RSA SecurID身份认证解决方案.doc

RSA SecurID
动态身份认证系统
建议方案
2014年3月
目录
- 3 -
. 网络信息安全必须实现的五大需求 - 3 -
. 身份认证需求 - 3 -
AM - 5 -
. 防火墙和VPN保护 - 5 -
. RSA - 7 -
. RSA - 10 -
SECURID身份认证功能详解 - 11 -
. RSA SecurID:强大的双因素认证系统 - 11 -
. RSA SecurID双因素认证系统组件 - 12 -
. 认证服务器(ACE/Server) - 13 -
. RSA SecurID认证令牌 - 14 -
. 代理软件(ACE/Agent) - 14 -
. ACE/Server容错和负载均衡 - 15 -
. 支持与目录服务器的资料自动同步 - 15 -
- 17 -
. RSA SecurID时间同步原理架构图 - 17 -
. 时间同步原理讲解图 - 17 -
. 基于时间同步的双因素口令 - 18 -
. RSA双因素令牌种类简介 - 18 -
- 19 -
- 19 -
- 21 -
身份认证需求
网络信息安全必须实现的五大需求
网络信息安全是指通过保护网络程序、数据或者设备,使其免受非授权使用或访问,来达到保护信息和资源、保护客户和用户、保证私有性等目的。为了确保在各种攻击下,网络程序和数据在服务器、物理信道和主机上的安全性,网络安全必须有效地实现以下各种功能:
身份认证(Authentication)鉴定信息的真实性,核实源实体与接受实体是否与宣称的一致。
授权(Authorization)用一些特殊的参数表明访问(或存取)的权限。
保密性(Confidentiality)使信息只被授权用户享用,确保通信机密。
完整性(Integrity)确保数据的完整和准确。
不可否认(Nonrepudiation)验明身份后,不能够拒绝传送和接受。
在所有功能中,身份认证(Authentication)是最基本最重要的环节,即使将授权、保密性、完整性、不可否认等环节做得很完善,但如果盗用了合法的帐号和口令登录系统,系统仍然认为他是合法用户,给予他相应的访问权限,使系统处于危险状态。
身份认证需求
众所周知,计算机与信息犯罪在近年正在呈现出上升的趋势。FBI与计算机安全机构近期的研究表明,过去一年里在调查的公司中,32%的公司向执行官员报告发生严重事件,较前几年几乎翻了一翻;在调查过程中,报告遭受经济损失的公司中,平均损失高达760,000美元,几乎相当于1998年以来经济损失总和的50%。很明显,攻击日益频繁,且导致越来越大的经济损失,因此各公司都必须采取有效措施,保护其信息资源。
如今,决定着电子商务进一步发展必要基础的信息安全技术得到不断发展,会话加密、防火墙、虚拟专用网和数字证书等技术都是信息安全解决方案的一部分。令人遗憾的是,虽然每种技术都旨在加强某一方面的信息安全,包括限制访问或防止机密数据被截获,但面队形形色色的信息犯罪,却没有一种单独应用的安全措施或方法能够消除所有风险。在这种情况下,各机构就需要根据受破坏可能性以及可能导致的损失程度,来评估预防措施的成本。例如,根据FBI/CSI的调查报告显示,最普遍的信息安全问题来自于病毒感染,根据数据显示,在能够确定损失数额的机构中,90%的危害是由病毒感染引起的,而因此导致的平均损失数额约为45,500美元;约65%的被调查者则受到来自膝上型电脑系统被盗的影响,每年由此类事件所导致的平均损失约为87,000美元。
但与电子盗窃或金融欺诈相比,上述问题就是小巫见大巫了。例如,尽管窃取机密信息可能不象病毒感染或膝上型电脑被盗普遍,但其危害性却更高,为每家受害公司所带来的平均经济损失高达180万美元;而金融欺诈所导致的平均损失则约为150万美元。虽然这些犯罪发生的频率低于病毒感染或膝上型电脑被盗,但由此造成的经济损失却高出许多。
目前为止,企业中存在大量的网络设备,对于这些网络设备的保护至关重要,如果非法用户获得管理员的帐号到网络设备上作了非法修改有可能导致整个网络系统的瘫痪,所以有必要对进入网络设备进行配置的人员进行认证。同时,对于整个网络系统来说,有许多从互联网进入企业内部网络的接口,如拨号服务器、防火墙和VPN网关,我们知道