主题词 ：信息安全、身份认证、动态口令
1. 动态口令的概念与起源
身份认证是信息安全体系的重要组成部分，它是保护信息系统安全的第一道大门。它的任务是检验信息系统用户身份的合法性和真实性，并按系统授予的权限访问系统资源，将非法访问者拒之门外。
身份认证技术分为：常规的“口令”代码认证、动态口令认证、生物技术(指纹、虹膜、面容等)认证、通过第三方发放的数字证书(CA)认证等。其中常规的“口令”代码认证是计算机系统的早期身份认证产品， 因其“口令”的静态特性和重复使用性，存在易窃取、易猜测、易破解等安全缺陷，是一种弱身份认证系统，只能用于安全等级要求较低的信息系统。动态口令认证、生物技术认证和数字证书认证是强身份认证系统，可用于政府、金融、企业等重要信息系统的安全认证。
针对静态口令认证的缺陷，80年代初，美国科学家Leslie Lamport首次提出了利用散列函数产生一次性口令的思想，即用户每次登录系统时所使用的口令是不同的，且一次有效。1991年贝尔通信研究中心(Bell core)用DES加密算法首次研制出了基于一次性口令思想的挑战/应答式动态口令身份认证系统S/KEY。之后，更安全的基于MD4和MD5散列算法的动态口令认证系统也开发出来。为了克服挑战/应答式动态口令认证系统使用过程烦琐，占用过多通信带宽资源的缺点，美国著名的加密算法研究实验室RSA研制成功了基于时间同步的动态口令认证系统RSA SecureID。RSA公司也由此获得了时间同步的专利技术。除RSA公司外，美国的Secure Computing公司和 AXENT(Symantec)公司也是动态口令认证产品的供应商。
我国的中科院信息安全国家重点实验室(DCS中心)于1998年研制成功具有我国知识产权的动态口令身份认证系统。之后，福建凯特有限公司、网泰金安科技有限公司、北京捷安世纪科技有限公司、北京集联公司等开发出了不同型号的动态口令身份认证系统。与此同时，四川安盟公司与美国RSA公司合作，把RSA产品引进了我国。以上产品推动了动态口令在我国的应用。
2.动态口令认证技术的类型与工作原理
动态口令(Dynamic Password)也称一次性口令(One-time Password)。动态口令是变动的口令，其变动来源于产生口令的运算因子是变化的。动态口令的产生因子一般都采用双运算因子(two factor)：其一，为用户的私有密钥。它是代表用户身份的识别码，是固定不变的。其二，为变动因子。正是变动因子的不断变化，才产生了不断变动的动态口令。采用不同的变动因子，形成了不同的动态口令认证技术：基于时间同步(Time Synchronous)认证技术、基于事件同步(Event Synchronous)认证技术和挑战/应答方式的非同(Challenge/Response Asynchronous)认证技术。
1)时间同步认证技术
基于时间同步认证技术是把时间作为变动因子，一般以60秒作为变化单位。所谓“同步”是指用户口令卡和认证服务器所产生的口令在时间上必须同步。这里的时间同步方法不是用“时统”技术，而是用“滑动窗口”技术。图1为客户终端访问系统时，基于时间同步的认证过程。
①：客户请求接入应用服务器;
②：应用服务器请求认证服务器对客户的身份的合法性和真实性进行认证;
③：客户终端弹出身份认证对话框;
④：客户在持有的口令卡上键入PIN码(或开机码)，激活口令卡;
⑤：客户将帐号和口令键入终端的身份认证对话框;
⑥：客户终端将帐号和口令通过网络传输给认证服务器;
⑦：认证服务器调用客户信息，产生与客户信息和时间相关的随机序列，并与客户输入的口令进行比对，判别客户身份的合法性和真实性;
⑧：认证服务器将认证结果报告给应用服务器;
⑨：应用服务器根据客户身份的合法性和真实性反馈给客户终端，并决定可以提供服务或拒绝服务。
2)事件同步认证技术
基于事件同步认证技术是把变动的数字序列(事件序列)作为口令产生器的一个运算因子，与用户的私有密钥共同产生动态口令。这里的同步是指每次认证时，认证服务器与口令卡保持相同的事件序列。如果用户使用时，因操作失误多产生了几组口令出现不同步，服务器会自动同步到目前使用的口令，一但一个口令被使用过后，在口令序列中所有这个口令之前的口令都会失效。其认证过程与时间同步认证相同。
3)挑战/应答认证技术
挑战/应答(Challenge/Response)方式的变动因子是由认证服务器产生的随机数字序列(Challenge)，它也是口令卡的口令生成的变动因子，其认证过程见图2所示：
|
当前，市场上使用最多的是时间同步认证技术，它既能在大型电子商务系统中应用，也能在内部网中应用。为了保证认证服务器 “时钟”的稳定、可靠，不被人恶意修改，保证动态口令算法的安全，北京捷安世纪科技公司为认证服务器专门开发了“时钟/口令卡”。
由于用户持有口令卡，且只有自己知道的PIN码;由于口令卡产生的新口令，不可预测，并只能使用一次;由于密钥加密存放在服务器和口令卡中，且不在网络中传输，所以， 动态口令不怕被人偷看，不怕网络“黑客”的网络窃听，不怕“重放攻击”，不能猜测，不易破解，具有强身份认证的特征，具有较高的安全性和使用的方便性。近年来，随着网络安全事件的大幅度上升，动态口令身份认证系统越来越受到青睐。目前，已有超过一千万人使用名片大小的动态口令卡：企业员工、合作伙伴、客户安全地访问企业内部网;股民放心地进行证券网上委托交易;银行用户方便地进行网上银行交易;电子政务、电子报关、电子报税、社区管理等等。
