身份認(rèn)證技術(shù)的發(fā)展與展望

身份認(rèn)證技術(shù)的發(fā)展與展望Internet迅猛發(fā)展帶來(lái)了信息共享與安全這對(duì)矛盾共同體，加強(qiáng)網(wǎng)絡(luò)安全建設(shè)、保障網(wǎng)絡(luò)的安全運(yùn)行成為網(wǎng)絡(luò)存在的根本之道。網(wǎng)絡(luò)身份認(rèn)證技術(shù)發(fā)展到今天已經(jīng)成為信息管理系統(tǒng)中必不可少的一部分，扮演著網(wǎng)絡(luò)系統(tǒng)“看門(mén)人”的角色。針對(duì)不同的安全威脅，目前存在多種主機(jī)安全技術(shù)和相關(guān)安全產(chǎn)品，如防病毒技術(shù)、個(gè)人防火墻、安全應(yīng)用程序(如文件加密程序)、安全操作系統(tǒng)等。這些技術(shù)和產(chǎn)品在一定程度上滿(mǎn)足人們的安全需求， 卻沒(méi)有很好地解決以下兩個(gè)問(wèn)題：(1)系統(tǒng)訪(fǎng)問(wèn)，即開(kāi)機(jī)時(shí)的保護(hù)問(wèn)題，目前普遍采用的是基于口令的弱身份認(rèn)證技術(shù)，很容易被攻破而造成泄密；(2)運(yùn)行時(shí)保護(hù)，即在合法用戶(hù)進(jìn)入系統(tǒng)后因某種原因暫時(shí)離開(kāi)計(jì)算機(jī)，此時(shí)任何人員均可在此系統(tǒng)之上進(jìn)行操作， 從而造成泄密。頁(yè)腳將密碼寫(xiě)在記事本上掛在電腦旁邊， 這樣的事情相信很多公司的員工都曾經(jīng)為之。出于安全的要求，現(xiàn)在公司的安全策略普遍要求員工的登陸密碼要定期更換，而且不能重復(fù)，這使得想出一個(gè)自己能記住的長(zhǎng)串密碼成為一件讓員工頭疼的事情。為了便于記憶，員工往往會(huì)選擇常用詞或者作為密碼，如果攻擊者使用“字典攻擊法”或者窮舉嘗試法來(lái)破譯，很容易被窮舉出來(lái)。傳統(tǒng)的賬號(hào)加密碼的形式，賬號(hào)基本上都是公開(kāi)的，密碼容易被猜中，容易忘記，也容易被盜。據(jù)統(tǒng)計(jì)，一個(gè)人平均下來(lái)要記15到20個(gè)密碼。靜態(tài)密碼的隱患顯而易見(jiàn)，尤其是在證券、銀行等行業(yè)，轟動(dòng)一時(shí)的 “銀廣夏盜賣(mài)案”早就為業(yè)界敲響了警鐘。為了解決靜態(tài)密碼的安全問(wèn)題，一種方式是同一個(gè)人員使用不同的密碼進(jìn)入不同的應(yīng)用系統(tǒng)，避免所有的雞蛋都在一個(gè)籃子里面的問(wèn)題，然而需要記憶多個(gè)密碼；第二種方式，采用軟件VPN方式，登陸前先要使用VPN連接，這樣可以面向一部分機(jī)器開(kāi)放，但是第一次使用時(shí)下載VPN軟件，頁(yè)腳每次訪(fǎng)問(wèn)系統(tǒng)前登陸VPN,一則麻煩，有些系統(tǒng)要VPN,有些不需要VPN,需要時(shí)常切換；二則不利于移植辦公；三則登陸VPN后，其整個(gè)系統(tǒng)也處于開(kāi)放狀態(tài)。并且VPN的認(rèn)證本身也是一種靜態(tài)密碼的形式。靜態(tài)密碼的最可怕之處就是密碼泄漏了，用戶(hù)卻可能完全不知情。結(jié)果長(zhǎng)期使用這個(gè)密碼，相關(guān)的商業(yè)秘密就長(zhǎng)期泄漏，我們也不可能經(jīng)常修改密碼，為了方便記憶，密碼設(shè)置本身也就是那些姓名、生日、常規(guī)單詞等容易被猜測(cè)、被攻擊的信息。目前網(wǎng)上客戶(hù)對(duì)網(wǎng)上交易使用的密碼的安全性就沒(méi)有多少信心。因?yàn)檫@些信息基本上是不改動(dòng)的，很容易被網(wǎng)絡(luò)犯罪分子劫取。比如通過(guò)網(wǎng)上釣魚(yú)的方式就很容易獲取一些疏于防的客戶(hù)的賬戶(hù)信息。第三種方式，就是目前銀行普遍提供的USB移動(dòng)證書(shū)。USB密碼采用軟硬件相結(jié)合一次一密的強(qiáng)雙因子認(rèn)證模式，是一種USB接口的硬件設(shè)備，它置單片機(jī)或智能卡芯片，可以存儲(chǔ)用戶(hù)的密鑰或數(shù)字證書(shū)，利用USBKey置的密碼學(xué)算法實(shí)現(xiàn)對(duì)用戶(hù)身份頁(yè)腳的認(rèn)證。