河北移動(dòng)boss系統(tǒng)xcess身份認(rèn)證系統(tǒng)解決方案-預(yù)覽頁
【正文】 業(yè)務(wù)快速發(fā)展的同時(shí)，公司重視信息化建設(shè)，以信息網(wǎng)絡(luò)為基礎(chǔ)，為公司管理和業(yè)務(wù)提供強(qiáng)有力支撐，在通信運(yùn)營領(lǐng)域，公司的信息化建設(shè)不論在思想上、技術(shù)上，都走在同行前列。 2 河北移動(dòng)項(xiàng)目簡介 本項(xiàng)目文檔分析了河北移動(dòng)在使用原有 BOSS 系統(tǒng)，實(shí)現(xiàn)移動(dòng)營業(yè)廳和 BOSS 系統(tǒng)進(jìn)行關(guān)鍵業(yè)務(wù)數(shù)據(jù)交換時(shí)面臨的潛在安全風(fēng)險(xiǎn)以及銘寰科技 Xcess 身份認(rèn)證與策略管理系統(tǒng)應(yīng)用河北移動(dòng)BOSS 系統(tǒng)營業(yè)廳身份認(rèn)證與策略管理的解決方案?，F(xiàn)有移動(dòng)營業(yè)廳（含合作營業(yè)廳）全部實(shí)現(xiàn)通過移動(dòng)傳輸網(wǎng)訪問 BOSS 系統(tǒng)網(wǎng)上營業(yè)廳（如下圖所示） 中國最大的管理資源中心 (大量免費(fèi)資源共享 ) 第 4 頁 共 14 頁 當(dāng)前營業(yè)廳終端訪問 BOSS 系統(tǒng)時(shí)，營業(yè)廳人員需要輸入合法的用戶名和口令，驗(yàn)證成功登錄到 BOSS 系統(tǒng)網(wǎng)上營業(yè)廳傳輸河北移動(dòng)的客戶信息和計(jì)費(fèi)信息等 BOSS 系統(tǒng)業(yè)務(wù)數(shù)據(jù)。許多最具危害性的犯罪都擁有共同的特點(diǎn)：即繞過密碼保護(hù)以獲取對(duì)信息或資金的訪問權(quán)限。靜態(tài)密碼存在很多缺陷，如：密碼容易被人猜測或通過交際工程學(xué)、社會(huì)工程師等途徑獲取，輸入密碼時(shí)容易被人窺視，密碼容易被很多工具破解，存在著沒有被檢測到的缺陷和漏洞，密碼可以在網(wǎng)絡(luò)離線時(shí)被窺測，密碼和文件容易從 PC 和服務(wù)器上被轉(zhuǎn)移等等。 無法實(shí)現(xiàn) BOSS 系統(tǒng)的專機(jī)專用 中國最大的管理資源中心 (大量免費(fèi)資源共享 ) 第 5 頁 共 14 頁 為了最大化使用 BOSS 系統(tǒng)傳輸業(yè)務(wù)數(shù)據(jù)的安全性，移動(dòng)營業(yè)廳工作人員應(yīng)保證在使用BOSS 系統(tǒng)傳輸重要數(shù)據(jù)時(shí)的專機(jī)專用性。黑客行為大部分是出于商業(yè)或?qū)W術(shù) 競爭而進(jìn)行的有預(yù)謀的入侵，如金融盜竊、數(shù)據(jù)欺詐、故意造成業(yè)務(wù)中斷、信息的盜竊和篡改等。據(jù)統(tǒng)計(jì)，從 1993 年至 20xx 年的短短十年間，病毒數(shù)目從 183 種迅速增至 77000 多 種，其表現(xiàn)形式也已經(jīng)從第一代的引導(dǎo)區(qū)病毒演變?yōu)槿缃竦牡谒拇W(wǎng)絡(luò)病毒。所以 BOSS 系統(tǒng)對(duì)網(wǎng)絡(luò)病毒的抵御對(duì)于河北移動(dòng)的業(yè)務(wù)運(yùn)營至關(guān)重要。 3 銘寰科技 Xcess身份認(rèn)證系統(tǒng)產(chǎn)品介紹 Xcess 身份認(rèn)證系統(tǒng)功能介紹 針對(duì)河北移動(dòng)的需求，銘寰科技公司提出了基于 Xcess 產(chǎn)品的解決方案。 RADIUS 支持 RADIUS 標(biāo)準(zhǔn)，與運(yùn)營商現(xiàn)有 RADIUS 系統(tǒng)實(shí)現(xiàn)無縫連接。 本地認(rèn)證 支持基于 Xcess 服務(wù)器的本地用戶數(shù)據(jù)庫的認(rèn)證。證書認(rèn)證服務(wù)器支持多機(jī)集群式架構(gòu)，可以同時(shí)實(shí)現(xiàn)可用性（ High Availability）和負(fù)載分擔(dān)（ Load Balancing），使得 Xcess 系統(tǒng)理論上可以支持無 限多的用戶。 Xcess 強(qiáng)制認(rèn)證網(wǎng)關(guān)的另一個(gè)責(zé)任是使用 Gratuitous arp 技術(shù)通知該地市的 ROUTER 通往 BOSS 系統(tǒng)的路由指向 Xcess 強(qiáng)制認(rèn)證網(wǎng)關(guān)。 