3.动态口令的典型应用
1)动态口令在内联网中的应用
北京捷安世纪科技公司研发的动态口令认证系统内联网解决方案，为内联网提供了强身份认证系统，其解决方案如图3所示：
动态口令认证系统由认证服务器、管理工作站、写卡器、动态口令卡和加载在内联网应用服务器中的认证代理软件组成。认证服务器支持100，000个以上的用户并发同步认证，若用户超过100，000个，系统支持多个认证服务器同时工作。动态口令卡是本地用户和远程用户登录网络的“通行证”。口令卡中装有代表用户身份的密钥，密钥具有唯一性;随机产生的口令，每分钟变化一次，不可猜测，难以破解，抗攻击能力强;系统保证口令使用一次一密，抗重放攻击等。管理工作站提供认证服务器的管理界面，担负认证系统管理任务，包括用户信息管理、口令卡管理、认证日志管理等。
2)动态口令在网上银行系统中的应用
网上银行是是借助客户的PC、移动电话、掌上电脑等智能设备，通过Internet向客户提供包括支付在内的金融服务。随着Internet的普及，网络银行的方便、快捷和廉价使其成为银行间竞争的要素之一，越来越受到银行和用户的青睐。然而，网上口令安全问题使得广大银行客户心有余悸。静态口令的安全强度已明显不够，基于PKI体系的CA认证使用比较烦琐，如何兼顾安全与使用方便两方面的要求，是必须解决的问题。北京捷安世纪科技公司《网上银行安全解决方案》(见图4)较好的解决了此问题。
3)动态口令在证券交易系统中的应用
现行的证券交易系统对客户身份真实性的认证通常采用“通信口令+交易口令” 的静态口令方式和CA证书的方式。由于“通信口令”和“交易口令”都是静态口令，存在易猜测、易窃取、易破解等安全隐患，CA证书在使用上麻烦，券商和股民都期待着用简单、易用、廉价的强身份认证方式提升交易系统的安全性。
北京捷安世纪科技公司研发的《JASEC动态口令认证系统》可为证券公司提供满足要求的强身份认证和交易信息强加密服务。《JASEC动态口令认证系统》可直接用于电话委托交易和柜台交易，也可用于证券公司内部业务系统。《JASEC网上交易安全系统》由两个部分组成：基于时间同步的动态口令强身份认证系统和基于SSL协议的客户信息加密系统。该产品的技术体制是用动态口令强身份认证取代接入网上证券交易系统的静态口令身份认证系统;用动态口令强身份认证取代证券营业部交易服务器的交易口令认证，保证股民身份的确定性;用安全套接层SSL协议单向证书提供的安全机制，特别是SSL提供的超强加密信道，保证股民交易信息传输的安全性。图5为动态口令在电话委托等柜台交易中的身份认证过程，图6为动态口令及SSL在网上交易中的强身份认证过程。
4)动态口令在办公自动化(OA)系统中的应用
办公自动化(OA)系统是政府机关电子政务的重点信息设施，也是现代企业办公的基础环境。信息安全必须内外兼备，强身份认证是OA系统必须具备的功能之一。我国现行的OA系统多数是基于DOMINO/NOTES R5开发的，系统以B/S模式提供服务，其用户身份认证方式采用DOMINO自身所带的静态口令。由于静态口令的弱安全性已经不适应当前的安全需求，OA系统必需建立具有较高安全机制的强身份验证系统，以保证OA系统的应用安全。为适应OA系统强身份认证的需要，北京捷安世纪科技公司开发了适应OA系统西药的强身份认证系统。其结构见图7所示。
当用户登陆Domino 服务器时，Domino 服务器调用NETSFEAGENT DSAPI过滤器模块。NETSFEAGENT DSAPI过滤器模块提供了Domino 服务器与认证服务器的通讯的函数模块，该模块除实现认证请求与响应外，还实现用户主机系统与身份认证服务器通信格式的统一。NETSFEAGENT DSAPI过滤器接受调用请求后，能自动决定把请求发往认证服务器或后备服务器,认证服务器通过安全算法来验证用户是否具有合法身份，并返回认证信息给NETSFEAGENT DSAPI过滤器模块。如果用户认证通过，即可获得访问Domino 服务器的OA应用。如果用户未通过认证，返回认证失败信息，拒绝用户连接。具体结构如图8所示。
动态口令身份认证系统除了上述典型应用之外，凡是使用“口令”进行身份认证的地方，均能使用动态口令。例如：动态口令与防火墙结合，实现防火墙的强身份控制;动态口令与VPN网关结合，建立安全隧道;动态口令与Web服务器结合，控制与互联网的接入;动态口令与E-mail服务器结合, 避免系统资源通过E-mail服务器外传等等。
美国是动态口令的创始国，近年来，美国的金融机构也认识到常规的用户ID和口令易被破解，对网络银行的用户资金安全来说是不充分的。为此，美国联邦金融机构检查委员会(FFIEC)发布在线银行实施双因素身份识别技术的要求，并于2007年1月1日定为实施的最后期限。有此可见，动态口令身份认证系统的应用领域正在快速扩展。
如果需要更详细的技术文档或软件产品请直接与作者联系。联系方式：
电话号码：88820500-6688
移动电话：13910613302
