技術(shù)創(chuàng)新:智能卡結(jié)合PKI限制訪問更安全

文章出處：http://coolbang.cn 作者：計世網(wǎng)   人氣： 發(fā)表時間：2011年09月22日

    企業(yè)一直在不遺余力地保證用戶的安全，其措施之一就是限制訪問。不過，智能卡和公鑰基礎(chǔ)設(shè)施（PKI）結(jié)合使用可能是另一種更加有效的手段。 

    技術(shù)創(chuàng)新使得計算機成了我們?nèi)粘Ｉ钪胁豢苫蛉钡囊徊糠?，但是，在前進的路上還有很多障礙。最近出現(xiàn)的各種惡意軟件、間諜軟件和病毒影響了用戶訪問企業(yè)網(wǎng)絡(luò)。在世界各地出差的人感到了風險，筆記本電腦被盜、不可靠的寬帶網(wǎng)絡(luò)連接都給他們造成了不便。諸如此類的問題還有很多。 

    不管企業(yè)面臨的問題是什么，它們的壓力都越來越大，他們必須要設(shè)法找到有效的方法以鎖定遠程用戶。有些通過減少使用或限制遠程訪問來解決這一問題，但事實是，這些方法不過是進一步，退兩步。 

    解決遠程訪問問題的關(guān)鍵要素就是創(chuàng)建可靠的身份和訪問模型。對很多企業(yè)來說，這是一項艱巨的任務(wù)。我們看到過很多鑒別和授權(quán)用戶的戰(zhàn)略。這些戰(zhàn)略旨在提高虛擬專用網(wǎng)絡(luò)的安全性，它們既有積極的一面，也有消極的一面。 

    有些組織正在使用多密碼等其他能夠解決問題的方案，比如使用一次性密碼以鎖定虛擬專用網(wǎng)絡(luò)訪問。這些方法的主要問題是用戶使用不方便，數(shù)列很難辨認，也很難輸入。有些系統(tǒng)中的密碼每分鐘都在變，用戶經(jīng)常在規(guī)定時間內(nèi)無法完成輸入。 

    IT經(jīng)理們試圖在筆記本電腦或臺式機中應(yīng)用“軟令牌”，使軟件程序自動生成并且提交密碼。但如果筆記本電腦丟失或有人從這些機器上復制了軟件以實施攻擊，就會引發(fā)另一種安全問題。在用戶識別中使用軟令牌可能會使組織容易遭受中間人攻擊。黑客可以攔截密碼，并合法地連接上系統(tǒng)。 

    一個極為有效的解決方法就是將復雜的認證管理和嚴格的加密同基于所有權(quán)的對系統(tǒng)資源的溝通和訪問結(jié)合起來。通常，人們認為實現(xiàn)這點最有效的方法就是采用PKI模型。這是一個強大的安全系統(tǒng)，采用了一系列的密碼，并且很適于實施雙因素身份認證。PKI之所以有效是因為它使用了兩種與數(shù)學相關(guān)的密碼——公鑰和私鑰。公鑰的作用是產(chǎn)生可以公布和分發(fā)的數(shù)字身份證書，而私鑰是保密的。 

    盡管PKI在網(wǎng)絡(luò)安全方面是最有發(fā)展前途的，但它仍然面臨著一些經(jīng)濟和流動性方面的挑戰(zhàn)。問題之一就是不能轉(zhuǎn)移，證書一旦發(fā)布，私鑰就被存在了一臺特定的設(shè)備上。比如，如果證書是在某臺電腦中，那么用戶就只能通過這臺電腦使用密鑰。 

    而且，這一系統(tǒng)也很復雜，很難在一年之內(nèi)建立起全面的PKI。不過，如果利用PKI管理服務(wù)結(jié)合智能卡技術(shù)就可以解決很多問題。 

    PKI管理服務(wù)在實現(xiàn)安全標準的同時，還有助于減少企業(yè)的管理和財務(wù)負擔。同智能卡技術(shù)結(jié)合之后，PKI管理服務(wù)可以有效地保證遠程訪問的安全，而不會導致基礎(chǔ)設(shè)施的變化或高額的成本。 

    這項技術(shù)與PKI管理服務(wù)結(jié)合之后，用戶在任何地點都可以安全地、以完全加密的方式訪問公司網(wǎng)絡(luò)，而數(shù)據(jù)都會在公司防火墻的保護之下。這意味著出差人員可以輕裝上陣，遠程訪問也可以更加安全。只要具備裝有Windows的可以上網(wǎng)的電腦，組織機構(gòu)就可以讓雇員使用低價的移動設(shè)備訪問數(shù)據(jù)、應(yīng)用程序和網(wǎng)絡(luò)資源，并且從中受益。

多倫多的一個資本公司已經(jīng)為40多個投資顧問配備了可以結(jié)合智能卡和管理PKI基礎(chǔ)設(shè)施的設(shè)備。該設(shè)備采用了抗干擾技術(shù)，可以達到嚴格的安全認證標準，而且只能用于多因素身份認證。如果丟失或被盜，該設(shè)備會徹底失效。 

    如今，由于安全水平的提高，人們可以在遠程訪問中享受到前所未有的自由。管理PKI平臺意味著工作人員可以安全地遠程查詢股票報價，客戶信息和監(jiān)督記錄，而這些僅僅通過普通的互聯(lián)網(wǎng)是無法做到的。