動態(tài)口令認證系統(tǒng)

動態(tài)口令認證系統(tǒng)為解決靜態(tài)口令安全性的問題，在90年代出現(xiàn)了動態(tài)口令技術。動態(tài)口令技術也稱為一次性口令技術，即用戶每次登錄系統(tǒng)時都使用不同的口令，這個口令用過后就立刻作廢，不能再次使用。動態(tài)口令技術也就是業(yè)界廣泛提到的多因素身份認證方式，或是雙因素身份認證方式的一種。它是動態(tài)口令牌，口令牌生成的口令和口令牌自身保護的PIN碼等多種因素的一種結合，來達到判別用戶的唯一身份。如何使用動態(tài)口令使用動態(tài)口令認證時，需要用戶持有“認證器”或者“口令牌”，它們是用來生成動態(tài)密碼的裝置。動態(tài)口令技術即通過“口令牌”得到隨時變化的、不可預知的、一次性有效的口令，客戶在登錄時用動態(tài)口令代替固定口令，通過認證后，該口令即失效，既有效的提高了身份認證的安全性，同時免除了用戶記憶密碼和經(jīng)常需要更換密碼的麻煩。動態(tài)口令分類到目前為止，動態(tài)口令技術主要應用發(fā)展分為三種：時間同步技術，事件同步技術和挑戰(zhàn)/應答（異步）技術。時間同步：基于令牌和服務器的時間同步，通過運算來生成一致的動態(tài)口令，基于時間同步的令牌，一般更新率為60秒，每60秒產(chǎn)生一個新口令。事件同步：基于事件同步的令牌，其原理是通過某一特定的事件次序及相同的種子值作為輸入，在算法中運算出一致的密碼。用戶每次登錄時按一下口令牌生成一個口令，服務器在用戶登錄時每次生成一個口令與口令牌中的口令進行對比。挑戰(zhàn)/應答（異步）：也稱為異步令牌，其令牌和服務器之間除相同的算法外沒有需要進行同步的條件，用戶登錄時每次由服務器傳過來一個挑站值，用戶將挑站值輸入到口令牌中計算口令，并將計算的口令輸入再回傳給服務器進行認證，就像兩個人對暗號一樣，暗號對上，認證就通過。動態(tài)口令系統(tǒng)組成動態(tài)口令認證系統(tǒng)一般由三個部份組成：動態(tài)口令令牌：硬件設備，像一個小的計算器，用來生成口令，可以隨身攜帶。動態(tài)口令認證服務器：認證服務器端是動態(tài)口令認證系統(tǒng)的核心，負責響應認證系統(tǒng)客戶端所發(fā)過來的用戶認證請求（動態(tài)口令），完成用戶的身份認證。代理軟件（Agent）：Agent（代理軟件）以及基于各種標準的訪問協(xié)議（如RADIUS協(xié)議）構成認證轉(zhuǎn)發(fā)點，安裝在受保護的系統(tǒng)上，負責將用戶的認證請求轉(zhuǎn)發(fā)到認證服務器端;劫態(tài)|】>認ij.-UikZ-器動態(tài)口令牌對于上述的這三種技術都需要用戶持有一個“認證器”或是“口令牌”來生成動態(tài)密碼。而為防止動態(tài)口令牌丟失時，被別人盜用，一般口令牌使用PIN碼保護，根據(jù)PIN碼保護的形式不同，令牌又具有如下兩種特征：軟Pin碼保護：軟Pin碼是在密碼輸入窗口輸入動態(tài)密碼時，同時輸入的個人記憶的靜態(tài)口令，將其和令牌生成的動態(tài)密碼一同輸入彈出的用戶名口令窗口，傳送到服務器端實現(xiàn)認證。硬Pin碼保護：硬Pin碼既是在開啟口令牌時要求輸入的記憶密碼，不知道該密碼的人員不能使用口令牌，既不能開機，類似于手機的Pin碼，這個PIN碼不會再輸入到彈出的登陸窗口。由于軟Pin碼每次用戶登錄時均在網(wǎng)絡中傳輸，又由于該密碼的傳輸過程中并不進行加密，故易被竊聽，故在安全級別較高的情況下，建議使用有數(shù)字鍵盤的可以用硬Pin碼進行保護的硬件口令牌，從而杜絕安全漏洞。動態(tài)口令應用動態(tài)口令作為一種強身份認證機制，其更適用于對網(wǎng)絡設備的認證應用。在當前越來越廣泛使用數(shù)字證書或USBKey的身份認證方式的情形下，動態(tài)口令在對網(wǎng)絡設備方面的認證不可取代。USBKey對Windows服務器登錄，Telnet登錄都有局限性，而動態(tài)口令在這方面有很好的解決方案。動態(tài)口令可以保護以下的系統(tǒng)：除火Ifr撥號服務器及路由器、交換機防火墻VPN系統(tǒng)CitrixMSWindowsNT/2000域和服務器UNIX系統(tǒng)(Solaris,