身份认证系统解决方案

　□ 动态密码身份认证
　□ 提供严谨的网络身份认证机制
　□ 提供可追究责任的认证方法

采用时机

　□ 保护企业内部网络资源时
　□ 当组织要落实网络安全政策时
　□ 当内部网络建立拨接网络时
　□ 当防火墙要对内连通讯进行身份认证时
　□ 电子商务要识别特定会员身份时

网络安全的问题

　□ 你不知道到底是谁在访问你的网络？
　□ 你无法范规什么人可以在网络上做什么事情？
　□ 你无法追踪什么人在什么时侯曾经做过什么事情？

如何解决上述三个问题呢？您必须做好下列网络安全三大要素

网络三大要素

1.Authentication：认证

在做任何动作之前您必须要有方法来识别动作执行者的真实身份。「他是谁？」

2.Authorization：授权

在确认完身份之后，他到底被授予什么权限？「他可以做什么？」

3.Auditing：稽核

在做完事情之后留下记录。「他做了什么？」

网络上身份认证最常用的方法

用户帐号＋密码 = 某人的身份

用户帐号：代表网络或电脑系统中某个人的身份。

密码：用来验证是否真的是网络或电脑系统所允许的用户。

通常现今大部份的网络或电脑系统都是采用「固定密码」的方式来进行身份验证，也就是说：用户在设定好自己密码后基本上会一直使用同一个密码来进行验证。基本上这个方法比较方便而且是可以被接受的方法，然而以「固定密码」的方式来进行身份验证却成为现今网络安全的最大缺陷。

固定密码的问题

1.很容易在网络上被监听。

2.很容易被猜到。

根据调查结果可知，大部份的人为了方便记忆起见所选用的密码都与自己周遭的事物有关，例如：身份证字号、生日、车牌号码、在办公桌上可以马上看到的标记或事物...等。

3.目前仍然是黑客最常用来窃取你的网络访问权限的方法。

4.最近大部份成功入侵的案例中，都是因为密码的问题。

5.自动化的免费工具使得密码的破解更加容易。

可追究责任的机制（Accountability）

所谓可追究责任的机制就是一套让人无法否认的运作方法。在固定密码的身份认证机制中由于隐藏了许多的安全漏洞，使得其验证的机制不够严谨，不足以成为追究责任时的有效证明。

如何才能在网络上建立一套严谨的身份认证机制、保护网络资源及落实企业安全政策？是以下本文的主要议题。要提供可追究责任的机制，唯有做到安全的三大要素：认证(Authentication)、授权(Authorization)及审计(Auditing)。

动态密码

固定密码有被监听及猜中的问题，如果使用者使用的密码可以不断改变就可以防止固定密码的问题，因此这种不断改变使用者密码的技术便被称作「动态密码(Dynamic Password)」或者「一次密码(One-time Password)」。动态密码的做法及技术有很多种，其作法及优缺点兹分述如下：

运作方式：

这个方法是最早期落伍的作法，服务器定期产生一串每位使用者某段时间的密码表，使用者每当要登陆系统时必须拿出这张密码表，才能知道这次的密码是多少。

优点：

1.此法实作最为简单，服务器只要简单的机制便可运作。
2.用户端都不必采用额外的程式或工具。
3.使用者不必记忆密码。

缺点：

1.使用者必须随时携带这张表，并拿出查看。
2.如果密码表遗失会有安全的疑虑。
3.使用者必须随时记得用到第几笔密码。

认证卡

运作方式：

使用者手持如下图大小如名片般的认证卡来随机产生动态密码，这片认证卡必须与服务器完成注册动作后方可使用，当使用者需要登陆系统时，只要取出易于携带的随身认证卡即可获得随机产生的密码。

