多企業(yè)已建立一套服務(wù)于業(yè)務(wù)，驅(qū)動業(yè)務(wù)發(fā)展的IT系統(tǒng)架構(gòu)、OA系統(tǒng)及各種業(yè)務(wù)系統(tǒng)，同時也部署了諸如防火墻、VPN等技術(shù)來保護IT系統(tǒng)。 盡管網(wǎng)絡(luò)的硬件和軟件環(huán)境看上去都受到了保護，達(dá)到理論的安全標(biāo)準(zhǔn)。但事實上，在整個IT系統(tǒng)架構(gòu)中依然存在一個很容易被忽視的部分——“用戶身份認(rèn)證”。如果“身份”問題不能得到解決，黑客將會很容易冒充正常用戶進入到公司系統(tǒng)，竊取公司內(nèi)部的機密信息，使貌似安全的環(huán)境，卻成為“網(wǎng)絡(luò)安全最薄弱環(huán)節(jié)”。 許多公司僅用靜態(tài)密碼對他們重要的信息和交易業(yè)務(wù)進行保護，這是完全不夠的。靜態(tài)密碼很容易被黑客破解，對于一些重要的、機密的數(shù)據(jù)信息，只使用靜態(tài)密碼保護是絕對不足夠的。 20011年3月，RSA公司透露其受到網(wǎng)絡(luò)攻擊，攻擊造成SecurID的關(guān)鍵信息丟失。6月2日，RSA確認(rèn)了在3月份的被盜的數(shù)據(jù)被用來攻擊洛克希德-馬丁公司和其他美國國防承包商。6月6日，該公司在全球范圍召回4000萬只SecurID。 針對這一事件的一項調(diào)查發(fā)現(xiàn)，越來越多的安全令牌用戶對雙因素認(rèn)證技術(shù)感到焦慮。在接受調(diào)查的400名IT專業(yè)人士中，該事件讓他們有所覺醒，其中，44%的人正重新評估他們目前使用的令牌，15%的人加快了已經(jīng)計劃好的令牌選項評估。 由此可見，加密是確保認(rèn)證安全性的關(guān)鍵。身份認(rèn)證、數(shù)據(jù)傳輸安全、后臺系統(tǒng)安全性，這些都與加密息息相關(guān)。 來自SafeNet的一位技術(shù)專家表示，即使是竊取數(shù)據(jù)，一個攻擊者使用SecurID技術(shù)入侵一個公司也需要高超的技術(shù)和好運氣。 目前，加強用戶的身份管理，防止用戶身份的泄露，是公認(rèn)的預(yù)防認(rèn)證安全隱患的最有效措施。一方面是對使用用戶的認(rèn)證，即使用認(rèn)證服務(wù)的這個人是不是合法用戶？另一方面訪問的站點是不是合法站點，這個站點是否是合法站點，通過用戶自定義密碼和動態(tài)密碼結(jié)合的方式更保證了密碼的安全性。 來自SafeNet的亞太區(qū)副總裁陳泓先生，對這一事件表示非常遺憾和震驚，同時他自己也做了相關(guān)的分析，如下圖所示：
創(chuàng)新互聯(lián)公司堅持“要么做到，要么別承諾”的工作理念，服務(wù)領(lǐng)域包括：網(wǎng)站制作、成都網(wǎng)站設(shè)計、企業(yè)官網(wǎng)、英文網(wǎng)站、手機端網(wǎng)站、網(wǎng)站推廣等服務(wù)，滿足客戶于互聯(lián)網(wǎng)時代的雙塔網(wǎng)站設(shè)計、移動媒體設(shè)計的需求，幫助企業(yè)找到有效的互聯(lián)網(wǎng)解決方案。努力成為您成熟可靠的網(wǎng)絡(luò)建設(shè)合作伙伴！
他認(rèn)為通常身份認(rèn)證供應(yīng)商采用對稱算法，在每一個OTP（一次性密碼）里放置一個種子文件，認(rèn)證的時候該種子文件需要與OTP服務(wù)器進行簽名，這一在給所有的客戶分發(fā)發(fā)Token令牌時，供應(yīng)商會自己做編程然后把種子文件放在OTP認(rèn)證的服務(wù)器上。 顯然，如果種子文件被偷了，將意味著整個安全系統(tǒng)的崩潰，任何拿到該種子文件的黑客可以輕易地仿冒任何客戶的身份，后果之嚴(yán)重可想而知。陳泓分析認(rèn)為，SecurID事件很可能是因為這樣造成的，同時他也強調(diào)，對所有供應(yīng)商來說，種子文件是令牌的核心。
對于可編程的種子，陳泓也給出了另一種解決方案，這也是SafeNet的解決方案，與前面那種方式相比而言，種子的生成不是在SafeNet這邊完成的，而是在客戶端做的，這樣做的最大優(yōu)勢在于，即使一個客戶存在安全風(fēng)險并出現(xiàn)問題，也不會影響到其他客戶。同時，陳泓也強調(diào)，客戶為了保證種子文件的安全，需要建立一整套的安全機制。 不過在記者看來，將可編程的種子放在客戶端，雖然可以避免整體受損，但并非所有客戶都能做到安全的保護，需要很專業(yè)的IT人員和完善的安全策略。所以，陳泓分析的這兩種方案各有千秋，都會存在一定的風(fēng)險，客戶在選擇時也應(yīng)該慎重考慮。 對于SecurID事件，RSA官方一直未就種子文件是否被攻破而表態(tài)，不過陳泓認(rèn)為，種子文件是令牌的核心，如果不是核心出現(xiàn)問題，RSA也不太可能全部召回，因為RSA要把所有的種子文件都換掉，才能保證安全，保證網(wǎng)路不會再被黑客侵入。 值得一提的是，目前市場上有很多一次性密碼（OTP）身份驗證解決方案，雖然這些解決方案的特點無非是上述陳泓所說的那兩種，但用戶可選擇的供應(yīng)商依然有很多，如Safenet就是一家比較專業(yè)的身份認(rèn)證解決方案提供商。 在基于智能卡的身份驗證、密碼管理和公鑰基礎(chǔ)設(shè)施（PKI）方案等領(lǐng)域內(nèi)，SafeNet都取得了相當(dāng)不錯的市場份額，該公司提供基于一次性密碼技術(shù)的身份驗證解決方案基于eToken NG-OTP設(shè)備，是SafeNet獨創(chuàng)的基于智能卡的混合Token令牌。可以在連通模式（采用USB連接）或分離模式（采用one-time密碼）下訪問網(wǎng)絡(luò)和應(yīng)用程序。 SecurID事件的影響還在繼續(xù)，隨著多家供應(yīng)商表示愿意為客戶更換使用RSA SecurID的解決方案，構(gòu)建可信的身份認(rèn)證環(huán)境就顯得越來越重要。對于可信的身份認(rèn)證，希望以下四個方面對用戶在選擇身份認(rèn)證解決方案時，有所幫助： ◆可控性: 客戶能夠控制令牌種子值數(shù)據(jù)，并對令牌進行設(shè)置。 ◆選擇性: 一個好的Token令牌認(rèn)證服務(wù)提供商，應(yīng)該有不同的選擇給客戶。 ◆集中管理：更好地進行控制，實現(xiàn)統(tǒng)一平臺管理。 ◆為云部署做好準(zhǔn)備，無需改變現(xiàn)有平臺。
分享標(biāo)題：企業(yè)需要構(gòu)建可信身份認(rèn)證環(huán)境
網(wǎng)頁地址：http://m.5511xx.com/article/coseess.html
