河北移動boss系統(tǒng)xcess身份認證系統(tǒng)解決方案-預覽頁
【正文】 業(yè)務快速發(fā)展的同時，公司重視信息化建設，以信息網(wǎng)絡為基礎，為公司管理和業(yè)務提供強有力支撐，在通信運營領域，公司的信息化建設不論在思想上、技術上，都走在同行前列。 2 河北移動項目簡介 本項目文檔分析了河北移動在使用原有 BOSS 系統(tǒng)，實現(xiàn)移動營業(yè)廳和 BOSS 系統(tǒng)進行關鍵業(yè)務數(shù)據(jù)交換時面臨的潛在安全風險以及銘寰科技 Xcess 身份認證與策略管理系統(tǒng)應用河北移動BOSS 系統(tǒng)營業(yè)廳身份認證與策略管理的解決方案?，F(xiàn)有移動營業(yè)廳（含合作營業(yè)廳）全部實現(xiàn)通過移動傳輸網(wǎng)訪問 BOSS 系統(tǒng)網(wǎng)上營業(yè)廳（如下圖所示） 中國最大的管理資源中心 (大量免費資源共享 ) 第 4 頁 共 14 頁 當前營業(yè)廳終端訪問 BOSS 系統(tǒng)時，營業(yè)廳人員需要輸入合法的用戶名和口令，驗證成功登錄到 BOSS 系統(tǒng)網(wǎng)上營業(yè)廳傳輸河北移動的客戶信息和計費信息等 BOSS 系統(tǒng)業(yè)務數(shù)據(jù)。許多最具危害性的犯罪都擁有共同的特點：即繞過密碼保護以獲取對信息或資金的訪問權限。靜態(tài)密碼存在很多缺陷，如：密碼容易被人猜測或通過交際工程學、社會工程師等途徑獲取，輸入密碼時容易被人窺視，密碼容易被很多工具破解，存在著沒有被檢測到的缺陷和漏洞，密碼可以在網(wǎng)絡離線時被窺測，密碼和文件容易從 PC 和服務器上被轉移等等。 無法實現(xiàn) BOSS 系統(tǒng)的專機專用 中國最大的管理資源中心 (大量免費資源共享 ) 第 5 頁 共 14 頁 為了最大化使用 BOSS 系統(tǒng)傳輸業(yè)務數(shù)據(jù)的安全性，移動營業(yè)廳工作人員應保證在使用BOSS 系統(tǒng)傳輸重要數(shù)據(jù)時的專機專用性。黑客行為大部分是出于商業(yè)或學術 競爭而進行的有預謀的入侵，如金融盜竊、數(shù)據(jù)欺詐、故意造成業(yè)務中斷、信息的盜竊和篡改等。據(jù)統(tǒng)計，從 1993 年至 20xx 年的短短十年間，病毒數(shù)目從 183 種迅速增至 77000 多 種，其表現(xiàn)形式也已經(jīng)從第一代的引導區(qū)病毒演變?yōu)槿缃竦牡谒拇W(wǎng)絡病毒。所以 BOSS 系統(tǒng)對網(wǎng)絡病毒的抵御對于河北移動的業(yè)務運營至關重要。 3 銘寰科技 Xcess身份認證系統(tǒng)產(chǎn)品介紹 Xcess 身份認證系統(tǒng)功能介紹 針對河北移動的需求，銘寰科技公司提出了基于 Xcess 產(chǎn)品的解決方案。 RADIUS 支持 RADIUS 標準，與運營商現(xiàn)有 RADIUS 系統(tǒng)實現(xiàn)無縫連接。 本地認證 支持基于 Xcess 服務器的本地用戶數(shù)據(jù)庫的認證。證書認證服務器支持多機集群式架構，可以同時實現(xiàn)可用性（ High Availability）和負載分擔（ Load Balancing），使得 Xcess 系統(tǒng)理論上可以支持無 限多的用戶。 Xcess 強制認證網(wǎng)關的另一個責任是使用 Gratuitous arp 技術通知該地市的 ROUTER 通往 BOSS 系統(tǒng)的路由指向 Xcess 強制認證網(wǎng)關。 