【51CTO.com 獨家特稿】如今，賬戶和密碼越來越多，但如何保護好它們成為了我們頭疼的問題。也許大家早就熟悉了網絡游戲、在線聊天、股票、網銀等各種賬號口令丟失的新聞事件；但對企業網絡管理人員來說，其實這些問題更為嚴重：數據中心管理賬號、內部業務平臺的賬號、郵件賬號等，一旦被盜或出現其他問題，將對業務和管理造成極大破壞，后果不堪設想。

就拿微軟來說，他們雖然使用了VPN和防火墻等多種保護手段，但依然沒有能擋住黑客的入侵。有消息稱，黑客曾在2000年成功竊取了微軟內部員工的口令，并被拷貝了部分Windows源代碼。

微軟尚且被黑客困擾，更不用說其他企業的信息泄漏情況了。包括Sun微系統公司、Novell、NEC美國公司以及諾基亞在內，均遭受過賬號失竊、數據被非法下載等攻擊。當初一個叫凱文.米特尼克的年輕人也因此成為了世界頭號黑客、身份盜用之王。

國內著名安全企業動聯公司技術主管胡永剛介紹說：“在2004～2008年所采集的病毒樣本數中，64%的目的都是盜號，還有20%是可以用來竊取帳號的后門病毒。”

總之，如何有效保護賬戶安全，抵御盜號木馬侵襲成為企業當前網絡安全的重中之重。那么，我們如何有效保護賬戶安全呢？一般來說，除了使用一系列技術手段之外，有兩個方面的情況需要我們倍加重視。

管理規范是賬戶安全的基本前提

安全的很多問題其實是管理問題，賬戶口令的安全尤其如此。許多管理人員都知道密碼和口令的重要，但能否及時、全面地培訓給企業所有用戶，才是關鍵。

就拿郵箱密碼來說，很多單位出于方便，均設置了默認的郵箱密碼，而且一般都是諸如123456的極弱口令。很多人為了好記方便，密碼一直沒改，結果重要郵件被隨意窺視。而其他比如FTP、網站后臺密碼等，這種情況也屢見不鮮，公司信息泄漏于無形。

比較專業的公司一般會這樣做：員工第一天入職之后，就會拿到一張寫有自己OA、郵箱、所用電腦系統、RTX（內部IM通訊工具）等賬號信息在內的卡片。所有賬戶在第一次登陸前必須修改成符合標準的強口令。在這樣的嚴格管理下，賬戶安全性當然會大大的提高。當然還有的企業使用智能卡或USB key，安全級別也能進一步提高。

除了以上所述，我們也千萬不能忘記給系統打補丁、修補Web和其他第三方軟件或插件的漏洞、安裝反病毒軟件等等。這些防范管理措施，對于保護賬號安全、預防盜號木馬也是非常重要的。

使用動態口令為賬號安全提供最后屏障

對于密碼強化或使用USB key這樣技術之后，可以將初級的黑客擋在門外，但面對高級黑客時，靜態密碼始終還是不安全的。如早期破解windows系統賬戶的黑客工具L0phtCrack，現在流行的彩虹表，都可以在短短十幾分鐘之內便能將一個毫無規律而言的強口令密碼破解出來。面對始終搶得先手的黑客來說，動態口令技術才是用戶賬號安全的最后屏障。

動態口令又叫動態令牌、動態密碼，英文名為One-Time Password（OTP），也有技術人員形象地稱其為“隨機密碼生成器”。它的主要原理是：用戶登錄前，依據用戶私人身份信息并引入不確定因素產生隨機變化的口令，使每次登錄過程中傳送的口令信息都不同，以提高登錄過程的安全性——也就是說，其他人即使破解了密碼，也無法再次使用。

動態密碼認證屬于一次性密碼認證（OTP)，可完全實現物理隔離，用戶使用時只需輸入當前的密碼即可，操作簡單、高度安全。與前面提到的USB Key等產品相比，動態口令的價值在于，前者如果被竊，相關的機密防護也將隨時失去；而動態口令，在保證了使用便利特性的同時，通過每次密碼隨機改變的特點，最大限度地保證了賬戶安全。舉個例子，大家通過網銀等購物，經常遇到運營商或者銀行發短信隨機給密碼的情況，這其實就是運用了動態口令的技術。

