行業(yè)屬性

基金行業(yè)

應(yīng)用場(chǎng)景

VPN
服務(wù)器
郵件
服務(wù)器

安全挑戰(zhàn)

靜態(tài)密碼單因素認(rèn)證增加系統(tǒng)接入安全風(fēng)險(xiǎn)。

DKEY解決方案

DKEY硬件令牌 + 手機(jī)令牌認(rèn)證。

結(jié)論

•同時(shí)支持手機(jī)令牌及硬件令牌認(rèn)證;
•提升整體用戶賬號(hào)安全;
•即配即用，無(wú)需二次開發(fā)，節(jié)省部署成本;

需求分析

諾德基金準(zhǔn)備接入動(dòng)態(tài)口令認(rèn)證的應(yīng)用現(xiàn)狀大致如下：

Ø 登錄認(rèn)證現(xiàn)狀：采用帳號(hào)+密碼訪問(wèn)各種業(yè)務(wù)系統(tǒng)，各個(gè)系統(tǒng)自制管理，無(wú)法形成統(tǒng)一的

Ø 業(yè)務(wù)系統(tǒng)多：數(shù)量不斷增加如VPN、服務(wù)器、郵件以及滿足運(yùn)維需求的各種支撐系統(tǒng)，目前這些業(yè)務(wù)系統(tǒng)通過(guò)帳號(hào)+密碼認(rèn)證;

Ø 多帳號(hào)源管理：目前帳號(hào)管理AD方式;

Ø 應(yīng)用部署：諾德基金采用內(nèi)外網(wǎng)隔離機(jī)制，即外網(wǎng)滿足VPN、OWA等外網(wǎng)移動(dòng)辦公，內(nèi)網(wǎng)包括服務(wù)器及網(wǎng)絡(luò)設(shè)備管理;

實(shí)現(xiàn)目標(biāo)

在現(xiàn)有業(yè)務(wù)系統(tǒng)帳號(hào)+密碼基礎(chǔ)上增加動(dòng)態(tài)口令認(rèn)證，提升認(rèn)證安全，減少密碼管理開銷，滿足多玩業(yè)務(wù)系統(tǒng)多、多帳號(hào)源管理及復(fù)雜網(wǎng)絡(luò)部署環(huán)境;

(1)高安全性

◆在現(xiàn)有認(rèn)證基礎(chǔ)之上增加動(dòng)態(tài)口令認(rèn)證，提升訪問(wèn)安全;

◆認(rèn)證服務(wù)器數(shù)據(jù)安全：確保種子加密存儲(chǔ)，確保種子無(wú)法泄密;

◆為認(rèn)證服務(wù)器管理后臺(tái)增加動(dòng)態(tài)密碼認(rèn)證

(2)集成便捷性

◆動(dòng)態(tài)口令認(rèn)證系統(tǒng)應(yīng)開放、方便地與各種業(yè)務(wù)系統(tǒng)集成，且無(wú)需對(duì)現(xiàn)有系統(tǒng)進(jìn)行改造，無(wú)需二次開發(fā)，節(jié)約實(shí)施人力及時(shí)間成本，減小實(shí)施風(fēng)險(xiǎn)。

(3)高可靠性

◆基于多核心業(yè)務(wù)系統(tǒng)接入認(rèn)證要求，認(rèn)證系統(tǒng)必須穩(wěn)定可靠，提供不間斷的可靠身份認(rèn)證服務(wù)，并且需要實(shí)現(xiàn)良好的冗余與容錯(cuò)設(shè)計(jì)，防止出現(xiàn)單點(diǎn)故障。

(4)管理便捷性

◆后臺(tái)管理便捷性，方便管理員操作

◆快速定位潛在故障點(diǎn)，減少運(yùn)維風(fēng)險(xiǎn)

(5) 可審計(jì)

◆詳細(xì)的登錄日志

◆支持登錄日志導(dǎo)出，方便日后審計(jì)

解決方案

業(yè)務(wù)系統(tǒng)通過(guò)安裝相應(yīng)的代理軟件及配置與部署在公網(wǎng)或內(nèi)網(wǎng)部署動(dòng)態(tài)口令認(rèn)證服務(wù)器進(jìn)行通信，使得業(yè)務(wù)系統(tǒng)方便登陸增加動(dòng)態(tài)口令身份認(rèn)證，由于采用DKEY Agent和配置Radius方法集成，此方式十分方便多業(yè)務(wù)系統(tǒng)接入，無(wú)需二次開發(fā)工作，減少整體項(xiàng)目實(shí)施風(fēng)險(xiǎn)，節(jié)約成本。

認(rèn)證流程

Web應(yīng)用、用友U8、VPN等登陸流程

Linux/UNIX服務(wù)器登陸流程

以ROOT用戶為例，連接SSH，在第一次提示輸入密碼時(shí)輸入該用戶的靜態(tài)密碼，在第二次提示輸入密碼時(shí)輸入該用戶綁定的令牌的動(dòng)態(tài)密碼：

VPN

(1) 登錄頁(yè)面，在Juniper VPN登陸頁(yè)面上輸入認(rèn)證用戶名和密碼;

(2) 認(rèn)證通過(guò)后，接下來(lái)會(huì)出現(xiàn)如下窗口，需要將令牌上顯示的動(dòng)態(tài)密碼輸入以下窗口。

(3)如果動(dòng)態(tài)密碼驗(yàn)證正確，將進(jìn)入認(rèn)證成功頁(yè)面。

方案特點(diǎn)

提供手機(jī)令牌及硬件令牌供選擇

同時(shí)提供手機(jī)令牌和硬件令牌供用戶選擇，滿足不同客戶對(duì)動(dòng)態(tài)密碼認(rèn)證終端需求;

手機(jī)令牌支持主流智能手機(jī)平臺(tái)

手機(jī)令牌支持ios\andriod\wp手機(jī)操作系統(tǒng)平臺(tái)，滿足智能手機(jī)用戶需求;

多系統(tǒng)接入動(dòng)態(tài)密碼認(rèn)證

支持多系統(tǒng)同時(shí)接入，并分配不同認(rèn)證策略，有效降低管理及部署成本;

快速部署

通過(guò)純配置方式，滿足業(yè)務(wù)系統(tǒng)集成動(dòng)態(tài)口令訴求，具有良好的擴(kuò)展性及節(jié)省部署成本;

高可靠性

認(rèn)證服務(wù)器可實(shí)現(xiàn)雙機(jī)互備、并支持跨平臺(tái)部署;

雙重因素安全

提升整體身份認(rèn)證安全性，實(shí)現(xiàn)基于用戶身份的實(shí)名認(rèn)證，有效管理身份認(rèn)證;