基于OTP技术的堡垒机在不良资产网络营销系统中的应用

陈立彬

摘  要：在不良资产营销不断依赖信息技术的今天，随着新冠疫情问题常态化的出现，对于金融资产管理公司的不良资产网络营销系统的业务连续性能力及安全可靠性等方面面临新的挑战。当系统管理人员和相关的操作人员无法快速抵达现场的情况下，在因特网中建立起一条安全可靠的网络通道成为解决问题的关键。本文基于OTP技术的堡垒机在不良资产网络营销系统中的应用，搭建了一条安全的网络链接通道，并通过相应的网络安全管理手段提升了不良资产网络营销系统的安全性，最终使系统管理人员能够通过安全可靠的远程链接通道来解决问题，满足不良资产网络营销系统日常的安全运行的需求，承载金融稳定器的使命。

关键字：堡垒机;OTP技术;不良资产;网络营销系统;

引言

在不良资产营销不断依赖信息技术的今天，随着新冠疫情问题常态化的出现，对于金融资产管理公司的不良资产网络营销系统的业务连续性能力及安全可靠性等方面面临新的挑战。作为金融界中不良资产经营的代表公司中国长城资产管理股份有限公司，采取诸多先进的信息科技管理理念和技术来加强自身网络安全的同时，保障不良资产经营业务开展的可持续性。随着OTP技术的日渐成熟以及在堡垒机上的应用日益加强，基于OTP技术的堡垒机作为其中一种重要的技术手段和解决方案，能够较好满足中国长城资产管理股份有限公司对于不良资产网络营销系统在安全管理的要求。

一、关键技术简介

堡垒机技术

堡垒机，也叫做运维安全审计系统。是在特定网络条件下使用，其目的是为了保障网络和数据不受外界的入侵和破坏，它集系统运维和安全审计管控两大主要功能，用于网络运行中的集中报警、及时处理及事后的审计定责。 我们又把堡垒机叫做跳板机，简易的跳板机功能简单，主要核心功能是 4A：身份验证 Authentication、账号管理 Account、授权控制Authorization和安全审计 Audit。既可以用在企业外部网络上，也能够在企业内部网络上使用。

OTP技术

1.OTP技术的定义

OTP全称叫One-time Password，也称动态口令，是根据专门的算法每隔60秒生成一个与事件相关的、不可预测的随机数字组合，每个口令只能使用一次，每天可以产生43200个密码。OTP的同步机制目前主要有3种，分别为时间型、事件型、挑战与应答型。动态口令逐渐变为多种同步类型复合的机制发展，如时间+挑战与应答型。目前，国际上OTP有2大主流算法，分别是使用AES对称算法的RSA SecurID ，使用HMAC算法的OATH组织的算法。如果在国内来说的话，主要采用国密的OTP密码算法（即：国密SM1（对称）和SM3（HASH）算法）。

2. OTP的基本认证原理与实现

2.1 OTP原理

OTP 基本原理通过下面的计算公式来表示：

OTP（K，C） = Truncate（ HMAC-SHA-1（K，C） ）

根据公式可以获知，K 表示秘钥串;C是一个数字，表示随机数; HMAC-SHA-1表示使用 SHA-1方式来加密;Truncate 是一个函数，实现加密串中取出所需要的字段组成一个新的数字的功能。

2.2 OTP的基本认证原理

OTP的基本认证原理是通过认证Client端和Server端的共享密钥，通过使用同一个一次性特定密钥对某一个时间值、或异步挑战数、或者是事件计数进行加密计算，常用的有对称算法、HASH、HMAC等算法，然后再通过比对加密后的计算值与之前的是否相同来实现认证。可以做到OTP在使用后立即作废，一般情况下由6-8个数字组成一个OTP，提高了使用的便捷性，具有良好的系统集成性，因此OTP技术可以应用于Web、APP、移动终端等渠道使用。

2.3 OTP实现

按照前文所述，根据OTP基本原理，目前可以采用多种编程语言来实现OTP技术，现以JAVA为例，实现OTP的代码如下：

运行后的结果如下：

3. OTP与常用认证技术比较

当前网络信息系统中常用的认证技术主要为六种。一是USBKey认证技术，主要是通过申请PKI证书来实现认证。二是动态口令卡认证技术，主要是通过印刷好的密码刮刮卡来实现认证。三是動态短信认证技术，主要通过使用短信发口令来实现认证。四是IC卡/SIM卡认证技术，主要通过使用IC卡/SIM卡芯片内已存的关键信息与用户身份相关的信息来实现认证。五是生物特征认证技术，采用独一无二的生物特征来验证身份，例如视网虹膜、面容或者是指纹等。六是OTP认证技术，主要通过一次性动态口令生成器和认证系统来实现认证。

