信息安全是决定着电子商务进一步发展的必要基础，会话加密、防火墙、虚拟专用网和数字证书等技术都是信息安全解决方案的一部分。虽然每种技术部旨在加强某一方面的信息安全，包括限制访问或防止机密数据被截获，但没有一种技术的设计目标是，解决最具危害性的信息犯罪的基本安全问题：即这个用户是不是正在试图接入受保护的文件？资源的可信性如何？是不是冒名顶替者？
本白皮书主要介绍作为强大的双因素用户认证系统---RSA SecurID系统不可分割组成部分RSA ACE/SERVER，怎样帮助消除因密码欺诈而导致的损失，防止恶意入侵者或员工对资源的破坏。本文还包括密钥安全性以及与此相关的运作及市场问题。
信息安全：风险评估
众所周知，计算机与信息犯罪在近年正在呈现出上升的趋势。FBI与计算机安全机构近期的研究表明，在过去一年中，在调查的公司中，32％的公司向执法官员报告发生严重事件，较前几年几乎翻了一番；在调查过程中，在报告遭受经济损失的公司中，平均损失高达760，000美元，几乎相当于1998年以来经济损失总和的50％。很明显，攻击日益频繁，且导致越来越大的经济损失，因此各公司都必须 采取有效措施，保护其信息资源。
令人遗憾的是，面对形形色色的信息犯罪却没有一种单独应用的安全措施或方法能够消除所有风险。在这种情况下，各机构就需要根据受破坏可能性以及可能导致的损失程度，来评估预防措施的成本。例如，根据FBI／CSI的调查报告显示，最普遍的信息安全问题来自于病毒感染，根据数据显示，在能够确定损失数额的机构中，90％的危害是由病毒感染引起的，而因此导致的平均损失数额约j］45，500美元Z约65％的被调查者则受到来自膝上型电脑系统被盗的影响，每年由此类事件所导致的平均损失约为87,000美元
 |
但与电子盗窃或金融欺诈相比，上述问题就是小巫见大巫了。例如，尽管窃取机密信息可能不象病毒感染或膝上型电脑被盗普遍，但其危害性却更高，为每家受害公司所带来的平均经济损失高达180万美元；而金融欺诈所导致的平均损失则约为15o万美j亡。虽然这些犯罪发生的频率低于病毒感染或膝上型电脑被盗、但由此造成的经济损失却高出许多。
需要指出的是，许多最具危害性的犯罪都拥有共同的特点：即绕过密码保护以获取对信息或资金的访问权限。虽然对于非关键系统的安全性而言，使用基本的密码保护已经足够了，但公司最机密的应用、文件及 系统则需要更高层次的保护措施。幸运的是．现在有了单独使用的安全防护方法，能够解决由密码泄露导致的所有人侵问题：即用强大的用户认证系统替代基本的密码安全机制。
强大的认证系统：RSA ACE/SERVER系统
强大的用户认证系统一RSA安全解决方案建立在"双因素认证"之基础上。该方法的前提是一个单一的记忆因素。如密码，但密码本身只能对真实性进行低级的认证因为任何听到或盗窃密码的人都会显得完全真实；因此需要增加第二个物理认证因素，以使认证的确定性按指数递增。例如，银行ATM卡就是一个广泛采用的双因素认证机制，ATM卡需要将有效卡和PIN（个人身份号码）结台使用，提供了足够的安全级别，以支持用户对银行服务及资金的访问。
借助强大的用户认证系统DRSA安全解决方案，可以向授权的员工发放单独登记的设备，以生成个人使用的令牌代码，这一代码可以根据时间码算法而变化。每60秒就会生成一个不同的令牌代码，保护网络的认证服务器能够验证这个变化的代码是否有效。每个认证设备都是唯一的，别人不能通过记录以前的令牌代码来预测将来的代码值。这样，如果某个用户提供了一个正确的令牌代码，就可以高度确信该用户即拥有RSA安全认证令牌的合法用户
协同工作: 服务器、客户端和中间代理软件
局域网访问、远程拨号、Internet/VPN连接或Intranet/Extranet应用中的用户认证，所有这一切者可以通过RSA ACE/SERVER完成。当用户试图访问受保护的系统时，连接设备中内置的专用代理软件（称为RSA ACE/Agent）将启动一个RSA ACE/SERVER认证会话，而不是基本密码会话。大多数领先的远程访问服务器、防火墙、VPN、路由器、Internet服务器和Internet浏览器产品都内置了与RSA SecurlD双因素认证系统的兼容能力；此外，TACACS+和RADIUS认证系统均支持RSA ACE/SERVER会话。
