浅谈农村信用社统一身份认证系统及实现

●赵 亮

随着市场经济的不断发展，我国农村金融机构经营的业务范围及业务品种也在不断扩大。立足社区，服务三农，业务种类从最初简单的存、贷、结业务发展到代收代付、代销保险、代理理财、第三方存管、代客结售汇、网上支付等多种功能，业务渠道也从传统的柜面渠道拓展到网上银行、电话银行、转帐电话、手机支付等多个渠道。由于业务种类的增多，内部身份认证体系对保障信用社业务的安全运营起着至关重要的作用。如:基层业务操作员需切换用户身份登陆不同业务系统，后台集中管理用户权限的漏洞。随着信息化程度的不断发展，业务应用的不断深入，各应用支撑系统不断“泛滥”。统一用户管理，统一登录等问题越来越困扰着应用支撑部门，一个统一控制系统用户，集中授权管理用户的统一身份认证系统已成为安全及管理的必然需求。

一、建设背景

目前，我省农村信用社现有内部身份认证通常采用以下模式对业务人员身份的合法性进行认证:

(一)柜员权限磁卡+密码方式。该方式将IC卡中存入与用户身份相关的数据，由用户随身携带，登录时系统校验IC卡信息及用户密码，以验证用户的合法身份。该方式在安全性上仍存在以下问题:第一，柜员权限磁卡易被复制;第二，柜员权限磁卡易被盗取;第三，被他人代用，即将本人权限卡交由他人代为使用。在后台认证方式中也安全性极差，存在以下风险:第一，采取键盘输入密码的方式，隐蔽性不高，容易泄露;第二，系统“只认密码不认人”，造成管理漏洞，密码一旦被盗、仿制或泄露，出现问题时会导致责任不明、无法落实责任人、无法确定作案者身份的情况;第三，很多柜员喜欢用容易记忆的生日、身份证号码、电话号码、节日等数字作为密码，较易破译。

除上述认证方式本身存在的缺陷外，从实际操作情况看，柜员权限磁卡+密码这种身份认证方式仍存在一些不容忽视的问题，存在问题如下:

第一，系统初始密码的公开性。就目前的情况看，每次投产一个新的业务处理系统，都会由各基层网点申请各级别操作柜员，新申请的柜员号均有一个初始密码。虽然要求柜员在第一次进入系统时及时更改密码，但柜员是否更改密码系统不能硬性控制，因密码是柜员进入系统的唯一认证要素，如柜员不对初始密码进行更改则密码形同虚设。

第二，规章制度不完善，监督检查力度薄弱。目前农村信用社尚未针对“柜员号+密码”的认证方式制定完整的操作流程，也尚未形成有效的监督检查机制。因此，柜员对上述业务处理系统重视程度普遍不高，由于农村信用社点多面广，基层各类员工对安全操作重要性的意识存在差别，违规操作现象时有发生。

第四，违规操作隐蔽性强。由于使用该方式登陆的业务处理系统大多是在后台进行操作，绝大部分操作区域无录像监控，这使违规操作具有较强的隐蔽性，也给日后的监督检查带来很大困难。

(二)柜员权限磁卡+密码认证方式。目前国内各大商业银行操作系统采用此方式对业务人员身份进行认证。为提高业务的安全性，商业银行对柜员权限卡的管理非常严格。例如，要求定期更换密码，规定“章随人走、卡不离身”，成立稽查部门对柜员遵守制度情况进行检查，对违反制度的员工进行处罚等等。尽管如此，柜员管理上的问题依然存在:

首先，虽然要求权限卡密码不定期更换，但很多柜员往往习惯于采用在二套或三套密码之间定期更换，长此以往，其密码的安全性已大大降低，容易破译，有些密码已变成“明码”。

其次，目前农村信用社采取的授权方式为授权柜员在经办柜员的键盘上划卡输入密码，这种方式很容易造成密码泄露。

基于以上分析，内部身份认证体系暴露出来的诸多问题目前已对农村信用社业务运行的安全构成威胁。传统的密码身份识别方法由于其不可克服的缺点已难以满足新形势的需要，针对现行计算机系统及银行内部管理中存在的问题，从技术优缺点、可行性、实用性等方面来看，新的指纹识别系统作为商业银行内部认证的依据不仅具有许多独到的信息安全角度的优点，更重要的是还具有更高的实用性、可行性。

由于各种原因，上述各系统运行的软、硬件平台及操作环境千差万别，一方面，各系统用户之间的登陆方式、登陆介质存在很大差别，如核心业务系统登陆方式通过字符终端登陆，报表系统、网上银行系统等系统通过网页方式登陆，信贷管理系统通过客户端登陆，登陆介质也分为密码登陆、网银ukey登陆、指纹登陆等。另一方面，由于各系统有不同的柜员及相应的权限控制，必然产生一个实际的用户需操作多个业务系统，管理多个系统的用户及相应的身份验证方式．

