●趙 亮

隨著市場經(jīng)濟的不斷發(fā)展，我國農(nóng)村金融機構(gòu)經(jīng)營的業(yè)務(wù)范圍及業(yè)務(wù)品種也在不斷擴大。立足社區(qū)，服務(wù)三農(nóng)，業(yè)務(wù)種類從最初簡單的存、貸、結(jié)業(yè)務(wù)發(fā)展到代收代付、代銷保險、代理理財、第三方存管、代客結(jié)售匯、網(wǎng)上支付等多種功能，業(yè)務(wù)渠道也從傳統(tǒng)的柜面渠道拓展到網(wǎng)上銀行、電話銀行、轉(zhuǎn)帳電話、手機支付等多個渠道。由于業(yè)務(wù)種類的增多，內(nèi)部身份認證體系對保障信用社業(yè)務(wù)的安全運營起著至關(guān)重要的作用。如:基層業(yè)務(wù)操作員需切換用戶身份登陸不同業(yè)務(wù)系統(tǒng)，后臺集中管理用戶權(quán)限的漏洞。隨著信息化程度的不斷發(fā)展，業(yè)務(wù)應(yīng)用的不斷深入，各應(yīng)用支撐系統(tǒng)不斷“泛濫”。統(tǒng)一用戶管理，統(tǒng)一登錄等問題越來越困擾著應(yīng)用支撐部門，一個統(tǒng)一控制系統(tǒng)用戶，集中授權(quán)管理用戶的統(tǒng)一身份認證系統(tǒng)已成為安全及管理的必然需求。

一、建設(shè)背景

目前，我省農(nóng)村信用社現(xiàn)有內(nèi)部身份認證通常采用以下模式對業(yè)務(wù)人員身份的合法性進行認證:

(一)柜員權(quán)限磁卡+密碼方式。該方式將IC卡中存入與用戶身份相關(guān)的數(shù)據(jù)，由用戶隨身攜帶，登錄時系統(tǒng)校驗IC卡信息及用戶密碼，以驗證用戶的合法身份。該方式在安全性上仍存在以下問題:第一，柜員權(quán)限磁卡易被復(fù)制;第二，柜員權(quán)限磁卡易被盜取;第三，被他人代用，即將本人權(quán)限卡交由他人代為使用。在后臺認證方式中也安全性極差，存在以下風(fēng)險:第一，采取鍵盤輸入密碼的方式，隱蔽性不高，容易泄露;第二，系統(tǒng)“只認密碼不認人”，造成管理漏洞，密碼一旦被盜、仿制或泄露，出現(xiàn)問題時會導(dǎo)致責(zé)任不明、無法落實責(zé)任人、無法確定作案者身份的情況;第三，很多柜員喜歡用容易記憶的生日、身份證號碼、電話號碼、節(jié)日等數(shù)字作為密碼，較易破譯。

除上述認證方式本身存在的缺陷外，從實際操作情況看，柜員權(quán)限磁卡+密碼這種身份認證方式仍存在一些不容忽視的問題，存在問題如下:

第一，系統(tǒng)初始密碼的公開性。就目前的情況看，每次投產(chǎn)一個新的業(yè)務(wù)處理系統(tǒng)，都會由各基層網(wǎng)點申請各級別操作柜員，新申請的柜員號均有一個初始密碼。雖然要求柜員在第一次進入系統(tǒng)時及時更改密碼，但柜員是否更改密碼系統(tǒng)不能硬性控制，因密碼是柜員進入系統(tǒng)的唯一認證要素，如柜員不對初始密碼進行更改則密碼形同虛設(shè)。

第二，規(guī)章制度不完善，監(jiān)督檢查力度薄弱。目前農(nóng)村信用社尚未針對“柜員號+密碼”的認證方式制定完整的操作流程，也尚未形成有效的監(jiān)督檢查機制。因此，柜員對上述業(yè)務(wù)處理系統(tǒng)重視程度普遍不高，由于農(nóng)村信用社點多面廣，基層各類員工對安全操作重要性的意識存在差別，違規(guī)操作現(xiàn)象時有發(fā)生。

第四，違規(guī)操作隱蔽性強。由于使用該方式登陸的業(yè)務(wù)處理系統(tǒng)大多是在后臺進行操作，絕大部分操作區(qū)域無錄像監(jiān)控，這使違規(guī)操作具有較強的隱蔽性，也給日后的監(jiān)督檢查帶來很大困難。

(二)柜員權(quán)限磁卡+密碼認證方式。目前國內(nèi)各大商業(yè)銀行操作系統(tǒng)采用此方式對業(yè)務(wù)人員身份進行認證。為提高業(yè)務(wù)的安全性，商業(yè)銀行對柜員權(quán)限卡的管理非常嚴格。例如，要求定期更換密碼，規(guī)定“章隨人走、卡不離身”，成立稽查部門對柜員遵守制度情況進行檢查，對違反制度的員工進行處罰等等。盡管如此，柜員管理上的問題依然存在:

