动态口令认证技术-集联网络技术有限公司.DOC

网络设备动态口令 身份认证解决方案 北京集联网络技术有限公司 目 录 1、概述 3 1.1、网络设备安全的技术手段——终端准入控制 3 1.2、动态口令认证技术 4 1.2.1、基本原理 4 1.2.2、工作过程 5 1.2.3、动态密码特点 6 2、集联OTP（一次性密码）方案 8 2.1、方案概述 8 2.2、总体方案 8 2.2.1、OTP组成 8 2.2.2、部署说明 9 2.2.3、OTP特点 9 1、概述 网络设备是把网络中的通信线路连接起来的各种设备的总称，这些设备包括中继器、集线器、交换机和路由器等。 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。 网络安全从其本质上来讲就是网络上的信息安全。要想保障网络安全，首先要做到网络设备的安全访问，如果网络设备被攻破，那么安全将不复存在。 1.1、网络设备安全的技术手段——终端准入控制 终端准入控制是从控制用户终端安全接入网络的角度入手，整合网络接入控制与终端安全产品，通过用户端、准入控制组件、网络设备（交换机、路由器、防火墙、无线）以及第三方认证服务的联动，对接入网络的用户终端强制实施安全策略，严格控制终端用户对网络设备的使用行为，确保只有授权的网络设备维护人员才有权限控制网络设备。 目前，在金融、电信、政府等大型网络系统中，都有相应的网络设备终端准入控制。 没有终端准入控制的网络环境普遍采用静态密码进行身份认证，静态密码本身具有弱安全性的特点，其面临的安全风险较大，其缺点主要表现在以下几个方面： （1）输入泄密：在输入口令时可能被偷看，或用远程摄像机录像，还可能被键盘记录木马程序所记录。 （2）传输泄密：在电话上输入的口令可能会在电话上被窃听；在网上交易时口令会在网络上传输时被截取分析。 （3）特征性泄密：为了方便记忆，用户的静态口令往往会与日期、姓名、电话、证件、家庭、公司等熟悉的对象相关联，因此容易被猜测或用黑客字典分析。 （4）共享性泄密：为了简单方便，用户会在电子邮箱、银行信用卡等多个系统中使用相同的静态口令，因此假如有一个系统被破解，那么用户在其它系统上的帐号也就危险了。 （5）记录泄密：为避免复杂的、难于记忆的口令被忘记，用户往往会将其记录在纸上或电脑文件中，这记录下来的口令可能会失窃。 （6）可被穷举攻击：由于静态口令在一段时间内保持不变，所以可以被黑客工具长时间地、多电脑地进行穷举分析。 （7）泄密不可知性：当静态口令泄密后，系统和用户都无法及时地获知口令是否已经泄密。只有当造成危害之后、或者查看了日志之后才能确切知道。 （8）不方便性：定期更换口令，设置复杂口令，可能会容易忘记，一旦口令忘记可能会导致一些不必要的损失和不方便，具有很大隐患。 （9）长期性：静态口令多使用一天就多一天泄密的危险，其危险性与日俱增。 静态密码的基本特点，也是其致命弱点就是每次登录时使用相同的密码进行验证，一旦管理员密码泄露，对于使用静态密码进行身份认证的网络设备管理员就没有任何安全可言。所以为了保护全网的安全就必须采用新的技术手段，弥补静态密码身份认证技术的弱点。 1.2、动态口令认证技术 动态密码即一次性密码，使用一次以后就自动作废，下次进行身份验证的时候需要新的密码。动态密码和传统的静态密码配合使用，可以大大提高系统身份认证系统的安全。 1.2.1、基本原理 动态密码基本的思路是将共同密钥信息（作为计算动态密码的常量）和加密算法同时保存在认证服务器和动态密码令牌硬件内，再选择一个认证服务器和动态令牌都可以使用的变量（比如动态密码生成次数或者当前时间或者挑战码）用于计算的动态密码，需要认证的时候，由动态令牌首先计算出动态密码，然后传输给认证服务器，认证服务器采用对应的信息计算出动态密码，通过比较这两个密码是否相同来判断输入的动态密码是否正确。 采用时间作为变量来计算动态密码而进行认证的技术称为时间同步认证技术，采用动态密码生成次数作为变量来计算动态密码而进行认证的技术称为事件同步认证技术，使用由认证服务器返回的数值作为变量来计算动态密码而进行认证的技术称为挑战/应答认证技术。 （1）时间同步认证技术 基于时间同步认证技术是把时间作为变动因子，一般以60 秒作为变化单位。所谓“同步”是指用户动态密码令牌和认证服务器所产生的口令在时间上必须同步，不然，令牌产生的动态口令和认证服务器产生的动态口令不相同，服务器无法完成认证。在实际使用中，保持动态令牌和认证服务器的时间完全相同有一定的困难，所以通常允许存在一定的时间差异，比如5 分钟。 （2）事件同步认证技术 基于事件同步认证技术是把已经生成动态口令的次数（即事件序列）作为动态口令令牌和认证服务器计算动态口令的一个运