电子动态令牌系统

现有系统的身份认证大多沿用静态口令的方式,这种用户名+口令的认证方式是基于如下逻辑:“只有授权用户知道口令,能提供正确口令的就是授权用户。

电子动态令牌系统
Electronic  Dynamic  Token  System  

现有系统的身份认证大多沿用静态口令的方式,这种用户名+口令的认证方式是基于如下逻辑:“只有授权用户知道口令,能提供正确口令的就是授权用户。”这个逻辑本身并没有什么错误,但是随着互联网应用的发展,已经逐渐暴露出一些实际应用中的问题。例如:

● 为了便于记忆,用户通常选择常用词作口令,因此容易被猜测和破解

● 为了便于记忆,用户通常一个口令多处使用,容易造成无意泄露。

● 互联网上木马程序的泛滥,使得用户防不胜防。

很多系统为了方便,用户的口令不经过散列而直接以明文方式存放,网管或内部人员可通过系统的后台直接获得用户的口令

由于以上问题造成的安全事故时有发生,并呈现不断增加的趋势。于是动态口令技术就应这种需求而产生了。 20世纪80年代初,针对静态口令身份认证的缺陷,美国的 Leslie Lamport 首次提出了利用散列函数产生一次性口令的思想,即用户每次登录系统时使用的口令是变化的。

1991年贝尔实验室设计的 S/KEY 系统采用的是一种基于“挑战/应答”的动态口令机制。为了克服“挑战/应答”动态口令系统使用过程烦琐、占用过多通信时间的缺点,美国的RSA公司又设计了基于时间同步的 SecurID 身份认证系统,VASCO公司的令牌系统也采用了时间同步技术。也有一些商业公司采用基于事件同步技术的令牌系统,例如美国的SecureComputing和瑞典的 TODOS。这两种同步技术应该说都很有特点,各有优劣。

本公司动态口令身份认证系统由电子令牌(硬件)和认证系统、管理系统(软件)组成,是基于安全散列函数的一套专门针对互联网的特点而全新设计的动态口令系统,基于J2EE技术架构,采用时间同步技术,目前的最新稳定版本为3.3。系统符合计算机安全行业标准GA 216.1-1999,通过了公安部第三研究所的检测,具有公安部计算机安全专用产品销售许可证

Copyright © 南京携众信息科技有限公司, 2011. All Rights Reserved. Privacy Policy
ICP证备:苏ICP备07023176号-1