作為一家中小型外貿(mào)企業(yè)的CIO，侯勇經(jīng)常要面對(duì)黑客入侵和公司內(nèi)網(wǎng)受到攻擊的威脅。
“我們需要通過網(wǎng)絡(luò)同客戶和合作伙伴進(jìn)行業(yè)務(wù)往來，但冒用密碼和其他方式的攻擊我們業(yè)務(wù)的現(xiàn)象層出不窮。比如，前些日子，‘灰鴿子’木馬程序已經(jīng)升級(jí)成‘黑鴿子’， 它可以從用戶的電腦中竊取秘密如銀行賬號(hào)和密碼，這就給我們的網(wǎng)絡(luò)安全造成很大威脅。”侯勇表示。
網(wǎng)絡(luò)安全專家稱，現(xiàn)在很多中小企業(yè)都在面臨著這樣的網(wǎng)絡(luò)安全威脅，密碼的保護(hù)至關(guān)重要。因此，在靜態(tài)密碼之外，配套使用動(dòng)態(tài)密碼可以有效的防止密碼被盜用的危險(xiǎn)境地。
日前，動(dòng)聯(lián)公司首席執(zhí)行官范定國(guó)和中國(guó)區(qū)首席運(yùn)營(yíng)官沈勇堅(jiān)接受了采訪，講述了它們新近推出的動(dòng)態(tài)密碼令中心對(duì)中小企業(yè)安全的意義。
發(fā)現(xiàn)藍(lán)海
“單一的靜態(tài)密碼已經(jīng)不能滿足市場(chǎng)的需求了。我們認(rèn)為將動(dòng)態(tài)密碼認(rèn)證技術(shù)有效應(yīng)用于市場(chǎng)是一片巨大的藍(lán)海。”動(dòng)聯(lián)公司首席執(zhí)行官范定國(guó)認(rèn)為。
2007年4月，云南的某先生詫異地發(fā)現(xiàn)，自己存在建設(shè)銀行的16萬元人民幣突然蒸發(fā)了。經(jīng)過調(diào)查，盜用了自己銀行卡密碼的黑客成為了這一事件的罪魁禍?zhǔn)住?/p>
當(dāng)你輸入密碼時(shí)，很可能會(huì)有人從你的身后窺視密碼，也可能通過遠(yuǎn)程操控捕捉到你的密碼;當(dāng)你把密碼保留在便箋或臺(tái)歷，也有可能會(huì)被別人盜取;甚至，你出于習(xí)慣用自己或親人生日設(shè)立的密碼也會(huì)被別人破譯，而這些都有可能造成你的重大損失。
在這樣一個(gè)“網(wǎng)絡(luò)高手”眾多的時(shí)代，似乎單靠自己精心編制的密碼已經(jīng)不能切實(shí)保障自己賬戶的安全了。因此，靜態(tài)密碼之外配合使用的動(dòng)態(tài)密碼成為必要的安全選擇。
動(dòng)態(tài)密碼也稱一次性密碼(One-time Password)，它指用戶的密碼按照時(shí)間或使用次數(shù)不斷動(dòng)態(tài)變化，每個(gè)密碼只使用一次。動(dòng)態(tài)密碼采用一種稱之為動(dòng)態(tài)令牌的專用硬件，大小相當(dāng)于一張閃存盤，顯示方式類似于電子手表，它內(nèi)置電源、密碼生成芯片和顯示屏。密碼生成芯片運(yùn)行專門的密碼算法，根據(jù)當(dāng)前時(shí)間或使用次數(shù)生成當(dāng)前密碼并顯示在顯示屏上。認(rèn)證服務(wù)器采用相同的算法計(jì)算當(dāng)前的有效密碼。由于每次使用的密碼必須由動(dòng)態(tài)令牌來產(chǎn)生，只有合法用戶才持有該硬件，所以只要密碼驗(yàn)證通過，系統(tǒng)就可以認(rèn)為該用戶的身份是可靠的。而用戶每次使用的密碼都不相同，即使黑客截獲了一次密碼，也無法利用這個(gè)密碼來仿冒合法用戶的身份。