在强大的认证会话中，用户需要输入用户名以及由RSA SecurlD认证设备生成的用来代替密码的令牌代码，外加一个PIN号码。该代理软件先使用只有保护的设备才知道的其它数据，把用户提供的信息打乱，然后再一部分一部分地传输给RSA ACE/Server，如果信息有效 RSA ACE/Server将允许用户访问。用户将被授予与其通行证等级相对应的访问权限，这一权限被RSA ACE/Server记录在日志文件中。
RSA ACE/Server: RSA ACE/Server是网络中的认证引擎。 RSA ACE/Server由安全管理员或网络管理员进行管理，主要用于：
> 向信任的个人签发认证令牌证。
> 设置并实施安全策略，保护对专用网络系统、文件及应用的访问，其中包括可以根据每天的时间、周几或 根据小组或用户定义的权限来确定访问权限。
> 创建用户访问日志。
> 定义和报告报警情况，如某个网络端口访问失败重试次数。
RSA ACE/Server运行于SunMlcrosystems、IBM和惠普公司的WlldOWS NT和UNIX服务器平台上。一个RSA ACE/Server可以为100,000多个用户。提供保护 。具体取决于服务器的容量。多达20个RSA ACE/Server可以进行互操作，在企业网络内部管理单独的域、一周7天、全天Z4小时提供故障切换保护能力。并实时互为备份。
跨区域查询功能支持移动员工从现场办公室中登陆系统，而无需把用户记录复制到多个服务器区域中。RSA ACE/Server还拥有先进的管理及安全监控能力（此内容将在本文稍后讨论），包括授予各种管理任务级别、从Windows-95、Windows98 或windowsNT桌面对系统实施远程管理等。
 |
RSA SecurlD认证令牌：利用RSA安全公司的RSA SecurID系列认证令牌确保用户合法性，保证网络访问安全性。 RSA SecurlD认证令牌可以以硬件、软件和智能卡 多种形式向用户提供。在硬件中，最常见的形式是钥匙链，该装置拥有内置芯片和一个可显示多达8个数字（或令牌代码）的LCD窗口，但其体积很小，可以系在钥匙环上。RSA公司在发售这种装置时，己经使用唯一的64位键值将其初始化；其内部芯片每分钟部会使用一种算法，组合和加扰该键值与当前时间，以生成个明显随机的数字。
除钥匙链型号以外。其它令牌类型包括信用卡大小的认证令牌和需要输入用户PIN以显示代码RSA SecurID PINPAD，以及用软件工具完成PINPAD令牌功能的、运行在Windows桌面上的RSA SecurID软件令牌。软件令牌受到版权保护，禁止在机器之间拷贝。RSA公司还推出了两个更新的版本，其中一个是运行在Palm计算平台上的应用软件；另一个是在智能卡中存贮键值的版本。
所有RSA SecurID认证令牌均使用已获专利的相同的算法，来完成令牌代码散列和加密功能。
RSA ACE/Agent: 实现这种强大的认证功能的中间代理软件称为 RSA ACE/Agent。该代理软件的功能类似于保安人员，用来实施RSA ACE/Server系统建立的安全策略、 RSA ACE/Agent是一种设备专用代理软件，已经内置在大多数业内领先的网络设备和浏览器以及Web服务器软件系统中。（如需通过内置RSA ACE/Agent支持强人的认证功能的完整公司清单，请参见附录A）此外，R8ASecurity公司还推出了针对Wndows NT的RSA ACE/Agent。
一个RSA ACE/Server可以支持几千个RSA ACE/AgentS，为保护企业资源提供巨大的容量。RSA ACE/Agents软件管理及策略设置可以通过Windows NT控制面板完成，允许安全管理员通过鼠标点击，而不是编与代码，为用户和保护的资源选择和应用相应的设置。客户自动注册功能则。工以在每个代理软件中自动完成设置创洼及更新仟务，并确保安全性。
通过RSA ACE/Server认证系统防止非法访问
使用RSA ACE/Server具有四大优点:
企业认证：RSA ACE/SerVer只允许能够提供无法猜测或复制的令牌代码/PIN的用户接入系统，这将在极大程度上保证登录的用户确实为授权的个体，人人降低厂攻击和非法访问的风险、即使是拥有上千个用户和多个办公室的企业网络，仍能受到RSA ACE/Server的保护，该软件的跨区域功能还支持对旅行到本区域以外的员工进行认证。
访问控制：借助RSA ACE/server 提供的功能、企业可利用RSA ACE/Agent软件保护各种访问端口。数据文件、应用及其它资源。例如， RSA ACE/ Agent for Windows NT为已有的NT Doman和NT IIS访问控制机制提供了强大的认证能力；问样，它还针对外部攻击和员工的恶意破坏提供了重要保护能力。