4) Xcess 客戶端 Xcess 客戶端軟件運(yùn)行在企業(yè)網(wǎng)絡(luò)的每一臺(tái)聯(lián)網(wǎng)主機(jī)之上，負(fù)責(zé)收集客戶端信息、認(rèn)知用戶的網(wǎng)絡(luò)行為、監(jiān)控客戶機(jī)的網(wǎng)絡(luò)通訊和安全狀態(tài)并將收集到的信息發(fā)送到 Xcess 管理服務(wù)器。使用 Xcess 客戶端登陸管理服務(wù)器成功時(shí)，客戶端會(huì)在 TCP 5100 端口進(jìn)行監(jiān)聽。 如果終端營業(yè) PC 上已安裝 Xcess 客戶端軟件，但是沒有登陸認(rèn)證服務(wù)器訪問 BOSS 系統(tǒng)，當(dāng)客戶斷流量到達(dá) Xcess 強(qiáng)制認(rèn)證網(wǎng)關(guān)，強(qiáng)制認(rèn)證網(wǎng)關(guān)檢測到該流量的源 IP 地址在 Xcess 認(rèn)證服務(wù)器上沒有登陸信息，并掃描客戶端 TCP5100 端口，雖然營業(yè)廳 PC安裝了 Xcess 客戶端軟件，但是沒有登陸驗(yàn)證服務(wù)器，客戶端的 TCP 5100 端口也沒有打開。客戶端登陸網(wǎng)關(guān)時(shí)首先建立與網(wǎng)關(guān) TCP 443 端口的網(wǎng)絡(luò)連接，然后進(jìn)行 SSL 的握手，網(wǎng)關(guān)發(fā)送自己的證書給客戶端，客戶端驗(yàn)證網(wǎng)關(guān)證書的合法性（判斷網(wǎng)關(guān)證書是否由客戶端信任的 CA 頒發(fā)），如果網(wǎng)關(guān)證書不能通過驗(yàn)證，則客戶端切斷與網(wǎng)關(guān)的連接；如果網(wǎng)關(guān)證書通過認(rèn)證，客戶端發(fā)送用戶的訪問令牌到認(rèn)證網(wǎng)關(guān)，網(wǎng)關(guān)使用與管理服務(wù)器共享的密鑰驗(yàn)證用戶訪問令牌的合法性，如果令牌無效，則網(wǎng)關(guān)斷開與客戶端的連接；如果令牌有效，網(wǎng)關(guān)從令牌中提取二次認(rèn)證信息，如用戶是否需要使用用戶證書認(rèn)證，如果需要，則 網(wǎng)關(guān)發(fā)起 SSL 重新握手，客戶端檢測到網(wǎng)關(guān)的重新握手請(qǐng)求后，發(fā)送用戶證書到網(wǎng)關(guān)。證書包含此用戶的公鑰信息，保存在客戶端的本地使用私鑰進(jìn)行加密處理，該私鑰的保護(hù)密碼以不可讀的形式保存在本地注冊(cè)表中。 當(dāng)有新的 Xcess 客戶端修訂程序，可從 Xcess 管理服務(wù)器自動(dòng)下發(fā)該升級(jí) 程序， Xcess 客戶端接收升級(jí)程序并自動(dòng)進(jìn)行安裝。以下是中國移動(dòng)某省實(shí)施 Xcess 身份認(rèn)證系統(tǒng)的實(shí)施案例說明。 該省移動(dòng)公司的 BOSS 訪問安全控制系統(tǒng)是 Xcess 服務(wù)器、 ISC 網(wǎng)關(guān)及內(nèi)置了 ISC 客戶端軟件的 Xcess 客戶端軟件組成。為了保證系統(tǒng)的高可靠性和可用率，配置了雙 ISC VPN 網(wǎng)關(guān)互為備份并做負(fù)載分擔(dān)。如在防火墻后，可以利用防火墻上 NAT 或 Port Forwarding 功能來進(jìn)行配置，提高安全性。 Xcess 寬帶接入統(tǒng)一客戶端用戶10000，網(wǎng)絡(luò)硬盤用戶 3000 ，WLAN 認(rèn)證用戶 20xx 20xx~20xx 中國電信 一個(gè)市公司 Xcess 統(tǒng)一客戶端 Xcess 統(tǒng)一客戶端用戶 10000 有線公司 一個(gè)市公司 Xcess 統(tǒng)一認(rèn)證系統(tǒng) + Xcess 統(tǒng)一客戶端用戶 10000 以上 20xx 注：由于本公司與上述公司簽訂了保密協(xié)議，不便透露上述公司名稱。 銘寰科技利用自身在網(wǎng)絡(luò)驅(qū)動(dòng)技術(shù)上的優(yōu)勢，致力于為運(yùn)營商/服務(wù)提供商和企業(yè)用戶提供新一代的網(wǎng)絡(luò)接入和訪問控制解決方案。
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1