|
 | 作者: opensoft [opensoft]
 论坛用户 |
登录 |
| 一次性动态密码双因素身份认证系统在银行网上交易业务中的应用 ――永泰开放应用系统（深圳）有限公司 0755-88854188 Http://opensoft.iaspec.com ◇ 背景： 随着我国银行业及网络技术的发展，各大银行分别推出不同的网银业务，网络银行已经越来越普遍地出现在我们的生活之中。网络银行的安全随着业务普及，逐渐就成为人们关注的焦点，随之而来的安全需求被银行提上议程。 ◇ 现状分析： 某银行“网上银行”面临的风险来自如下方面：假银行网站欺诈，骗取用户账号及密码信息；通过种植木马等程序进行密码窃取。为保障网银用户的安全，该行采用了数字证书作为保障用户登录安全的主要手段。但是由于使用数字证书需要签约，安装驱动程序，并需要出钱购买，有问题更换麻烦且需要额外开支，银行面临需要提供一种使用户感觉安全又方便使用的解决办法。 ◇ 解决方案： 结合该行已有的各类业务系统，短信网关使用的现状，永泰开放为该行提供采用手机令牌产生一次性动态密码和短信接收一次性动态密码的身份认证方案。AT.Pass解决了该行用户对使用网银业务安全的担忧和银行对推广成本疑虑而造成业务推广速度缓慢现状。 ◇ 为什么 AT.Pass？ AT.Pass在设计时充分考虑到目前金融行业不同业务应用的趋势和使用特点，并充分结合银行（包括保险公司和证券公司）已有业务系统，短信网关使用的现状，采用大众化和人性化的使用方法，为用户提供了使用金融支付业务和各类业务时更安全、更便利、使用成本最低的解决方案，同时解决了金融业务中因用户对使用安全和银行对推广成本的疑虑而造成业务推广速度缓慢现状。 AT.Pass系统介绍 AT.Pass是基于开放的算法和相关技术设计而成的同步一次性密码验证系统，从根本上杜绝了传统静态密码的潜在风险。所谓[同步]是指客户端的程序与认证服务器主机无需连接，在独立工作的状态下生成一次性密码进行身份认证。这种技术不同于传统以时间为种子产生一次性密码的技术，从根本上杜绝了时间漂移导致用户不能登录系统的现象。 AT.Pass的巧妙之处是无需使用专用的硬件来产生一次性密码，而是把支持J2ME的手机作为存储令牌的容器，无需额外硬件，直接用手机里的令牌产生一次性密码进行身份认证。 AT.Pass的“令牌”是一个下载到手机内的Java小程序，此“令牌”不能转载到其它用户的手机或设备上，确保了其唯一性和安全性。“令牌”的分发可通过互联风进行，当“令牌”下载并自动安装到被授权的用户手机后，该用户可使用这个“令牌”来产生一次性的密码，密码能自动与主机同步来确认用户的身份。即使用户账户名及静态密码同时被盗，没有一次性密码，非授权用户仍无法进行相关交易，从而有效保护用户账户安全。 AT.Pass对下载到手机“令牌”的生成、分发、使用、回收等各个环节，提供完整、严谨而且细致的管理功能。 AT.Pass系统特点 先进的双重认证系统： AT.Pass基于Java/J2EE架构，采用手机令牌+用户个人PIN码=一次性动态密码的双重模式来生成密码，具有高度的安全性。 AT.Pass通过使用移动电话作为令牌的载体，用户必须输入个人密码并通过令牌计算来生成一次性密码，从根本上杜绝了传统静态密码的潜在风险。 AT.Pass既可以提供手机令牌产生一次性动态密码登录系统，也可以利用一次性短信+静态PIN码的方式登录。 高度安全： AT.Pass通过用户移动电话而不是在用户电脑上生成一次性密码，因此完全免疫于电脑上的间谍软件；同时在后端服务器系统中AT.Pass将加密的用户令牌密钥分别存储于主应用程序与AT.Pass认证服务器中，有效降低了双因素密码一起被盗的风险，从而进一步提高了系统的安全性。 AT.Pass不会产生时间漂移导致无法登录系统的问题，可用性和可靠性更高。 AT.Pass支持挑战码/非挑战码模式，随时满足用户更高安全的需要。 易用： 用户仍然可以使用原有系统的登录界面，只是在输入密码时，改成输入通过用户个人移动电话生成的一次性密码或接收到的短信一次性密码即可。所有系统更新替换都在后台进行，最大限度减少对用户使用系统的影响。 低成本高效： AT.Pass的“令牌”是一个J2ME的小程序，运行在用户的手机上，通过手机移动网络分发，以短信PUSH技术下载并自动安装在用户手机上，不需要额外的硬件成本和分发成本，无需额外硬件令牌，无使用期限限制，降低了用户初次购买和长期使用成本。 通用的解决方案： 您的员工、商业合作伙伴和客户都可以使用AT.Pass，无论他们是要登录电子银行、网上支付、E-mail（电子邮件）、认证中心、网络游戏、远程访问、企业内部权限管理系统，还是各类应用系统，AT.Pass都能确保只有授权的用户才能登录和访问该网络。 高度兼容： AT.Pass API具有高度的兼容性，因此可以轻松与现有的应用程序系统、第三方安全管理系统以及与大多数的虚拟专用网络设备（VPN）、SSL虚拟专用网络设备（SSL-VPN）、单点登录系统（SSO）集成整合。 |
| 地主 发表时间: 07-04-09 11:27 |
 | 回复: TecZm [teczm]  版主 |
登录 |
动态口令技术基本落伍了。个人意见！ |
| B1层 发表时间: 07-05-10 13:46 |
| 回复: opensoft [opensoft] 论坛用户 |
登录 |
|
UP!! |
| B2层 发表时间: 07-05-28 10:07 |
|
20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写：NetDemon
粤ICP备05087286号
论坛: UNIX系统 标题: 推荐：一次性动态密码双因素身份认证系统在银行网上交易业务中的应用