但是USBKey只能在己安裝相應(yīng)驅(qū)動(dòng)程序的電腦上進(jìn)行操作，在其他沒(méi)有USB插口的設(shè)備上則無(wú)法使用，使用圍相對(duì)狹窄。另外由于必須連接電腦，在已經(jīng)出現(xiàn)相應(yīng)的木馬病毒的情況下，仍然存在安全隱患。第四種方式，就是目前采用的動(dòng)態(tài)密碼技術(shù)。動(dòng)態(tài)密碼也稱(chēng)一次性密碼(One-timePassword),它指用戶(hù)的密碼按照時(shí)間或使用次數(shù)不斷動(dòng)態(tài)變化，每個(gè)密碼只使用一次。動(dòng)態(tài)密碼采用一種稱(chēng)之為動(dòng)態(tài)令牌的專(zhuān)用硬件，大小相當(dāng)于一閃存盤(pán)，顯示方式類(lèi)似于電子手表，它置電源、密碼生成芯片和顯示屏。密碼生成芯片運(yùn)行專(zhuān)門(mén)的密碼算法，根據(jù)當(dāng)前時(shí)間或使用次數(shù)生成當(dāng)前密碼并顯示在顯示屏上。認(rèn)證服務(wù)器采用相同的算法計(jì)算當(dāng)前的有效密碼。由于每次使用的密碼必須由動(dòng)態(tài)令牌來(lái)產(chǎn)生，只有合法用戶(hù)才持有該硬件，所以只要密碼驗(yàn)證通過(guò)，系統(tǒng)就可以認(rèn)為該用戶(hù)的身份是可靠的。 而用戶(hù)每次使用的密碼都不相同，即使黑客截獲了一次密碼，也無(wú)法利用這個(gè)密碼來(lái)仿冒合頁(yè)腳法用戶(hù)的身份。其中一種就是現(xiàn)在比較常規(guī)使用的短信認(rèn)證，每次登陸前，系統(tǒng)會(huì)計(jì)算出一個(gè)驗(yàn)證碼，同時(shí)給登陸者的手機(jī)上發(fā)布包括這個(gè)驗(yàn)證碼的短信息，登陸者收到這個(gè)驗(yàn)證碼短信后輸入系統(tǒng)，通過(guò)驗(yàn)證后才能夠進(jìn)入系統(tǒng)；另外一種就是一個(gè)手表性的密碼生成裝置，一直處于運(yùn)行狀態(tài)，時(shí)刻生成密碼；同時(shí)應(yīng)用系統(tǒng)那邊也有一個(gè)認(rèn)證服務(wù)器時(shí)刻運(yùn)轉(zhuǎn)，生成相同的密碼。登陸的時(shí)候，把密碼生成裝置上的密碼輸入系統(tǒng)， 和認(rèn)證服務(wù)器上生成密碼進(jìn)行匹配，如果匹配成功，則就可以登陸系統(tǒng)。動(dòng)態(tài)密碼技術(shù)雖然可以防止黑客、病毒等攻擊，但是也存在著一些問(wèn)題：（1）短信認(rèn)證，雖然便利，但是一則短信要收費(fèi)；二則短信不穩(wěn)定，不能夠保證及時(shí)收到。（2）密碼生成裝置是一個(gè)易耗品，為了保證安全性，電子令牌一般被設(shè)計(jì)為不可拆卸的，這樣的設(shè)計(jì)就意味著無(wú)法更換電池，導(dǎo)致電子令牌的使用壽命非常有限。同時(shí)，還存在著時(shí)間漂移問(wèn)題，密碼生成器和認(rèn)證服務(wù)器的時(shí)間不一定能完全同步，有可能造成用戶(hù)無(wú)法登陸系統(tǒng)。頁(yè)腳可以看出，目前的身份認(rèn)證安全存在著一系列的麻煩。如何改進(jìn)靜態(tài)密碼的認(rèn)證機(jī)制和簡(jiǎn)化動(dòng)態(tài)密碼的成本因素，將是后期身份認(rèn)證機(jī)制需要著重考慮的問(wèn)題。下面，我們提出我們的第五代身份認(rèn)證機(jī)制，基于RFID的身份認(rèn)證。提到RFID,事先肯定想到的就是收發(fā)裝置，還有天線(xiàn)等。事實(shí)上，正是因?yàn)镽FID需要在每一個(gè)產(chǎn)品上安裝一個(gè)發(fā)射裝置，導(dǎo)致成本太高，才沒(méi)有在倉(cāng)庫(kù)、海關(guān)等大量應(yīng)用。所以，我們的身份認(rèn)證機(jī)制要極力避免這個(gè)問(wèn)題。 