二、设计思路

(一)指纹识别系统在农村信用社内部身份认证体系中的应用

1．将活体指纹识别技术、计算机DSP处理技术、通信技术与业务仿真技术相结合，利用人体指纹的唯一性与不可伪冒性，实现操作员身份和操作员人体的一一对应，可以通过对指纹的事先保存与被鉴别对象的指纹进行对比，验证其真实身份。指纹识别技术一般分为指纹登记和指纹识别两个部分。其中，指纹登记过程是指初次采集指纹并通过计算机生成供识别的指纹特征，存放于指纹特征库(或者IC卡等存储介质)中。而指纹识别过程，是指采集、提取用户的指纹特征，将待验证特征与指纹记录中的指纹特征进行对比，得出比对结果的过程。对各个独立的应用系统，要求统一用户代码，每一用户代码各自对应一套指纹认证。同一用户代码用于登录不同业务系统。操作员身份识别采用指纹认证方式，避免采用卡，密码等认证方式和介质。操作员登陆只需输入操作员代号，并在指纹仪扫描指纹通过认证后即可登陆各自系统。无指纹或指纹特征不明显的系统设置设为特殊人群，在输入操作员代码后，统一身份认证平台通过识别操作员身份后采用特殊认证模式，跳过指纹认证，由各自系统密码认证通过。

2．操作员权限设置由各自系统自行分配，统一身份认证系统主要用来识别操作员身份，各系统按需求决定是否对操作员各自业务权限进行控制。

3．用户权限设定可在各业务系统内设定，也可在统一身份认证平台进行进一步设定，起总控制操作员访问权限的作用。一方面需要各系统自行管理各自操作员权限，另一方面是个建立权限控制接口规范，与各系统之间建立接口标准与控制约定，一并控制操作员权限。

(二)指纹识别方式在银行业务柜员身份认证方面的优势

1．指纹信息建档——实现了人员的统一管理。所有业务操作人员的指纹被注册在数据库中，与每个人的姓名、身份级别、联系电话等基本信息统一放在数据库中，实现了对人员的统一管理、控制了人员擅自调岗、密码泄露所造成的责任不清问题。很难伪造和破译。由于指纹识别具有上述特点，识别指纹时必须将真正的手指与指纹采集头接触，因此伪造、假冒、攻击、破译指纹的难度就变得相当大。例如，对于一个3位数字密码，有10×10×10=1000种组合，破解概率为千分之一，入侵者可以很容易地通过尝试所有的组合而破解，而你很难找1000个人 (误识率为千分之一)为你的企图入侵提供指纹(即便是100个人将10个手指头全部用上)。以现有的指纹识别系统为例，其误识率小于十万分之一，能储存数十万个指纹，其破译难度可想而知。

2．指纹签到/授权——把住系统入口安全。所有业务人员进行系统签到、授权等操作必须经过指纹验证身份，杜绝了以往用其他人员身份登录系统的现象。严格把住系统入口，把以往出现案件后的事后追究变为事前防范。

3．指纹授权、交叉授权——杜绝了自己给自己授权现象。安全性能高，责任分明。指纹是相对固定的，很难发生变化，可以保证用户安全信息的长期有效性。系统通过对柜员本人生物特征的识别来确认身份的合法性，实现了“认人不认密码”的认证方式指纹系统实现了真正的对人的管理，而不是对物的管理，这一点在“交叉授权”中体现的最为明显。采用“交叉授权”功能，有效解决了授权人临时有事外出的问题。既符合实际工作现状，又满足了业务的要求，实现真正意义的三级权限分工，做到权责分明，防止抵赖现象发生。

4．符合现行的银行柜员管理制度。指纹身份认证系统相对独立、操作简便，不会因为使用指纹认证而加大商业银行的业务管理难度。系统实施简便，对银行原有业务、应用软件等所作的相应改造较小，可有效保护银行原有的硬件投资，快速实现与业务系统的平滑联接，从而在内部建立起一个安全、稳定、高效、灵活、方便的内部身份认证体系。

5．经济性。指纹识别得益于现代电子集成制造技术和快速而可靠的算法研究。只要建立一个指纹认证中心，既可以面向银行内部柜员等需要进行身份认证的系统接入，又可以面向客户进行指纹认证，实现了真正的资源共享，大大提高系统使用的经济效益。

三、具体实现

(一)整体框架

统一认证平台系统采用B/S模式与C/S模式相结合的系统架构。其中用户指纹采集、管理等功能通过B/S模式实现，指纹管理员通过登陆web管理页面对用户的指纹等相关信息进行维护;指纹验证则通过C/S模式实现，用户登陆应用系统时，通过应用系统实时采集柜员指纹特征并将其上传到指纹服务器进行指纹验证，应用系统为客户端、指纹服务器为服务端。

