目前的证券信息系统随着中国证券市场的发展与十年前使用的柜台交易系统有了巨大的差异。一方面，随着委托手段的增加，自助交易的广泛使用，远程交易方式的不断涌现，传统的“柜台”概念已不复存在；另一方面，经纪人系统的不断完善，CRM概念的引入，虚拟营业部和集中式交易管理模式的兴起，一个全新的证券信息系统正在形成。证券信息系统是集交易、管理、咨询及财务等系统于一身的综合信息系统，是证券公司稳定、高效运行的基础。
现在的证券信息系统即是一个开放的信息系统平台，也是一个综合的业务系统平台。鉴于证券公司信息系统的重要性，其安全问题也倍受关注。
证券公司信息系统的身份认证现状
随着证券信息系统技术供应商对系统的不断完善和新技术的不断应用，证券公司信息系统的安全性已得到大大提高。在存储安全、传输加密、数据备份、网络隔离、防病毒等方面都做了相当多的工作，而在身份认证这个主要安全环节上，绝大多数信息系统还是采用固定口令作为身份认证的唯一因素，这显然是不够的。
安全认证的需求分析
现在的证券公司所涉及的人员已不是简单的员工加股民的格局，员工的分工越来越细，使用的应用系统也将越来越多。当前证券公司的人员结构示意图如下：
从图中我们可以看出，证券公司涉及的人员大体上可分为四类。以下是对该四类人员的工作特性、使用的系统，结合身份认证安全问题做一些分析。
1、系统管理员
信息系统管理员在证券公司信息系统的建设、运行及维护工作中起着重要作用。随着证券公司信息系统的不断发展，一方面，系统平台越来越大，网上交易、虚拟营业部、集中（区域集中）交易系统等，都构建于一个庞大的广域或局域网络平台上，网络设备增多，主机、数据库集中是其主要特点之一。另一方面，应用系统不断增加，除了原有的交易系统、财务管理系统外，客户资源管理系统、经纪人管理系统、办公自动化系统、管理层决策系统等正在逐步完善与使用。整个信息系统的维护及管理都是由系统管理员完成，在身份认证的安全性上主要体现在以下两个方面：
系统维护及运行的安全性
在系统的运行及维护过程中，几乎所有的网络设备（路由器、交换机、防火墙等）、主机操作系统（服务器、通讯机、交易处理机等）、数据库都需要管理员通过超级用户口令登录。因此，在口令的管理上存在着一系列安全问题。管理员需要记忆多个口令，并定期修改，因此容易混淆或忘记，一旦忘记口令，将给系统运行及维护带来不便，甚至会给公司带来损失。另一方面，如果管理员为了便于记忆，使用统一口令或不定期更换口令，一旦口令失窃，将会使不法分子有可乘之机，他们可能会登录系统修改配置、浏览更改信息、更换登录口令，甚至在系统中安装非法程序破坏系统。
关键信息数据的安全性
系统管理员登录服务器及数据库时，是通过超级用户登录的，他们绕过了应用系统的权限控制，能够直接访问数据库，浏览甚至修改关键信息，并且没有较完整的登录日志记录，一旦公司的关键信息（客户资料、交易记录、财务数据、自营信息等）泄漏或修改，将给公司带来巨大损失。
由此可见，除了对系统管理员加强管理外，证券公司采取有效的技术手段解决固定口令的安全隐患，提高身份认证强度是非常必要的。
2、公司管理人员及工作人员
证券公司为了加强管理、提高工作效率，不断地使用新的信息管理系统，使得工作人员或多或少的使用着不同的应用系统，如：财务、OA、经纪人管理、客户资源管理等系统。由于公司部门较多，人员比较复杂，权限级别也有较大差异，因此，在各系统的登录人员及权限控制的安全性上有较高要求。而目前上述系统多是采用以固定口令方式登录，这种身份认证方式存在着严重的安全隐患。主要表现在两个方面：
特殊系统的登录人员控制安全性
证券公司有些业务系统，如财务系统、管理层决策系统、自营管理系统等，只对部分人员开放，对登录的人员控制有较高的要求，随着B/S结构的业务系统不断增加，各种业务系统都运行在一个统一的网络平台上，一旦登录人员的固定口令泄漏，其他人员可能冒充该员工的身份登录系统，导致关键信息的泄漏。
一般系统的登录权限控制安全性
在证券公司的管理系统中，不同级别的人员登录系统的权限是不同的，对于公司的管理层，权限较高，能够浏览公司的绝大部分信息，而对于一般的员工，权限较低，只能浏览与自己工作有关的信息。一旦高权限的登录口令泄漏，其他人将可利用该身份登录系统，同样可以造成关键信息泄漏的可能性。
因此，随着公司敏感信息的保密性要求不断提高，一方面要提高公司员工的身份认证强度，另一方面，需要通过有效的技术手段，提高员工登录信息系统身份的可管理性。
3、证券经纪人
随着证券市场的不断发展，证券公司对证券经纪人的管理也日趋完善，经纪人管理系统的推出就是一个明显的标志。证券经纪人是证券公司营销体系中的一个重要环节，作用越来越大，是证券公司与证券投资者之间的桥梁和纽带，为广大证券投资者提供多方面的服务。
经纪人除了为其客户提供咨询和决策参考等服务之外，有些经纪人甚至作为客户的代理人直接管理客户帐户，代客理财。如果经纪人的登录口令一旦泄漏，客户的资产信息就有泄漏的危险，如果因此引发盗买盗卖股票的事件，那么不仅给客户带来损失，也会给证券公司带来一系列法律纠纷，影响公司的声誉。
因此，加强对经纪人的管理，有效的保护经纪人登录口令，提高身份认证强度，是十分重要与必须的。
4、证券投资者
在证券交易系统中，随着新技术的不断应用，交易委托越来越方便、快捷。委托的多样性、远程性和自助性是其主要特点。随之而来的交易安全性也日渐突出。一方面要有效的防止不法分子窃取股民的身份登录系统，保护股民帐户的安全。另一方面又要确认委托合同的有效性、真实性和完整性，避免股民与证券公司之间的一些法律纠纷。
从以上多种证券系统使用者的角度我们可以看到，同一个人员可能使用多个系统，在这些系统中的操作权限也可能不同，这个问题仅仅依靠固定口令作为身份的唯一识别来解决是不可能的，而且在完成证券系统的业务系统整合后，这种单一人员拥有不同角色的情况会更加突出，这时固定口令难于记忆、易泄露、多系统使用同一口令、权限划分困难等问题暴露得会更加突出。
为此我们提出了基于动态口令的统一认证授权系统解决方案，通过不同角色和人员的认证权限和授权权限的划分和统一管理，实现便于维护和管理的安全集成认证方案。
