企业级免密认证系统开发实践

周平，刘廷峰，李江鑫

（四川中电启明星信息技术有限公司，四川成都 610000）

1 引言

随着企业信息化的不断发展，越来越多的应用在企业中构建和运行，然而，截至现在大多数企业应用都是采用传统的账号和密码进行系统认证登录，对于系统使用者来说，需要记住很多系统的密码，并且由于国家在信息安全方面的严格要求，很多交易类的系统在信息安全方面的要求尤为严格，因此，用户需要记住很多系统的复杂密码来登录登录系统，并且需要按要求进行密码过期修改和提醒。对于管理员来说，必须承担保护密码的责任，一旦密码泄漏，对企业应用的业务和信誉都是巨大打击。另外目前网络上存在大量的进程盗号木马、键盘记录木马、远程控制木马、会话劫持木马、钓鱼程序等盗号程序，大量的账号密码丢失，造成了非常大的危害。

2 企业级免密认证系统需求

企业无密认证解决方案能够解决传统以密码为核心的认证体系的诸多问题，解决传统密码问题 ，是企业完成认证体系升级，实现去密码化的关键。方案主要基于移动及生物识别技术，提供如扫码、指纹验证、动态口令等多种认证方式，解决如下问题：

1) 账号密码使用安全；

2) 账号密码无法被盗取；

3) 服务器账号密码库安全；

4) 简捷快速安全登录；

5) 内外网数据安全隔离。

2.1 技术难点

1) 如何将用户在移动端的身份与内网身份进行绑定，关系着用户使用门槛、便捷性的重要问题，鉴于所有用户信息其实都存在于企业的内部网络，且与互联网物理隔离，内外身份的绑定是关键。

2) 如何穿透内外网，在内外网物理隔离的情况下，需要将所有请求转换成SQL数据，再由内网权威身份中心处理后完成。

高校应积极改善教学模式，积极采取主体教育的方式，强化教育有效性。在教学中，应充分重视学生的主体地位，尊重学生的“主角”位置，促进学生积极参与到课堂教学中，教师需要以辅导和引导的方式来调动学生的学习主动性与积极性，激发学生的创造能力。[6]

3) 如何保证数据安全，需要设计身份中转器，实现用户的内网帐号信息及实名用户信息不曝露在DMZ区、外网。

2.2 用户角色

免密认证系统主要解决用户登录的便捷性、安全性问题，同时解决企业的密码管理难题，系统角色方包括普通用户、系统运维管理员、业务支持管理员、审计管理员。

3 企业级免密认证系统的设计

3.1 架构设计

本文提出了一种基于企业内外网场景的非涉密登录关键技术“身份口令扫码身份识别”复合技术，克服了现有技术的困难，避免在一个平台下面同时获取帐号、密码问题，在输入过程中出现帐号密码明文的问题，在使用过程中无需用户输入用户账号和密码，通过“手机扫描+动态数字”方式完成认证，更加快捷、安全的登录企业应用系统。

1) 在个人移动设备上通过扫描二维码，并且通过个人手机发送短信完成用户身份信息的绑定。

2) 用户扫描登录二维码，手机会将安全认证码以及个人手机信息通过国密加密算法发送至移动交互平台。

3) 移动交互平台根据传递过来的二维码个人信息，判断用户是扫描的内网还是外网认证服务，进行路由策略匹配。

5) 内网认证服务通过解析读取内网数据库完成认证服务流程。

6) 如果认证成功进入内网应用，认证失败，返回错误信息。

4 企业级免密认证系统的关键技术

1) 内外网安全交互技术

互联网与外网边界：通过统建外网安全交互平台，实现移动应用的身份认证、访问控制、传输加密以及应用过滤。

图1 数字联盟可信ID简明逻辑图

外网与内网边界：通过统建安全隔离装置，基于数据库代理访问实现内外网数据安全交互。

2) 会话交互技术

通过移动互联支撑平台提供的第三方安全加固技术，实现客户端应用防逆向、防篡改、反调试保护。与服务端接口交互采用安全token认证，对交互数据长度类型进行安全校验。

3) 数据安全

移动客户端不存储企业机密信息和用户隐私数据，重要数据传输采用S S L协议结合SM2、SM3、SM4国密算法进行加密传输和数字签名。

4) 二维码编码技术

数据分析：确定编码的字符类型，按相应的字符集转换成符号字符；选择纠错等级，在规格一定的条件下，纠错等级越高其真实数据的容量越小。

数据编码：将数据字符转换为位流，每8位一个码字，整体构成一个数据的码字序列。其实知道这个数据码字序列就知道了二维码的数据内容，如图2所示。

图2 数据编码

5 结束语

本文的重点是通过唯一身份信息绑定，通过用户移动端设备扫码，在企业信息内外网交换过程当中使用信息安全隔离装置，保证外网用户不能够直接操作内网数据库，最终形成一套“身份+二维码”可信安全认证方案，为信息系统行为安全策略制定、风险内控提供有力的数据支撑，为提升企业网络空间的安全防护把好入口。