上世紀80年代這項技術誕生后，這項技術得到了各類機構的肯定，并逐漸成為安全領域的重要技術。在國內，動聯等先行者已經在多年前就進入這個市場，目前技術水平和產品質量已經和國際頂尖廠商不相上下。

動態口令技術及產品簡析

動態口令技術的原理，簡單來說就是在服務器端和客戶端，通過同樣的加密算法，在某一時刻同步生成一套密碼口令，供本次使用。當本次口令過期之后，必須重新生成口令——而由于下次生成時的時間、事件等外界條件發生改變，生成的口令也會完全改變。

目前，動態口令技術和產品已經廣泛應用到了銀行、電信、互聯網等諸多行業。中國銀行網銀項目負責人對靜態密碼認證、數字證書、USB移動證書與動態口令技術進行了比較。

該負責人介紹，在安全性方面，傳統的靜態密碼認證存在著種種安全隱患，在黑客、木馬面前不堪一擊，如同網銀安全的定時炸彈；數字證書、USB移動證書安全性稍高，但因無法實現物理隔絕，不法分子依然有可乘之機；動態密碼安全性最高，一般每60秒自動更新一次，并只對指定用戶在特定的時刻有效，通過用戶靜態密碼+令牌動態密碼的方式，使得用戶的電子身份不易被模仿、盜用或破壞。在便利性方面，數字證書、USB移動證書需用戶下載相應控件、軟件，且具備一定的電腦操作知識，給用戶日常操作帶來極大不便；動態口令無需用戶安裝客戶端和讀取設備，且攜帶方便。

綜合考慮這些因素，惟有動態口令認證才能達到便利性與安全性的完美平衡。也正是基于這些原因，最終中國銀行選擇動聯的動態口令認證系統作為中國銀行網銀系統的身份認證平臺。

根據動態口令生成的外界因素和產品形態，目前市場上常用的動態口令分以下幾種：

首先，硬件動態口令產品有：

卡片式動碼令：事件同步型令牌，基于128位動態密碼加密算法，采用國際先進的低功耗智能芯片、電子紙顯示技術和超薄型電池技術，與銀行卡同等尺寸與厚度，易于攜帶且符合使用習慣。

標準型動碼令：時間同步型令牌，可顯示6位數字的LCD屏幕，內置智能芯片采用128位動態密碼加密算法，外觀時尚，小巧便攜。60秒密碼更新間隔，可提供3年使用期限，多種顏色方案可選。

增強型動碼令：時間同步型令牌，兼具挑戰應答和數字簽名功能，攜帶方便。60秒密碼更新間隔，可提供5年使用期限。

目前市場上常用的軟件產品有：

面型動碼令：用于Windows PC和Notebook的動碼令，它能存放在個人電腦中，也可與遠程訪問客戶端整合在一起，可定制30/60/120秒不同的密碼更新間隔，可以終身使用。

手機動碼令：事件同步型令牌，把動態密碼認證技術在手機上以K-java或SIM卡方式實現，防拷貝設計，確保每個動碼令的獨立性與安全性。

短信動碼令：基于128位動態密碼加密算法，通過短信將動態密碼發送到客戶手機上，既能方便及時地傳遞密碼，又能保證密碼安全。

矩陣卡動碼令：每張矩陣卡有獨一無二的10×8數字矩陣，每次登陸的動態密碼是從80格中隨機選取2格依次組合而成，以圖片格式存取，較高的性價比。

考慮到安全的特殊性，國內企業一般傾向于選擇國產的動態口令產品。其中，比較著名有動聯等企業，這些企業已經可以提供上述全線產品。而就在上周，動聯公司推出了代號K5的專業型動碼令。該產品同屬時間同步型令牌，內置智能芯片采用128位動態密碼加密算法之外，還擁有大字體清晰LCD顯示，低功耗設計，無按鈕一體化封裝，防拆卸、防靜電、防水、防震、防壓，抗電磁干擾等一系列優點。