首先，雖然要求權(quán)限卡密碼不定期更換，但很多柜員往往習(xí)慣于采用在二套或三套密碼之間定期更換，長此以往，其密碼的安全性已大大降低，容易破譯，有些密碼已變成“明碼”。

其次，目前農(nóng)村信用社采取的授權(quán)方式為授權(quán)柜員在經(jīng)辦柜員的鍵盤上劃卡輸入密碼，這種方式很容易造成密碼泄露。

基于以上分析，內(nèi)部身份認證體系暴露出來的諸多問題目前已對農(nóng)村信用社業(yè)務(wù)運行的安全構(gòu)成威脅。傳統(tǒng)的密碼身份識別方法由于其不可克服的缺點已難以滿足新形勢的需要，針對現(xiàn)行計算機系統(tǒng)及銀行內(nèi)部管理中存在的問題，從技術(shù)優(yōu)缺點、可行性、實用性等方面來看，新的指紋識別系統(tǒng)作為商業(yè)銀行內(nèi)部認證的依據(jù)不僅具有許多獨到的信息安全角度的優(yōu)點，更重要的是還具有更高的實用性、可行性。

由于各種原因，上述各系統(tǒng)運行的軟、硬件平臺及操作環(huán)境千差萬別，一方面，各系統(tǒng)用戶之間的登陸方式、登陸介質(zhì)存在很大差別，如核心業(yè)務(wù)系統(tǒng)登陸方式通過字符終端登陸，報表系統(tǒng)、網(wǎng)上銀行系統(tǒng)等系統(tǒng)通過網(wǎng)頁方式登陸，信貸管理系統(tǒng)通過客戶端登陸，登陸介質(zhì)也分為密碼登陸、網(wǎng)銀ukey登陸、指紋登陸等。另一方面，由于各系統(tǒng)有不同的柜員及相應(yīng)的權(quán)限控制，必然產(chǎn)生一個實際的用戶需操作多個業(yè)務(wù)系統(tǒng)，管理多個系統(tǒng)的用戶及相應(yīng)的身份驗證方式．

二、設(shè)計思路

(一)指紋識別系統(tǒng)在農(nóng)村信用社內(nèi)部身份認證體系中的應(yīng)用

1．將活體指紋識別技術(shù)、計算機DSP處理技術(shù)、通信技術(shù)與業(yè)務(wù)仿真技術(shù)相結(jié)合，利用人體指紋的唯一性與不可偽冒性，實現(xiàn)操作員身份和操作員人體的一一對應(yīng)，可以通過對指紋的事先保存與被鑒別對象的指紋進行對比，驗證其真實身份。指紋識別技術(shù)一般分為指紋登記和指紋識別兩個部分。其中，指紋登記過程是指初次采集指紋并通過計算機生成供識別的指紋特征，存放于指紋特征庫(或者IC卡等存儲介質(zhì))中。而指紋識別過程，是指采集、提取用戶的指紋特征，將待驗證特征與指紋記錄中的指紋特征進行對比，得出比對結(jié)果的過程。對各個獨立的應(yīng)用系統(tǒng)，要求統(tǒng)一用戶代碼，每一用戶代碼各自對應(yīng)一套指紋認證。同一用戶代碼用于登錄不同業(yè)務(wù)系統(tǒng)。操作員身份識別采用指紋認證方式，避免采用卡，密碼等認證方式和介質(zhì)。操作員登陸只需輸入操作員代號，并在指紋儀掃描指紋通過認證后即可登陸各自系統(tǒng)。無指紋或指紋特征不明顯的系統(tǒng)設(shè)置設(shè)為特殊人群，在輸入操作員代碼后，統(tǒng)一身份認證平臺通過識別操作員身份后采用特殊認證模式，跳過指紋認證，由各自系統(tǒng)密碼認證通過。

2．操作員權(quán)限設(shè)置由各自系統(tǒng)自行分配，統(tǒng)一身份認證系統(tǒng)主要用來識別操作員身份，各系統(tǒng)按需求決定是否對操作員各自業(yè)務(wù)權(quán)限進行控制。

3．用戶權(quán)限設(shè)定可在各業(yè)務(wù)系統(tǒng)內(nèi)設(shè)定，也可在統(tǒng)一身份認證平臺進行進一步設(shè)定，起總控制操作員訪問權(quán)限的作用。一方面需要各系統(tǒng)自行管理各自操作員權(quán)限，另一方面是個建立權(quán)限控制接口規(guī)范，與各系統(tǒng)之間建立接口標準與控制約定，一并控制操作員權(quán)限。