我們的RFID身份認(rèn)證系統(tǒng)主要有以下設(shè)備：(1)RFID密碼寫(xiě)入裝置；(2)RFID密碼發(fā)射器。基于RFID身份認(rèn)證系統(tǒng)的主要特點(diǎn)為:雙密碼認(rèn)證機(jī)制和單密碼認(rèn)證機(jī)制頁(yè)腳并存：可以不使用RFID密碼認(rèn)證，只使用個(gè)人靜態(tài)口令認(rèn)證或者只使用RFID密碼認(rèn)證，不需要記憶任何的個(gè)人口令，只要擁有RFID密碼發(fā)射器就可以了。最好是個(gè)人口令和 RFID認(rèn)證均要求。利用公司代碼，則每家的RFID生成密碼均是完全不同的。一旦個(gè)人RFID密碼發(fā)射器丟失，則不可能進(jìn)入軟件應(yīng)用系統(tǒng)，就可以立刻知道登陸應(yīng)用系統(tǒng)存在安全隱患，而不會(huì)出現(xiàn)個(gè)人靜態(tài)口令丟失卻完全不知情的安全嚴(yán)重隱患。一旦個(gè)人 RFID密碼發(fā)射器丟失，則可以要求系統(tǒng)管理員暫時(shí)修改該用戶(hù)的認(rèn)證方式為個(gè)人口令認(rèn)證，同時(shí)，向系統(tǒng)管理員申請(qǐng)新的RFID密碼發(fā)射器、修改原有個(gè)人口令、甚至用戶(hù)名。重新生成的 RFID密碼發(fā)射器和原有的RFID密碼發(fā)射器完全不同。擁有原有的RFID密碼發(fā)射器的人也無(wú)法進(jìn)入軟件應(yīng)用系統(tǒng)。(4)我們提供RFID密碼寫(xiě)入裝置和頁(yè)腳RFID密碼發(fā)射器本身，提供相應(yīng)的密碼生成算法。企業(yè)可以自主控制用戶(hù)群體數(shù)量的大小以及能夠使用RFID密碼發(fā)射器的人群。相關(guān)的用戶(hù)人員的權(quán)限以及是否可以訪(fǎng)問(wèn)系統(tǒng)，也由企業(yè)自主控制。不需要認(rèn)證服務(wù)器，也不存在和認(rèn)證服務(wù)器對(duì)時(shí)的要求，也不需要電池，可以長(zhǎng)期使用，并且可以多次寫(xiě)入。RFID密碼發(fā)射器能夠長(zhǎng)期有效，不需要電池。同時(shí)小巧、精致，可以作為裝飾品放在鑰匙串，方便攜帶，易于使用。(7)工作臨時(shí)需要交接，可以暫時(shí)把RFID密碼發(fā)射器交給交接人使用，一旦出差或辦事回來(lái)，交接人把RFID密碼發(fā)射器還給原擁有人就行了， 不需要每次均修改密碼或者因忘記密碼， 存在大量安全隱患。一個(gè)人知道個(gè)人口令或者擁有RFID密碼發(fā)射器，均不能夠進(jìn)入軟件系統(tǒng)，必須兩樣均有，這樣能夠更高層次頁(yè)腳的保證企業(yè)核心數(shù)據(jù)的安全。也有利于確認(rèn)在企業(yè)商業(yè)機(jī)密泄漏后，發(fā)現(xiàn)是誰(shuí)的疏忽或者惡意，造成了相關(guān)損失。原有密碼系統(tǒng)，只要告訴一個(gè)外地人，個(gè)人帳號(hào)、口令就可以登陸軟件應(yīng)用系統(tǒng)。而RFID密碼發(fā)射器能夠保證只有一個(gè)人擁有，從物理裝置上和產(chǎn)生原理(一旦生成過(guò)，就再也不能夠生成第二同樣的RFID卡)上，沒(méi)有辦法兩個(gè)人共享。RFID密碼發(fā)射器是可以遠(yuǎn)距離發(fā)射，不涉及到USB插拔的問(wèn)題，也不涉及到需要安裝驅(qū)動(dòng)程序的問(wèn)題， 任何計(jì)算機(jī)上只要有沒(méi)有被占用的并行口或者串口就行了。我們提供一個(gè)并行口或者串口設(shè)置窗口。RFID密碼發(fā)射器，可以在高溫、高熱、嚴(yán)寒等環(huán)境下使用。RFID密碼發(fā)射器屬于硬件裝置， 無(wú)法仿照。RFID密碼生成算法，企業(yè)可以自主設(shè)置相關(guān)密碼長(zhǎng)度，增強(qiáng)系統(tǒng)的安全性，頁(yè)腳生成的密碼也不在數(shù)據(jù)庫(kù)中間保存，系統(tǒng)管理員也無(wú)法直接在數(shù)據(jù)庫(kù)中寫(xiě)入。同時(shí)從管理上，可以設(shè)定系統(tǒng)管理員和RFID密碼發(fā)射器的寫(xiě)入人員不是一個(gè)人，系統(tǒng)