【文章內(nèi)容簡(jiǎn)介】 的技巧），其中包括中間人攻擊和競(jìng)爭(zhēng)攻擊。而且一次性密碼依然是單因素認(rèn)證，而不是我們所說的強(qiáng)力用戶認(rèn)證。 因?yàn)檫@些缺陷，任何聽到或竊取密碼的人都會(huì)顯得完全真實(shí)。如下圖： 因此有必要增加第二個(gè)物理認(rèn)證因素，從而使認(rèn)證的確定性按指數(shù)遞增。安盟 SecurID雙因素身份認(rèn)證就是這樣一種強(qiáng)身份認(rèn)證解決方案，它可確認(rèn)網(wǎng)絡(luò)連接的另一端是誰，提升企業(yè)網(wǎng)絡(luò)資源保護(hù)的安全級(jí)別。 三、 重慶市福利彩票發(fā)行中心 網(wǎng)絡(luò)系統(tǒng)安全解決方案 1 解決方案 我們認(rèn)為，絕對(duì)安全與可靠的信息系統(tǒng)并不存在。一個(gè)所謂的安全系統(tǒng)實(shí)際上應(yīng)該是“使入侵者花費(fèi)不可接受的時(shí)間與金錢，并且承受很高的風(fēng)險(xiǎn)才能闖入”系統(tǒng)。安全性的增加通常導(dǎo)致企業(yè)費(fèi)用的增長(zhǎng)，這些費(fèi)用包括系統(tǒng)性能下降、系統(tǒng)復(fù)雜性增加、系統(tǒng)可用性降低和操作與維護(hù)成本增加等等。安全是一個(gè)過程而不是目的。弱點(diǎn)與威脅隨時(shí)間變化。安全的努 7 力依賴于許多因素，例如職員的調(diào)整、新業(yè)務(wù)應(yīng)用的實(shí)施、新攻擊技術(shù)與工具的導(dǎo)入和安全漏洞。針對(duì) 福利彩票發(fā)行中心 身份認(rèn)證現(xiàn)狀， 為了達(dá)到安全、可靠、穩(wěn)定的工作狀態(tài)，我們建議選用 安盟雙因素身 份認(rèn)證技術(shù) 2 雙因素身份認(rèn)證介紹 1 安盟雙因素身份認(rèn)證技術(shù)簡(jiǎn)介 強(qiáng)大的用戶認(rèn)證系統(tǒng) 安盟安全解決方案建立在 “雙因素認(rèn)證 ”之基礎(chǔ)上。該方法的前提是一個(gè)單一的記憶因素，如密碼 ,但密碼本身只能對(duì)真實(shí)性進(jìn)行低級(jí)的認(rèn)證因?yàn)槿魏温牭交虮I竊密碼的人都會(huì)顯得完全真實(shí) 。因此需要增加第二個(gè)物理認(rèn)證因素 ,以使認(rèn)證的確定性按指數(shù)遞增。例如，銀行 ATM 卡就是一個(gè)廣泛采用的雙因素認(rèn)證機(jī)制， ATM 卡需要將有效卡和PIN（個(gè)人身份號(hào)碼）結(jié)合使用，提供了足夠的安全級(jí)別，以支持用戶對(duì)銀行服務(wù)及資金的訪問。 借助強(qiáng)大的用戶認(rèn)證系統(tǒng) SecurID 安盟安全解決方案，可以向授權(quán)的員工和 投注站 發(fā)放單獨(dú)登記的設(shè)備 ,以生成個(gè)人使用的令牌代碼，這一代碼可以根據(jù)時(shí)間碼算法而變化。每 60秒就會(huì)生成一個(gè)不同的令牌代碼 ,保護(hù)網(wǎng)絡(luò)的認(rèn)證服務(wù)器能夠驗(yàn)證這個(gè)變化的代碼是否有效。每個(gè)認(rèn)證設(shè)備都是唯一的。別人不能通過記錄以前的令牌代碼來預(yù)測(cè)將來的代碼值。這樣，如果某個(gè)用戶提供了一個(gè)正確的令牌代碼 ,就可以高度確信該用戶即擁有安盟安全認(rèn)證令牌的合法用戶。 2 SecurID 雙因素身份認(rèn)證 解決方案圖 在 福 利彩票發(fā)行中心 網(wǎng)絡(luò) 系統(tǒng)與外界連接處進(jìn)行網(wǎng)絡(luò)訪問控制，正確區(qū)分外部網(wǎng)絡(luò)用戶的身份，區(qū)分其是進(jìn)行查詢，修改還是管理維護(hù)，提供基于用戶的訪問規(guī)則，針對(duì)不同的用戶和用戶的不同存取要求授予其不同權(quán)限，禁止非法用戶進(jìn)入 福利彩票發(fā)行中心 網(wǎng)絡(luò) 系統(tǒng)。 網(wǎng)絡(luò)訪問控制系統(tǒng)不僅能夠按照來訪者的 IP 地址區(qū)分用戶，還應(yīng)該對(duì)來訪者的身份進(jìn)行驗(yàn) 證。