(二)指紋識別方式在銀行業(yè)務(wù)柜員身份認證方面的優(yōu)勢

1．指紋信息建檔——實現(xiàn)了人員的統(tǒng)一管理。所有業(yè)務(wù)操作人員的指紋被注冊在數(shù)據(jù)庫中，與每個人的姓名、身份級別、聯(lián)系電話等基本信息統(tǒng)一放在數(shù)據(jù)庫中，實現(xiàn)了對人員的統(tǒng)一管理、控制了人員擅自調(diào)崗、密碼泄露所造成的責(zé)任不清問題。很難偽造和破譯。由于指紋識別具有上述特點，識別指紋時必須將真正的手指與指紋采集頭接觸，因此偽造、假冒、攻擊、破譯指紋的難度就變得相當(dāng)大。例如，對于一個3位數(shù)字密碼，有10×10×10=1000種組合，破解概率為千分之一，入侵者可以很容易地通過嘗試所有的組合而破解，而你很難找1000個人 (誤識率為千分之一)為你的企圖入侵提供指紋(即便是100個人將10個手指頭全部用上)。以現(xiàn)有的指紋識別系統(tǒng)為例，其誤識率小于十萬分之一，能儲存數(shù)十萬個指紋，其破譯難度可想而知。

2．指紋簽到/授權(quán)——把住系統(tǒng)入口安全。所有業(yè)務(wù)人員進行系統(tǒng)簽到、授權(quán)等操作必須經(jīng)過指紋驗證身份，杜絕了以往用其他人員身份登錄系統(tǒng)的現(xiàn)象。嚴格把住系統(tǒng)入口，把以往出現(xiàn)案件后的事后追究變?yōu)槭虑胺婪丁?/p>

3．指紋授權(quán)、交叉授權(quán)——杜絕了自己給自己授權(quán)現(xiàn)象。安全性能高，責(zé)任分明。指紋是相對固定的，很難發(fā)生變化，可以保證用戶安全信息的長期有效性。系統(tǒng)通過對柜員本人生物特征的識別來確認身份的合法性，實現(xiàn)了“認人不認密碼”的認證方式指紋系統(tǒng)實現(xiàn)了真正的對人的管理，而不是對物的管理，這一點在“交叉授權(quán)”中體現(xiàn)的最為明顯。采用“交叉授權(quán)”功能，有效解決了授權(quán)人臨時有事外出的問題。既符合實際工作現(xiàn)狀，又滿足了業(yè)務(wù)的要求，實現(xiàn)真正意義的三級權(quán)限分工，做到權(quán)責(zé)分明，防止抵賴現(xiàn)象發(fā)生。

4．符合現(xiàn)行的銀行柜員管理制度。指紋身份認證系統(tǒng)相對獨立、操作簡便，不會因為使用指紋認證而加大商業(yè)銀行的業(yè)務(wù)管理難度。系統(tǒng)實施簡便，對銀行原有業(yè)務(wù)、應(yīng)用軟件等所作的相應(yīng)改造較小，可有效保護銀行原有的硬件投資，快速實現(xiàn)與業(yè)務(wù)系統(tǒng)的平滑聯(lián)接，從而在內(nèi)部建立起一個安全、穩(wěn)定、高效、靈活、方便的內(nèi)部身份認證體系。

5．經(jīng)濟性。指紋識別得益于現(xiàn)代電子集成制造技術(shù)和快速而可靠的算法研究。只要建立一個指紋認證中心，既可以面向銀行內(nèi)部柜員等需要進行身份認證的系統(tǒng)接入，又可以面向客戶進行指紋認證，實現(xiàn)了真正的資源共享，大大提高系統(tǒng)使用的經(jīng)濟效益。

三、具體實現(xiàn)

(一)整體框架

統(tǒng)一認證平臺系統(tǒng)采用B/S模式與C/S模式相結(jié)合的系統(tǒng)架構(gòu)。其中用戶指紋采集、管理等功能通過B/S模式實現(xiàn)，指紋管理員通過登陸web管理頁面對用戶的指紋等相關(guān)信息進行維護;指紋驗證則通過C/S模式實現(xiàn)，用戶登陸應(yīng)用系統(tǒng)時，通過應(yīng)用系統(tǒng)實時采集柜員指紋特征并將其上傳到指紋服務(wù)器進行指紋驗證，應(yīng)用系統(tǒng)為客戶端、指紋服務(wù)器為服務(wù)端。

