如何有效保护企业用户的身份账号
[摘要]
如今,账户和密码越来越多,但如何保护好它们成为了我们头疼的问题。也许大家早就熟悉了网络游戏、在线聊天、股票、网银等各种账号口令丢失的新闻事件;但对企……
如今,账户和密码越来越多,但如何保护好它们成为了我们头疼的问题。也许大家早就熟悉了网络游戏、在线聊天、股票、网银等各种账号口令丢失的新闻事件;但对企业网络管理人员来说,其实这些问题更为严重:数据中心管理账号、内部业务平台的账号、邮件账号等,一旦被盗或出现其他问题,将对业务和管理造成极大破坏,后果不堪设想。 就拿微软来说,他们虽然使用了VPN和防火墙等多种保护手段,但依然没有能挡住黑客的入侵。有消息称,黑客曾在2000年成功窃取了微软内部员工的口令,并被拷贝了部分Windows源代码。 微软尚且被黑客困扰,更不用说其他企业的信息泄漏情况了。包括Sun微系统公司、Novell、NEC美国公司以及诺基亚在内,均遭受过账号失窃、数据被非法下载等攻击。当初一个叫凯文.米特尼克的年轻人也因此成为了世界头号黑客、身份盗用之王。 国内著名安全企业动联公司技术主管胡永刚介绍说:“在2004~2008年所采集的病毒样本数中,64%的目的都是盗号,还有20%是可以用来窃取帐号的后门病毒。” 总之,如何有效保护账户安全,抵御盗号木马侵袭成为企业当前网络安全的重中之重。那么,我们如何有效保护账户安全呢?一般来说,除了使用一系列技术手段之外,有两个方面的情况需要我们倍加重视。 |
管理规范是账户安全的基本前提
安全的很多问题其实是管理问题,账户口令的安全尤其如此。许多管理人员都知道密码和口令的重要,但能否及时、全面地培训给企业所有用户,才是关键。
就拿邮箱密码来说,很多单位出于方便,均设置了默认的邮箱密码,而且一般都是诸如123456的极弱口令。很多人为了好记方便,密码一直没改,结果重要邮件被随意窥视。而其他比如FTP、网站后台密码等,这种情况也屡见不鲜,公司信息泄漏于无形。
比较专业的公司一般会这样做:员工第一天入职之后,就会拿到一张写有自己OA、邮箱、所用电脑系统、RTX(内部IM通讯工具)等账号信息在内的卡片。所有账户在第一次登陆前必须修改成符合标准的强口令。在这样的严格管理下,账户安全性当然会大大的提高。当然还有的企业使用智能卡或USB key,安全级别也能进一步提高。
除了以上所述,我们也千万不能忘记给系统打补丁、修补Web和其他第三方软件或插件的漏洞、安装反病毒软件等等。这些防范管理措施,对于保护账号安全、预防盗号木马也是非常重要的。
使用动态口令为账号安全提供最后屏障
对于密码强化或使用USB key这样技术之后,可以将初级的黑客挡在门外,但面对高级黑客时,静态密码始终还是不安全的。如早期破解windows系统账户的黑客工具L0phtCrack,现在流行的彩虹表,都可以在短短十几分钟之内便能将一个毫无规律而言的强口令密码破解出来。面对始终抢得先手的黑客来说,动态口令技术才是用户账号安全的最后屏障。
动态口令又叫动态令牌、动态密码,英文名为One-Time Password(OTP),也有技术人员形象地称其为“随机密码生成器”。它的主要原理是:用户登录前,依据用户私人身份信息并引入不确定因素产生随机变化的口令,使每次登录过程中传送的口令信息都不同,以提高登录过程的安全性——也就是说,其他人即使破解了密码,也无法再次使用。
动态密码认证属于一次性密码认证(OTP),可完全实现物理隔离,用户使用时只需输入当前的密码即可,操作简单、高度安全。与前面提到的USB Key等产品相比,动态口令的价值在于,前者如果被窃,相关的机密防护也将随时失去;而动态口令,在保证了使用便利特性的同时,通过每次密码随机改变的特点,最大限度地保证了账户安全。举个例子,大家通过网银等购物,经常遇到运营商或者银行发短信随机给密码的情况,这其实就是运用了动态口令的技术。
上世纪80年代这项技术诞生后,这项技术得到了各类机构的肯定,并逐渐成为安全领域的重要技术。在国内,动联等先行者已经在多年前就进入这个市场,目前技术水平和产品质量已经和国际顶尖厂商不相上下。
本站广告:业务范围:湖南主机托管、湖南服务器托管、长沙主机托管、长沙服务器托管、湖南主机租用、湖南服务器租用,实力雄厚、资源丰富!