规避攻击：黑客会使用各种无法预料的方法来接入网络。 RSA ACE/Server可以识别威胁情况．然后报告给UNIX系统日志或WlldOWS NT事件日志 。例如，当有人多次试图接人远程访问端口、数据文件或防火墙时，RSA ACE/Server会向系统管理员发出报警，帮助发现并在导致损失旬采取相应防范措施。
用户责任：通过使用某个员工的密码，可以在该员工不知情或不同意的情况下侵入系统、由于 RSA ACE/ Server双因素认证要求输入用户令牌代码和个人PIN．因此进一步确保了员工不会被任何非法访问事件所牵连。这种特性，再加上RSA ACE/Server能够报告对所有保护资源的访问情况，可以帮助员工识别其对信息安全的责任，并采取相应的措施。此外，黑客经常试图抹掉自己的足迹，RSA ACE/Server的访问历史日志则可以作为犯罪凋查和取证的重要组成部分。
使用强大的认证功能
各公司可以灵活地使用RSA ACE/Server，以各种方式保护公司的网络资源。公司可以获得全面保护，包括认证所有对企业网络进行的访问，对特定的安全威胁实施战略性防护；一个RSA ACE/Server系统能够提供任何或所有下列服务：
> 通过RAS服务器认证远程用户拨号连接
> 认证从Internet到内部网络的VPN或防火墙连接
> 认证所有公司网络访问；可以运用于所有员工、特定工作组或部门或仅拥有某个访问级别的人员
> 通过限定对网页、URL和目录的访问，保护Intranet和Extranet中的机密数据
> 防止篡改网络管理设置
无论保护范围大小，强大的双因素认证的过程都是一样的。当用户试图访问受保护的资源时，保护资源（包括RAS服务器、网页、文件或应用）的RSA ACE/Agent将生成一个认证请求，用户必须输入用户名、令牌代码和PIN。认证请求被加密，然后转发给RSA ACE/Server。
RSA ACE/Server功能详解
体系结构
RSA ACE/Server 用来在选定的网络资源周围建立一个保护环境。选择保护哪些网络资源取决于系统管理员；这一决策是在 RSA ACE/Server 安装时作出的，但可以随时进行修改。RSA ACE/Server 不一定要安装在网络服务器上，它可以安装在由 IBM、Sun 和 HP 等公司生产的各种 Windows NT 和 UNIX 服务器平台上。一个 RSA ACE/Server 可以支持超过十万个用户，管理员可以组合使用多达20个 RSA ACE/Server，以保护企业网络，其中每个 RSA ACE/Server 都负责不同的网络区域。
网络中每个受保护的资产都是一个代理，必须运行 RSA /ACE?Agent 软件。 RSA ACE/Agent 将作为一个 RSA ACE/Server 的代理（一个 RSA ACE/Server 可以容纳最多10,000个代理）。大多数网络设备（路由器、防火墙、VPN、交换机等）中都装有 RSA ACE/Agent 软件，该软件还支持 UNIX 工作站和服务器， Novell Netware 服务器， Windows NT RAS 和 IIS 服务器，运行 MVS 或 OS/390、IBM A/S 400、Digital VAX 的 IBM 主机系统，运行 OpenVMS 的 Alpha 系统，以及 Apple 远程访问服务器；另外，RSA ACE/Server 软件还提供一个多线程代理 API，便于定制构建应用。因此，RSA ACE/Agents 可以任一点进行增加或修改，提供了极大的灵活性和可扩充性。 无论什么时候访问网络资源，RSA ACE/Agent 软件都会确定该用户登录名是不是 RSA SecurlD 认证系统指定的名称，如果是，则启动一个强大的认证会话，如果提供的令牌代码和 PIN 都正确，则允许该用户访问系统；否则向用户发送一条"拒绝访问"的消息。根据网络配置，在访问不同资源时，可能会要求用户再次进行认证。
系统组件
RSA Ace/Server 系统由三个主要部分组成：
> 包含用户、令牌和客户信息的数据库；
> RSA ACE/ Server 引擎，根据代理软件提供的证件进行用户认证；
> 一个管理程序，基于一个图形用户界面，允许系统管理员对系统进行管理，如创建与 改变设置、令牌和用户分配、生成报告等等。