4) Xcess 客戶端 Xcess 客戶端軟件運行在企業(yè)網(wǎng)絡的每一臺聯(lián)網(wǎng)主機之上，負責收集客戶端信息、認知用戶的網(wǎng)絡行為、監(jiān)控客戶機的網(wǎng)絡通訊和安全狀態(tài)并將收集到的信息發(fā)送到 Xcess 管理服務器。使用 Xcess 客戶端登陸管理服務器成功時，客戶端會在 TCP 5100 端口進行監(jiān)聽。 如果終端營業(yè) PC 上已安裝 Xcess 客戶端軟件，但是沒有登陸認證服務器訪問 BOSS 系統(tǒng)，當客戶斷流量到達 Xcess 強制認證網(wǎng)關，強制認證網(wǎng)關檢測到該流量的源 IP 地址在 Xcess 認證服務器上沒有登陸信息，并掃描客戶端 TCP5100 端口，雖然營業(yè)廳 PC安裝了 Xcess 客戶端軟件，但是沒有登陸驗證服務器，客戶端的 TCP 5100 端口也沒有打開?？蛻舳说顷懢W(wǎng)關時首先建立與網(wǎng)關 TCP 443 端口的網(wǎng)絡連接，然后進行 SSL 的握手，網(wǎng)關發(fā)送自己的證書給客戶端，客戶端驗證網(wǎng)關證書的合法性（判斷網(wǎng)關證書是否由客戶端信任的 CA 頒發(fā)），如果網(wǎng)關證書不能通過驗證，則客戶端切斷與網(wǎng)關的連接；如果網(wǎng)關證書通過認證，客戶端發(fā)送用戶的訪問令牌到認證網(wǎng)關，網(wǎng)關使用與管理服務器共享的密鑰驗證用戶訪問令牌的合法性，如果令牌無效，則網(wǎng)關斷開與客戶端的連接；如果令牌有效，網(wǎng)關從令牌中提取二次認證信息，如用戶是否需要使用用戶證書認證，如果需要，則 網(wǎng)關發(fā)起 SSL 重新握手，客戶端檢測到網(wǎng)關的重新握手請求后，發(fā)送用戶證書到網(wǎng)關。證書包含此用戶的公鑰信息，保存在客戶端的本地使用私鑰進行加密處理，該私鑰的保護密碼以不可讀的形式保存在本地注冊表中。 當有新的 Xcess 客戶端修訂程序，可從 Xcess 管理服務器自動下發(fā)該升級 程序， Xcess 客戶端接收升級程序并自動進行安裝。以下是中國移動某省實施 Xcess 身份認證系統(tǒng)的實施案例說明。 該省移動公司的 BOSS 訪問安全控制系統(tǒng)是 Xcess 服務器、 ISC 網(wǎng)關及內置了 ISC 客戶端軟件的 Xcess 客戶端軟件組成。為了保證系統(tǒng)的高可靠性和可用率，配置了雙 ISC VPN 網(wǎng)關互為備份并做負載分擔。如在防火墻后，可以利用防火墻上 NAT 或 Port Forwarding 功能來進行配置，提高安全性。 Xcess 寬帶接入統(tǒng)一客戶端用戶10000，網(wǎng)絡硬盤用戶 3000 ，WLAN 認證用戶 20xx 20xx~20xx 中國電信 一個市公司 Xcess 統(tǒng)一客戶端 Xcess 統(tǒng)一客戶端用戶 10000 有線公司 一個市公司 Xcess 統(tǒng)一認證系統(tǒng) + Xcess 統(tǒng)一客戶端用戶 10000 以上 20xx 注：由于本公司與上述公司簽訂了保密協(xié)議，不便透露上述公司名稱。 銘寰科技利用自身在網(wǎng)絡驅動技術上的優(yōu)勢，致力于為運營商/服務提供商和企業(yè)用戶提供新一代的網(wǎng)絡接入和訪問控制解決方案。
公司管理相關推薦
鄂ICP備17016276號-1