指纹系统服务器操作系统采用Windows2003 Server，数据库服务器采用INFORMIX数据库，指纹服务器上还需安装Apache Tomcat，实现WEB方式访问．指纹认证服务和数据的传输通过银行内部局域网实现，客户端只需要安装浏览器程序客户端，不需要安装数据库等其他软件。

(二)系统拓扑图如下所示。

(三)实施方案

规范和统一各业务系统操作用户代码，完成用户指纹采集，操作员登录各自系统的操作员代号在各系统必须唯一，此代号必须被统一身份认证系统识别，以确定该操作原身份及是否特殊人群，其次是是否强制指纹校验和是否采用密码识别。

规范各业务系统登陆流程，细化柜员权限，按接口规范设定统一身份认证系统与各业务系统的权限设定，控制登陆风险。

修改各业务系统的登录验证界面，采用统一身份认证系统提供的指纹系统接口函数，通过调用指纹驱动，发出验证指令通过网络通讯采用统一身份认证系统进行校验，在校验通过成功返回后可正常登陆。

四、实现目标

统一身份认证平台系统是一个专门为解决各种信息化系统的统一用户管理，统一用户登陆等而建设的系统，为此该系统的建设目标主要包括如下几个方面:

第一，统一用户登陆管理。包括指纹登陆管理及特殊人群密码登陆管理等多种身份认证机制。

第二，统一管理用户授权机制。增加统一认证平台用户与各应用系统用户的对照，实现用户验证由认证平台实现，权限管理由统一认证平台与各自应用系统共同控制。

第三，登陆系统监控及统计，对用户权限进行系统外控制。

第四，用户信息管理，包括用户信息的增加、修改、删除等。

五、应用前景

为了有效地控制内部操作员对信用社内部资源及服务的合法访问，确保系统和资金的安全，信用社内部必须对传输的数据进行加密，并对网络实体和用户身份加以有效的认证。由于农村信用社多数网点分布于乡镇农村，乡镇网点业务人员基本文化水平较低，对业务操作风险性的警惕性，自觉性受限，导致农村信用社一直是各金融系统中风险高发地带，近年来，经济案件屡禁不止，随着信息化建设的不断深入，案件高发态势得到有效控制，但也出现了内部工作人员利用现有业务系统中身份验证和授权验证机制上存在的漏洞，实施计算机犯罪的恶性事件，不仅给银行造成了巨大的经济损失，同时也对农村信用社的声誉造成了非常恶劣的影响。

传统的柜员ID号+密码、磁卡(IC卡)认证都存在管理漏洞，杜绝了以窃取密码或卡为主要手段的内、外部犯罪的可能性已成为农村信用社基层网点业务改造的当务之急。

江西省农村信用社自综合业务系统在全省92家成员行社推广以来，采用的是“柜员权限卡+密码”的验证方式，它虽较传统的“柜员号+密码”的验证方式有了较大的改进，但是依然存在使用中的“飞卡现象”和“越权现象”，柜员权限卡易被盗用和仿制、密码易泄漏的问题依然存在。为此，江西省农村信用社制定了严格的管理措施，检查“柜员权限卡”是否按规定使用和保管，已经成为管理和安全防范的重要工作。但管理制度要求的“严密与规范”与一线工作的“方便与高效”，在客观上存在矛盾，导致某些授权人员在业务繁忙或因事离岗时，放松了对权限卡的管理和使用，可能造成权限卡使用中的安全隐患。

统一身份认证系统尽量避免了实物授权及密码认证方式，结合应用系统特点，可在需要监管的应用系统上加入统一身份认证的功能，起到系统内和系统外权限控制和监控。

统一身份认证系统在江西省农村信用社推广以后，用户管理难度大大降低，柜员权限卡相关的安全隐患基本得到杜绝，操作用户对各系统的登陆、访问更为简便、安全、快捷、受到用户的一致好评，同时进一步优化了业务操作流程，也为防范了农村金融业务操作风险作出了突出的贡献。

[1]余勇，林为民，何军．电力数字证书服务系统的设计及应用[J]．电力系统自动化，2005，(10)．

[2]李栋．如何构建安全的电子商务网站[J]．计算机安全，2005，(6)．

[3]刘微微，程海蓉．信息安全专题介绍之二:公钥基础设施PKI/CA认证安全体系[J]．计算机辅助工程，2002，(1)．

[4]肖凌，李之棠；公开密钥基础设施(PKI)结构[J]．计算机工程与应用，2002，(10)．

[5]杨波，王常吉，段海新，吴建平．基于PKI/PMI的校园网安全单一登录方案 [J]．计算机工程与应用，2004，(36)．

[6]常青，张卡，张其善．基于智能卡的CSP的设计与实现[J]．计算机工程与应用，2005，(5)．

[7]柯敏毅，欧阳勇，溪利亚．PKI结构下公文交换系统安全体系研究 [J]．计算机与数字工程，2004，(6)．