上述六种不同的认证技术特征各有不同，现将其比较情况罗列如下：

通过上表的比较后发觉OTP认证技术在某些时候具有一定的优势。

二、长城资产不良资产网络营销系统现状

中国长城资产管理股份有限公司（以下称“长城资产”）诞生于2016年12月11日，注册资本512.3亿元，由国家财政部、全国社保基金和中国人寿共同发起设立。作为五家国有金融资产管理公司之一，主要任务是收购、管理和处置国有银行剥离的不良资产。自公司创办以来，先后经营和处置了农行、工行和其他商业银行等金融机构及非金融机构不良资产2万多亿元。

长城资产以经营不良资产为主业，在不良资产网络营销系统方面一直是采取与众多互联网平台公司合作的形式，将自身需要营销的不良资产挂在合作伙伴的营销平台上进行营销，在自主研发上不占有优势。随着新冠疫情的常态化的问题出现，传统许多线下的营销的工作受到场所的限制而无法正常开展，合作伙伴网站信息更新的及时性上也受到了不小的挑战。在此情况下，长城资产于2021年4 月15日正式上线了自主开发的不良资产网络营销系统--点金网，在线上自主营销方面，加强了新的力量。该系统直接可以通过公司内部网络可以访问后台操作，部分数据由内网核心业务系统直接推送，大大提高了工作效率的同时，也为长城资产增强自身核心竞争力助力。4833962D-5474-40CE-AEBC-4EC1F380DA3C

三、基于OTP技术的堡垒机技术的不良资产网络营销系统设计

（一）内部网络介绍

长城资产内网系统为网络安全等级保护三级系统，由长城资产总部统一规划，32家分公司和9家控股子公司负责建设、运维和管理。该网络由总部网络、32家分公司内部网络和控股子公司网络构成，与外部因特网完全物理隔离，对外是通过专门的网络与互联网相连，同时参与专线连接监管部门的相关系统。

（二）设计思路

本文研究了现有的OTP技术和OTP认证技术的现状，认真分析了长城资产公司建立不良资产网络营销系统的现有网络情况，结合国家公安部和金融监管机构对于金融业务信息的系统的实时性、安全性和可靠性的相关要求。本系统的设计重点放在实时性和安全性上，设计出来的基于OTP技术和堡垒机技术的不良资产网络营销系统的特点如下：

1.在认证阶段，为防止通讯时Server端和Client端时间同步，通过运用挑战/应答机制认证，有效抑制密码易受到攻击、截获等问题。

2.在Server端发送给Client端的信息中添加了OTP信息，使得Client能够根据OTP技术来辨别Server的真伪，防止伪Server对Client端进行攻击，实现了Server端和Client端的OTP双向认证。

3.用户登录系统时，外网用户先通过OTP技术认证的VPN设备进入DMZ区后，再访问采用OTP技术的堡垒机登录不良资产网络营销系统后台，有效的隐藏了不良资产网络营销系统后台真实的登录地址，加强了系统的访问安全。

（三）基于OTP认证中基于挑战/应答认证协议的系统设计

1.认证过程

长城资产公司的不良资产网络营销系统基于于安全性的考虑，能通过OTP技术登录的用户，仅仅是一类特殊身份的用户（例如系统管理人员、以授权的用户），该类用户只能在登录应用系统后才能进行后续操作，故该类用户在登录时必须通过基于OTP技术的安全通道，与认证Server中的信息进行有效的比对后，方能登录。其中最为主要是用户uid唯一性、合法性的确定。

当特定用户在登陆长城资产公司的不良资产网络营销系统，需要进行后续相应的操作和服务时，首先就需要通过该系统的Client端和Server间进行挑战/应答认证过程，该认证过程如下图所示：

第一步：终端使用人员进入长城资产公司的不良资产网络营销系统Client端登陆界面，在登录界面先输入账号和密码，Client端通过DES算法对输入的账号和密码信息进行及时加密，并将加密后的加密信息发送至Server，完成了终端使用人员登陆请求。

第二步：认证Server得到加密后用户登陆的信息，然后按照相对应的DES解密算法对加密后用户登陆的信息进行解密，如果解密出来的账号信息在认证Server内是已存在的，则通过查询以存在的账号的随机数Ri，根据Server内已存的账号和该账号对应的随机数Ri按照N=OTP（账号Uid，Ri）来算出N的值，并将N传送给Client端的使用者;如遇到登陆输入的账号和密码信息是错误的或者不存在，Server端就直接返回信息给Client端，并跳出“该用户为非合法用户。”的提示。

第三步：如果登陆Client端使用的账号和密码是有效的，也通过了Server认证机制，并得到计算出来的N值。登陆Client端就需要对返回的N值进行验证，防止伪Server向Client端发起的攻击。若比较N出来的值是有效的，则继续执行，否则Client端将再次实现与Server进行账号验证。

