一、背景分析

毫无疑问身份认证是网络信息安全的基础。而目前对于绝大多数企业用户而言，静态口令则仍然是最常用的身份认证方式，不管是普通员工登录公司邮箱，从外围访问公司内网还是IT管理人员或第三方IT供应服务商做维护的时候仍然使用默认或很少定期更改的静态口令来登录公司核心网络设备及服务器等重要系统或应用。

二、问题描述

而静态口令存在许多安全及管理的隐患，下面是静态口令的不安全性举例：

Ø要记忆或管理的口令太多、太分散

Ø很多静态口令都“终身”使用，不能及时更换

Ø网络上存在上大量破解静态口令的工具(暴力破解、口令字典、协议分析工具等等)

Ø很多病毒都会对简易的口令进行破解

Ø面对第三方的维护和开发等人员，管理员不得不开放自身超级用户口令，存在巨大安全隐患、难于管理

Ø领导基本不会更换管理员为其设定的口令

Ø很多设备、应用口令往往掌握在第三方提供服务技术的人员手上

Ø口令维护管理问题层出不穷(忘记密码、用户被锁定)

Ø近年来发生的多起信息安全事件都与静态口令不安全性有关

因此我们的结论是最基本、最简单的口令问题已经成为网络安全最薄弱、最容易被忽视的问题！

三、解决方案

针对网络设备用户身份管理中遇到的一系列问题，中科恒伦提供一套完整的身份认证解决方案，包括动态密码、指纹识别、人脸识别、U盘证书等，完美适配网络设备的不同的场景。

四、认证方法

4.1、网络设备

1、在防火墙、VPN、堡垒机、交换机等网络设备上开启Radius模块；；

2、配置Radius和CKEYDAS认证服务器完成Radius对接；

注：配置Radius方法详见配置手册；

3、认证流程如下；

认证前提：

1、在网络设备上找到并启用Radius模块；

2、和CKEY DAS认证服务器完成Radius对接；

登录流程：

1、用户输入“用户名+静态密码+动态密码”访问目标主机；

2、目标主机通过Radius Client同时将用户名+静态密码发送到企业用户源做静态认证、将用户名+动态密码发送到CKEY DAS认证服务器做动态认证；

3、用户源和CKEY DAS分别对认证做反馈；

4、当且仅当用户源认证和CKEY DAS认证同时通过时，才能成功访问，否则登录失败；

4.2、业务系统

1、在ERP、OA、数据库、虚拟化、邮件系统等业务系统上前端登录页面做改造，增加动态密码输入框；

2、在业务系统后台做改造，调用动态密码认证API接口；

3、和CKEY DAS认证服务器完成对接；

注：对接方法详见配置手册；

4、认证流程如下；

认证前提：

1、在业务系统上调用CKEY HttpsAPI接口；；

2、和CKEY DAS认证服务器完成API对接；

登录流程：

1、用户输入“用户名+静态密码+动态密码”访问目标主机；

2、目标主机通过API同时将用户名+静态密码发送到企业用户源做静态认证、将用户名+动态密码发送到CKEY DAS认证服务器做动态认证；

3、用户源和CKEY DAS分别对认证做反馈；

当且仅当用户源认证和CKEY DAS认证同时通过时，才能成功访问，否则登录失败；

4.3、操作系统

windows系统

1、在Windows上安装中科恒伦CKEY AGENT组件；

2、配置AGENT和CKEY DAS认证服务器完成API对接；

注：配置AGENT组件方法详见配置手册；

实现效果如下（以Windows为例）；

AIX系统

1、在AIX、FreeBSD上安装中科恒伦CKEY PamRadius组件；

2、配置PamRadius和CKEYDAS认证服务器完成Radius对接；

注：配置PamRadius组件方法详见配置手册；

3、实现效果如下；

4.4、认证方式

五、网络设备认证架构

CKEY DAS身份认证系统拥有用户管理、应用管理、认证管理、授权管理、审计管理五大功能模块，通过配置各项认证策略，可以灵活管理用户认证方式，有效监测用户认证记录，便于管理审计。

‍

六、认证场景‍

CKEY双因素身份认证产品是业界标准的动态口令身份认证解决方案，集成了标准的RADIUS、TACACS+协议、LDAP协议，同时提供API、SDK等，能够与网络设备各种第三方产品及解决方案直接集成。

VPN应用场景：支持Juniper、Cisco、 Array、F5、Sonicwall、CheckPoint、深信服、H3C、天融信、OpenVPN等主流VPN；

堡垒机应用场景：支持启明、建恒信安、金盾、思福迪、帕拉迪、圣博润、尚思**、绿盟、科友、齐治、极地、派拉、昂楷科技等；

交换机应用场景：支持Cisco、Huawei、H3C、中兴、锐捷、TP-LINK TL-SG1024T、NETGEAR、JUNIPER 等；

防火墙应用场景：支持思科、Juniper、华为、华三、天融信、深信服、飞塔、绿盟、启明、迪普、安恒、360等

业务系统应用场景：微软ExChange OWA、Sharepoin、 OA、ERP、金蝶、HR、CRM、SAP、oracle、智邦国际、用友等

虚拟化应用场景：Citrix Netscaler、Citrix Webbinterface、VMware Viiew、Parallels(SWsoft)、IBM等

操作系统应用场景：Windows、WindowsXP、linux、AIX、HPUNIX、FreeBSD等

七、方案价值‍

1、安全双重加固：通过对接CKEY动态认证系统，可以实现在用户名+静态密码的基础上，增加一个动态密码认证或生物识别认证，极大的提升安全性。

2、跨平台部署：CKEY动态认证系统支持部署在CentOS、Radhat、UOS、麒麟、Windows server 2008、2012、2016、2019等平台，适应管理员操作习惯；

3、资源无缝对接：CKEY动态认证系统支持Radius、TACACS+、API、LDAP、SDK、AGENT等多种方式，实现和C/S、B/S架构业务系统、堡垒机、防火墙、VPN、交换机、路由器等网络设备、Windows、Linux等操作系统场景的无缝对接；

4、丰富的认证生态：CKEY动态认证系统支持动态密码认证、扫码认证、推送认证、生物识别认证、USB证书等多种认证方式，具体令牌类型更是多达13种，认证生态非常成熟，满足客户各种需求；

5、精准人员追溯：CKEY动态认证系统可以详细记录每个账号登录的设备IP、认证状态（成功/失败）、绑定的令牌、以及令牌对应的自然人，实现全方位记录真实人员的访问情况，做到可记录、可追溯，便于企业监管；

6、便捷的自助服务：CKEY动态认证系统拥有独立的自助服务平台，终端用户可以借助自助服务平台实现令牌的自助激活、修改个人密码、编辑个人基础信息等，减少管理员操作成本；