目前在市场上通常可以看到下列采用不同动态密码技术的认证卡：

1.时间同步(Time Synchronous)：

时间同步认证服务器与认证卡之间每隔一段时间同时更换一次密码，以达到动态密码的功效。

2.事件同步(Event Synchronous)：

事件同步认证服务器与认证卡之间以相同数字序列为密码运算因子，由数字序列的变动特性达到动态密码的功效。

3.非同步(Challenge/Response Asynchronous)：

由认证服务器随机产生一个数字(Challenge)并将此数字传到使用者端，使用者将这个数字输入认证卡后算出该次的密码（Response)，由于随机产生的数字每次都不同以达到动态密码的功效。

认证卡的实作类型：

通常各个认证卡厂商会将这种技术实作在下列软硬件设备：

如上图般的专用硬体认证卡片。

安装在电脑中的软体认证卡。
电子IC卡，Smartcard。
掌上型随身电脑(PDA)。
移动电话。

优点：

1.通常认证卡都很容易携带。

2.使用者不必记忆任何相关资料(最多只要记忆PIN号码，以启动认证卡)。

3.较安全的一次密码认证技术。

缺点:

1.须要比较繁杂的认证手续

2.必须随身携带认证卡

生物辨别技术

利用人类本身的无法仿造且唯一的生物特徵来辩识使用者身份。

1.指/掌纹辩识法。

2.相貌辩识法。

3.声纹辩识法。

4.视网膜辩识法。

优点：

绝对无法仿冒的使用者认证技术。

缺点：

1.较昂贵。

2.不够稳定(辩识失败率高)。

3.刚开始实用。

身份证认证系统架构

包含下列三项主要组成元件：

1.认证服务器(Authentication Server)
2.负责进行使用者身份认证的工作，服务器上存放使用者的私有密钥、认证方式及其他使用者认证的相关资讯。
3.认证系统用户端软体(Authentication Client Software)
4.认证系统用户端通常都是需要进行登陆(login)的设备或系统，在这些设备及系统中必须具备可以与认证服务器协同5.运作的认证协定，例如：RADIUS、TATACS、EASSP等。
6.认证设备(Authenticator)
7.认证设备是使用者用来产生或计算密码的软硬件设备。

Challenge/Response 认证过程

1.Steven在PC上想要登陆Unix主机。
2.Unix主机向Authentication Server询问该如何认证Steven。
3.Authentication Server告诉Unix主机以Challenge/Response非同步方式认证Steven，并同时告知这次登陆的 Challenge。
4.Unix主机将Challenge丢给PC并要求输入相对应的Response。
5.Steven将Challenge输入认证卡中并计算出正确的Response。
6.Steven将Response输入PC。
7.PC将这次的Response传回Unix主机。
8.Unix主机将Response传回Authentication Server询问Response是否正确。
9.Autentication Server经比对Response后告知Unix主机是否认证成功。

认证服务器的容错及负载平衡

认证服务器在实际运作之后会成为组织所有系统中相当重的色，因此在较大的应用环境中应具备容错或者负载平衡的认证服务器机制。

1.复制(Mirror)：在任何Authentication Server的资料被更动时会立即将资料复制到另一部 Authentication Server上。通过复制功能才能达到容错及负载平衡的功能.

2.容错(Tault Tolerance)：当第一部认证服务器无法提供服务时，认证请求会自动转向另一部完全一模一模的认证服务器来提供服务，以确保服务不中断。

3.负载平衡(Load Balance)：将认证服务请求分散到不同的认证服务器上, 以达到负载平衡的功效。

集中管理分散认证

在分散式的全球跨国性企业中，使用者可能出差在全球各地，因此认证服务器必须有能力可以支援在不同服务器间的认证请求，并将非本身的认证请求导向(Authentication Forwarding)负责管理让该使用者的认证服务器(Home Authentication Server)，如此可以简化管理的负担并提供分散认证的能力。

绿色认证：A　域使用者利用自己领域中的认证服务器自行认证。
蓝色认证：A　使用者出差到B领域，透过B领域服务器将认证请求导向A领域服务器。
红色认证：C　使用者出差到B领域，透过B领域服务器将认证请求导向C领域服务器。