双因素动态口令卡的使用经验

管晓明

上海市公安局科技处 上海 200042

0 前言

CNNIC的一项调查表明，许多人在应用计算机和网络时，没有将信息安全作为重要问题加以考虑。调查显示，47.1%的用户最近一年内计算机被入侵过，但却有50.1%的用户一直不更换电子邮件账号密码。“用户名+密码”这一传统的服务器端对客户端身份验证方式有两个不安全因素：一是用计算机键盘输入用户名和密码时，容易被周围的人看见，或者被电脑里的跟踪软件记录下来；二是在网络传输过程中，密码有可能被黑客窃取。事实上，这就是传统的静态口令专业点的说法是“单因素认证方法”，通常采用如下形式：当用户需要访问系统资源时，系统提示用户输入用户名和口令。系统采用加密方式或明文方式将用户名和口令传送到认证中心。并和认证中心保存的用户信息进行比对。如果验证通过，系统允许该用户进行随后的访问操作，否则拒绝用户的进一步的访问操作。

1 静态密码

静态密码是用户和机器之间共知的一种信息，而其他人不知道，这样用户若知道这个口令，就说明用户是机器所认为的那个人。在大多数情况下，网络或系统登录控制通常使用的口令是静态的，也就是说在一定时间内是固定不变的，而且可重复使用。难道在每次会话后修改一次密码吗？显然这样做是极其愚蠢的，那样太累人了！这样的话，就有安全隐患了！因为若他人知道用户的密码，就可冒用用户的身份登录系统或网络，进行非法操作等行为，给真实用户的利益造成损害！

如今，人们同密码打交道越来越多，银行账户、股票账户、信用卡、拨号上网、网上购物等等无不需要输入密码。为了好记，很多人采用有规律性的数字组合，像生日、身份证号码、门牌号、电话号码等，有的为了省事，甚至一个密码一用到底，比如我吧，作为一个专业安全人员，密码当然要求强壮了6位以上字符加大小写，但太多的地方需要输入密码了，所以密码几乎都是一样的，这样确实方便，但却带来了不安全因素，也给不法之徒留下了“便利”。

2 双因素动态认证

所谓双因素认证方式即在单一的记忆因素（固定口令）认证基础上结合第二个物理认证因素，以使认证的确定性按指数递增。在此所讲的物理认证因素包括：智能令牌、磁卡/条码卡/凸字卡、IC卡、生物信息。当安装好后SERVER端和个人用户端都持有相应的时间同步令牌。令牌内置时钟，种子密钥和加密算法。时间同步令牌可以每分钟动态生成一个一次性有效的口令。用户需要访问系统时，需要将令牌生成的动态口令和静态口令结合在一起作为口令上送到中心认证系统。认证中心不仅要核对用户的静态口令，同时中心认证系统需要根据当前时间和该用户的种子密钥计算出该用户当前的动态口令，并进行核对。由于中心系统和令牌的时钟保持同步。因此在同一时刻系统可以计算出相同的动态口令。由于每个用户的种子密钥不同，因此不同用户在同一时刻的动态口令也不同。同时，该口令只能在当时有效，不担心被其他人截取。该方法可以保证很高的安全性。但是由于从技术上很难保证用户的时间同步令牌在时间上和中心认证系统严格同步，而且数据在网络上传输和处理都有一定的延迟。当时间误差超过允许值时，正常用户的登录也有可能造成登录认证失败。

早就听说双因素动态口令威力无穷加密效果好，今天就给大家演示一下双因素动态口令的使用方法，但由于网络版需要交钱，我只拿到单机版，不过总比没有的强，其实单机版也可以想象成网络版。

3 单机动态口令的使用

测试系统：Windows 2000 Pro+SP3（号称支持 Windows 2003）

测试产品：安盟双因素身份认证单机版

测试硬件：TOSHIBA 2410

现在就让大家跟我来一起领略一下双因素的感觉吧，首先是在OS（操作系统）上安装一个Server端，安装成功后如下图：

按照右边的提示一步一步的操作，不能跳级。

第一步是“导入令牌”，系统初始化就没必要了，毕竟我们是第一次使用，不需要去初始化，所谓导入令牌，就是说让服务器和你手上的令牌同步用的，大家仔细看我前言的介绍就知道为什么需要同步了，选择种子文件*.tok文件。

第二步是“增加用户”，在这里面你需要增加需要保护的用户，比如我现在保护的是ADMINISTRATOR用户。

第三步是“分配令牌”，如下图，在未“分配令牌列表”中是你刚才第一步导入的令牌号，“请选择用户”是你第二步添加的用户，这时候你需要选择一个用户来拥有一个令牌。所以一定要跟着我的步骤来。

第四步是“令牌测试”，如下图，当你做完第三步后你的令牌就已经和用户绑定了，这时可以测试你的令牌和系统是否同步起来！

在“用户名”中输入你刚才绑定的用户名，在“动态口令”中输入

令牌上显示的动态密码，然后系统将让你输入你的PIN码，如下图。

这个PIN码是很重要的，当你登录系统的时候就是用PIN码+令牌密码登录系统，设置如图。

输入两次PIN码点确定后，系统将让你测试双因素登录了！

现在计算机从新启动计算机后登录Windows 2000就必须使用你刚才输入的PIN码+令牌动态密码了。

4 使用经验

（1）随时携带恢复软盘

当安装好双因素动态口令卡后可以在“系统”—“设置本地保护”中设置紧急启动盘，当你连续10次输入密码不正确，就只能使用紧急启动盘了。

（2）只保护ADMINISTRATOR组就可以了，记得增加一个USER组用户，以防不备，进不去系统又没做紧急启动盘，就准备重做系统吧。

（3）由于令牌和系统之间是使用时间做种子，所以不能乱改时间，误差可以在10分钟内，但操作10分钟，就别想登录了。

（4）动态密码1分种内只能用一次。

（5）切记PIN码和恢复密码，这两个一个是你平时登录时用的，一个是恢复时使用。

（6）在Windows 2000安全模式下，不执行动态口令程序，也就是说你可以从安全模式下来应急恢复，但如果你不想别人再到安全模式的话，也可以通过修改设置禁止按F8进安全模式。

5 总结

网络安全风险在信息时代的今天愈加凸显，需要引起更多的关注和重视，也将在未来面对更多的挑战。本文对双因素认证技术做了详细的介绍，希望能为大家的信息安全保障和管理工作提供一些新的思路。

[1]（加）斯廷森（Stinson，D.R.）著，冯登国等译.密码学原理与实践（第三版）.电子工业出版社.2009.

[2]荆继锵，林璟锵，冯登国编著.PKI技术.科学出版社.2008.

[3]胡振宇，蒋建春编著.密码学基础与安全应用.北京邮电大学出版社有限公司.2008.

[4]关振胜编著.公钥基础设施PKI及其应用.电子工业出版社.2008.