第四步：

（1）通过OTP函数计算M值，按照公式M=OTP（Uid，pw⊙Ri）来计算;

（2）Client端利用随机数生成的内置程序，自动生成会话密钥K，同时也自动生成一个随机数Ri+1，通过新生成的Ri+1、K按照M=OTP（uid，pw⊙Ri+1）计算出新的会话校验符M。

第五步：当Server接收到来自Client端的A、B、C、D数据的值时，认证Server根据存储在自身的校验符M值，对Client端发来的身份口令进行进一步验证，详情如下：

（1）认证Server将M、Uid与连接相关联，是在建立通信连接时，送认证成功的请求;反之，立即向Client端发送认证失败请求，断开相应连接。若成功认证后，就需要在Server端保存本次的校验符M和随机数的值，为了能够有效的进行后续请求做准备。

（四）系统的设备组成

为了有效降低通过使用OTP技术的VPN对长城公司内网安全的影响，使用OTP技术的堡垒机和使用OTP技术的VPN设备釆用分层部署的方式（如部署示意图 所示）。远端个人Client端通过使用OTP技术的VPN设备建立起访问堡垒机的安全通道，系统管理人员通过HTTP方式登录使用OTP技术的堡垒机，并通过使用OTP技术的堡垒机跳转到指定Server进行管理操作，以上通信过程均经过堡垒机，从而达到隐藏内部网络结构的目的。

（五）安全管理

在外部网络通过使用OTP技术的VPN登录内网中的堡垒机后访问不良资产网络营销系统的后台，实事上在一定程度上损坏了内网的封闭性，为了降低由此带来的网络安全风险，还需要完善相关的网络安全管理。

1.由于使用OTP技术的VPN设备本身存在BUG、漏洞等网络安全隐患，因此要严格执行定期漏洞扫描机制使之常态化，及时发现使用OTP技术的VPN设备的系统漏洞并进行实时在线补丁升级，从而使具有OTP技术的VPN设备自身的网络安全风险降到最低。

2.要强化远程Client端设备的网络安全管理。个人使用的远程Client端设备是网络安全防护体系中最薄弱的一环，同时也是暴露面最大的一环。在实际网络攻击中，个人使用的远程Client端设备经常被黑客利用，成为黑客攻入内部网络的跳板。所以，远程连接个人使用的远程Client端设备要严格管理，按照专机专人专用的原理，减少非必要的互联网访问及应用程序安装。此外，远程连接个人使用的远程Client端设备还须安装公司指定的防杀病毒软件，及时更新系统补丁和升级防毒软件的版本，对个人使用的远程Client端设备进行定期查杀，保证个人使用的远程Client端设备的安全性和可靠性。

3.要加强不良资产网络营销系统管理人员操作的事后审计管理。针对使用OTP技术的VPNClient端设备通过互联网登录不良资产网络营销系统后台Server、堡垒机及网络智能防火墙等设备的日志进行审计分析，重点对网络连接日志、登录日志及操作曰志进行分析，及时发现违规或异常操作，快速化解风险。

四、结论

总而言之，基于OTP技术的堡垒机支持对不良资产网络营销系统相关人员操作过程的全流程跟踪、控制、记录;支持精细化的对不良资产网络营销系统安全管理访问相关用户的权限，支持阻断来自内部的高危、违规操作，从而有效的规避了不良资产网络营销系统在运行过程中被“内鬼”攻破的安全风险。然而，网络安全不是一蹴而就的事情，想要保障不良资产网络营销系统服务不中断，实现高可靠性、安全性，不单单靠采用基于OTP技术的堡垒机，最重要的还是规章制度和安全设备相互补充，才能不断完善不良资产网络营销系统的安全防护，满足不良资产网络营销系统日常的安全运行的需求。

参考文献

[1] 徐益强，郭小岗.基于vpn的堡垒机研究[J].中国科技信息，2016.

[2] 李杰.網络安全中计算机信息管理技术的应用[J].网络安全技术与应用，2018（05）：7.

[3] 赵瑞霞，王会平.构建堡垒主机抵御网络攻击[J].网络安全技术与应用，2O10，08.

[4] 庞博.基于内控堡垒主机的运维审计实践[J].科技资讯，2015（15）.

[5] 成剑.基于改进型OTP方案的安全身份认证系统的设计[D].电子科技大学，2012.

[6] 马仲康.供给侧结构性改革背景下金融资产管理公司的经营策略[D].华中师范大学，2017.

[7] 黄瑞涛 陈劲松. 堡垒机在医院信息系统的运用[J]. 通讯世界， 2015.4833962D-5474-40CE-AEBC-4EC1F380DA3C