RSA ACE/Server 数据库基于 Progress 软件公司的关系型数据库，这是世界领先的 OEM 系统之一。Progress 数据库的优点在于访问速度快，允许在最短的时间内进行存储和认证呼叫，支持 4GL 和 SQL 编程工具，并兼容 ODBC 和 ESQL 协议。通过 Oracle、Sybase 和微软公司的标准 RDBM 产品，可以访问 RSA ACE/Server 数据库中的信息。
RSA ACE/Server 引擎是认证过程的核心。该引擎与 RSA ACE/Agent 协同工作，利用数据库对用户进行验证，并决定准许还是拒绝用户访问。
RSA ACE/Server 提供了集中式安全管理能力，使您能够创建用户权限，建立并配置代理软件，已保护信息资源，并生成活动和使用情况定制报告。
备份服务器
为确保认证服务不会因服务器或网络故障而中断．可以选择安装一个备份服务器。无论是专用备份系统，还是为网络其它区域提供服务的RSA ACE／Server系统，都可以提供备份服务。备份服务器将与主RSA ACE/Server保持通信，以确保其可用性，并与数据库保持同步。通信频率由系统管理员设定。
当备份服务器被激活时，它将提供认证服务并记录审计跟踪信息。但管理操作只能通过主RSA ACE/Server完成。在主RSA ACE/Server恢复服务后，两个数据库（包括日志项目）将进行协调；在完成协调之后，备份服务器会停止记录日志项目，主服务器开始定期进行更新。
系统通信
RSA ACE/Server采用TCP协议，以确保主服务器和备份服务器之间的可靠通信。数据流经过加密，加密密钥会每十分钟更新一次。 RSA ACE/Server和RSA ACE/AgentS之间使用UDP和Unicast组合进行通信，以获得最高的传输速度。数据分组经过加密，每个分组都带有不同的密钥，以防中途拦截和伪装。
加密
系统中的每个RSA ACE／Agent都具有唯一的密钥，或称为"节点秘密"。一个节点秘密是一串只有客户和服务器能够识别的伪随机数。节点秘密用于通信编码与解码。 RSA ACE／Server为每个RSA ACE／Agent创建一个节点秘密。
与UCT时间同步
全球同步时间（UCT）用来同步化所有RSA Security产品之间的时间。在发售时，每个RSA SecurID令牌都设定为UCT（与格林尼治标准时间相同）；在安装过程中，RSA ACE/Server系统时钟同样设定为UCT。实质上，全世界各地的所有RSA Security产品都被精确设定为相同的时钟，从而不需处理时区差或进行夏令时调整。
有效令牌窗口和时钟漂移调整
为解决使用基于硬件的令牌所产生的微小时间设置差异和时钟漂移问题， RSA ACE/Server在3分钟的时间窗口基础上进行认证，即UCT时钟显示的当前时间、该时间的前一分钟和后一分钟。如果用户名和PIN准确无误，而所提供的密码与当前时间不符， RSA ACE/Server会自动将其与前一分钟和后一分钟匹配项进行核对。这一过程适用于认证令牌中的时钟略微偏离RSA ACE/ Server中的时间相位的情况。如果与其中任一项相符，则用户通过认证，进而在该用户的数据库记录中创建一个节点，用于调整未来的登录，以反映时间漂移。
假定一个用户定期进行登录， RSA ACE/Server会一直调整令牌时间，使令牌代码保持在3分钟窗口内。但是，如果一个用户长期没有登录（一般情况下达几个月），其令牌时间就会漂移到三分钟窗口以外，生成一个无效 的令牌代码。在这种情况下， RSA ACE／Server会测试当前时间前十分钟和当前时间后十分钟的令牌代码，如果它与其中任意一个代码相符，那么RSA ACE/Server会再次要求用户输人令牌代码，以确认令牌所有权；如果第二个令代码具有相同的时钟漂移，该令牌就被假定为有效，从而用户通过认证， RSA ACE／SERVE会在该用户记录中注明特定认证令牌的时钟差异，以备未来登录时使用。
但是，如果所提供的HN（个人身份识别号）不匹配，或输入了无法由时钟漂移解释的错误令牌代码。RSA ACE／Server会要求用户重试。管理员可以设置在锁定用户和建立报警日志项目前允许的重试次数。虽然RSA ACE/Server对所有RSA SecurID令牌代码进行认证的过程相同，但RSA SecurID软件令牌的时钟漂移容限较大，允许个人电脑中更大的时钟漂移。