目前，這種動(dòng)態(tài)密碼技術(shù)已經(jīng)在國(guó)內(nèi)的網(wǎng)上銀行、網(wǎng)絡(luò)游戲等等許多行業(yè)開始應(yīng)用。
PK電子證書
如何保障網(wǎng)絡(luò)中電子帳戶不被盜用?如何才能保證企業(yè)和消費(fèi)者的虛擬財(cái)產(chǎn)安全?在網(wǎng)絡(luò)領(lǐng)域，電子證書往往成為了一般意義上慣用的密碼鎖。
但對(duì)于電子證書，動(dòng)聯(lián)中國(guó)區(qū)首席運(yùn)營(yíng)官沈勇卻表示，這種形式并不適合很多中小企業(yè)和普通消費(fèi)者使用：“在中國(guó)，基本各省都設(shè)有CFCA電子證書認(rèn)證中心，但電子證書成本較高，這些中心現(xiàn)在大部分都處于虧損狀態(tài)。同時(shí)，電子證書也不夠方便和便捷，因此很難得到中國(guó)市場(chǎng)中小企業(yè)和消費(fèi)者的青睞。”
另外，一般意義上的動(dòng)態(tài)密碼也存在著成本較高的弊端。比如，之前RSA信息安全公司在動(dòng)態(tài)密碼領(lǐng)域的產(chǎn)品大多應(yīng)用于世界500強(qiáng)企業(yè)內(nèi)部，這也使外界認(rèn)為其產(chǎn)品因?yàn)閮r(jià)格偏高等因素，離普通消費(fèi)者市場(chǎng)很遙遠(yuǎn)。
“在中國(guó)市場(chǎng)上，消費(fèi)者數(shù)量龐大，特別是存在眾多的資金并不雄厚的中小企業(yè)，因此需要以更為新穎的方式來降低動(dòng)態(tài)密碼的實(shí)施成本，同時(shí)，也增強(qiáng)便捷性和安全性。”業(yè)內(nèi)安全專家表示。
而此次動(dòng)聯(lián)推出的動(dòng)態(tài)密碼令中心便是將動(dòng)態(tài)密碼認(rèn)證定義為電子消費(fèi)品，以ASP的方式提供給企業(yè)。
“比如，現(xiàn)在越來越多的公司采用移動(dòng)辦公的方式，這也增大了遠(yuǎn)程登錄公司網(wǎng)絡(luò)用戶數(shù)量。為了保證公司的網(wǎng)絡(luò)不受入侵，這個(gè)公司可以通過動(dòng)態(tài)密碼令中心這個(gè)平臺(tái)，購買自需要的動(dòng)態(tài)密碼令個(gè)數(shù)。如一個(gè)公司通常由20個(gè)員工需要遠(yuǎn)程登錄，它便可以只購買20個(gè)認(rèn)證，通過付年費(fèi)的方式使用。”沈勇介紹道。
而通過這種ASP的方式，企業(yè)也不用花專門的錢買軟件和升級(jí)硬件，這也省去了它們財(cái)務(wù)等各方面繁瑣。
“動(dòng)態(tài)密碼令中心專門針對(duì)如SCM(供應(yīng)鏈管理)、CRM、OA等信息化軟件、電子商務(wù)平臺(tái)等中小型網(wǎng)絡(luò)應(yīng)用，以低成本的加盟方式，做到商戶系統(tǒng)與動(dòng)碼令中心的無縫接入，我們期望為消費(fèi)者提供專業(yè)的動(dòng)態(tài)密碼認(rèn)證服務(wù)，同時(shí)動(dòng)聯(lián)也成為消費(fèi)者認(rèn)證市場(chǎng)成為領(lǐng)軍者。”范定國(guó)表示。