如圖： ACE/ Agent ACE/Server Token 8 安盟 SecurID 雙因素身份認(rèn)證針對(duì)重慶福利彩票發(fā)行中心的解決方案由三部分構(gòu)成： （ 1）、安盟 SecurID 身份認(rèn)證令牌 它是分發(fā)給最終用戶的，是安盟 SecurID 雙因素身 份認(rèn)證的一個(gè)因素（您所擁有的），產(chǎn)生一分鐘變化一次的動(dòng)態(tài)令牌碼。 （ 2）、安盟 ACE/Agent 代理軟件 安盟 ACE/Agent 就象安全衛(wèi)士，它已經(jīng)嵌入了目前大多主流 VPN/防火墻產(chǎn)品中，它實(shí)施安盟 ACE/Server 建立的安全策略。通過安盟 ACE/Agent 的遠(yuǎn)程訪問認(rèn)證組件，可以 保護(hù) 企業(yè) Intra 資源不被非法訪問。 在遠(yuǎn)程 VPN 用戶與企業(yè)網(wǎng)絡(luò)建立安全隧道前，安盟 ACE/Agent 截取訪問請(qǐng)求，要求指定用戶或組織在獲準(zhǔn)訪問被保護(hù)的企業(yè)Intra 資源之前，通過一個(gè)安盟 SecurID 身份認(rèn)證令牌向 安盟 ACE/Server 證明其合法身份。 （ 3）、安盟 ACE/Server 安盟 ACE/Server 是安盟 SecurID 雙因素身份認(rèn)證解決方案中的安全服務(wù)器，包括三個(gè)主要部分：包含用戶、令牌和客戶機(jī)信息的數(shù)據(jù)庫(kù)；身份認(rèn)證引擎以及一個(gè)管理程序。安盟ACE/Server 用來在選定的網(wǎng)絡(luò)資源周圍建立一個(gè)保護(hù)環(huán)境，對(duì)要求訪問企業(yè) Intra 資源的遠(yuǎn)程 VPN 用戶進(jìn)行身份認(rèn)證。除了處理遠(yuǎn)程 VPN 用戶的訪問請(qǐng)求認(rèn)證，安盟 ACE/Server還可進(jìn)行企業(yè)網(wǎng)安全策略管理，它提供了集中式安全管理能力，向信任的個(gè)人簽發(fā)認(rèn)證 令牌證；設(shè)置并實(shí)施安全策略，保護(hù)對(duì)專用網(wǎng)絡(luò)系統(tǒng)、文件及應(yīng)用的訪問，其中包括可以根據(jù)每天的時(shí)間、周幾或根據(jù)小組或用戶定義的權(quán)限來確定訪問權(quán)限；創(chuàng)建用戶訪問日志，進(jìn)行審計(jì)跟蹤；定義和報(bào)告報(bào)警情況，如某個(gè)網(wǎng)絡(luò)端口訪問失敗重試次數(shù)等。 3 雙因素身份認(rèn)證原理 9 整個(gè)解決方案是由服務(wù)器、客戶端和中間代理軟件協(xié)同完成的：企業(yè)的安全管理員根據(jù)自己的實(shí)際情況在安盟 ACE/Server 中進(jìn)行安全策略的設(shè)置，對(duì)安盟 ACE/Agent 進(jìn)行適當(dāng)配置。當(dāng)遠(yuǎn)程用戶試圖訪問受保護(hù)的系統(tǒng)時(shí)，防火墻設(shè)備中內(nèi)置的安盟 ACE/Agent 代理軟件將啟動(dòng)一個(gè)安盟 ACE/Server 認(rèn)證會(huì)話，而不是傳統(tǒng)的基本密碼會(huì)話。在強(qiáng)大而又簡(jiǎn)便的認(rèn)證會(huì)話中，用戶只需輸入用戶名及由安盟 SecurID 身份認(rèn)證令牌生成的用來代替密碼的令牌代碼，外加一 PIN 號(hào)碼即可。認(rèn)證步驟少，不會(huì)給用戶造成負(fù)擔(dān)。安盟 ACE/Agent 會(huì)實(shí)施安盟 ACE/Server 中根據(jù)用戶實(shí)際情況建立的安全策略，它先使用只有保護(hù)的設(shè)備才知道的其他數(shù)據(jù)。把用戶提供的信息打亂，然后再一部分一部分地傳輸給安盟 ACE/Server。安盟ACE/Server 接到用戶的認(rèn)證請(qǐng)求后，將查詢本地用戶數(shù)據(jù)庫(kù)， 在定位用戶名后，它把接到的令牌代碼和 PIN 碼與本身記錄進(jìn)行比較。如果發(fā)現(xiàn)令牌代碼和