指紋系統(tǒng)服務(wù)器操作系統(tǒng)采用Windows2003 Server，數(shù)據(jù)庫服務(wù)器采用INFORMIX數(shù)據(jù)庫，指紋服務(wù)器上還需安裝Apache Tomcat，實現(xiàn)WEB方式訪問．指紋認證服務(wù)和數(shù)據(jù)的傳輸通過銀行內(nèi)部局域網(wǎng)實現(xiàn)，客戶端只需要安裝瀏覽器程序客戶端，不需要安裝數(shù)據(jù)庫等其他軟件。

(二)系統(tǒng)拓撲圖如下所示。

(三)實施方案

規(guī)范和統(tǒng)一各業(yè)務(wù)系統(tǒng)操作用戶代碼，完成用戶指紋采集，操作員登錄各自系統(tǒng)的操作員代號在各系統(tǒng)必須唯一，此代號必須被統(tǒng)一身份認證系統(tǒng)識別，以確定該操作原身份及是否特殊人群，其次是是否強制指紋校驗和是否采用密碼識別。

規(guī)范各業(yè)務(wù)系統(tǒng)登陸流程，細化柜員權(quán)限，按接口規(guī)范設(shè)定統(tǒng)一身份認證系統(tǒng)與各業(yè)務(wù)系統(tǒng)的權(quán)限設(shè)定，控制登陸風(fēng)險。

修改各業(yè)務(wù)系統(tǒng)的登錄驗證界面，采用統(tǒng)一身份認證系統(tǒng)提供的指紋系統(tǒng)接口函數(shù)，通過調(diào)用指紋驅(qū)動，發(fā)出驗證指令通過網(wǎng)絡(luò)通訊采用統(tǒng)一身份認證系統(tǒng)進行校驗，在校驗通過成功返回后可正常登陸。

四、實現(xiàn)目標

統(tǒng)一身份認證平臺系統(tǒng)是一個專門為解決各種信息化系統(tǒng)的統(tǒng)一用戶管理，統(tǒng)一用戶登陸等而建設(shè)的系統(tǒng)，為此該系統(tǒng)的建設(shè)目標主要包括如下幾個方面:

第一，統(tǒng)一用戶登陸管理。包括指紋登陸管理及特殊人群密碼登陸管理等多種身份認證機制。

第二，統(tǒng)一管理用戶授權(quán)機制。增加統(tǒng)一認證平臺用戶與各應(yīng)用系統(tǒng)用戶的對照，實現(xiàn)用戶驗證由認證平臺實現(xiàn)，權(quán)限管理由統(tǒng)一認證平臺與各自應(yīng)用系統(tǒng)共同控制。

第三，登陸系統(tǒng)監(jiān)控及統(tǒng)計，對用戶權(quán)限進行系統(tǒng)外控制。

第四，用戶信息管理，包括用戶信息的增加、修改、刪除等。

五、應(yīng)用前景

為了有效地控制內(nèi)部操作員對信用社內(nèi)部資源及服務(wù)的合法訪問，確保系統(tǒng)和資金的安全，信用社內(nèi)部必須對傳輸?shù)臄?shù)據(jù)進行加密，并對網(wǎng)絡(luò)實體和用戶身份加以有效的認證。由于農(nóng)村信用社多數(shù)網(wǎng)點分布于鄉(xiāng)鎮(zhèn)農(nóng)村，鄉(xiāng)鎮(zhèn)網(wǎng)點業(yè)務(wù)人員基本文化水平較低，對業(yè)務(wù)操作風(fēng)險性的警惕性，自覺性受限，導(dǎo)致農(nóng)村信用社一直是各金融系統(tǒng)中風(fēng)險高發(fā)地帶，近年來，經(jīng)濟案件屢禁不止，隨著信息化建設(shè)的不斷深入，案件高發(fā)態(tài)勢得到有效控制，但也出現(xiàn)了內(nèi)部工作人員利用現(xiàn)有業(yè)務(wù)系統(tǒng)中身份驗證和授權(quán)驗證機制上存在的漏洞，實施計算機犯罪的惡性事件，不僅給銀行造成了巨大的經(jīng)濟損失，同時也對農(nóng)村信用社的聲譽造成了非常惡劣的影響。

傳統(tǒng)的柜員ID號+密碼、磁卡(IC卡)認證都存在管理漏洞，杜絕了以竊取密碼或卡為主要手段的內(nèi)、外部犯罪的可能性已成為農(nóng)村信用社基層網(wǎng)點業(yè)務(wù)改造的當(dāng)務(wù)之急。

江西省農(nóng)村信用社自綜合業(yè)務(wù)系統(tǒng)在全省92家成員行社推廣以來，采用的是“柜員權(quán)限卡+密碼”的驗證方式，它雖較傳統(tǒng)的“柜員號+密碼”的驗證方式有了較大的改進，但是依然存在使用中的“飛卡現(xiàn)象”和“越權(quán)現(xiàn)象”，柜員權(quán)限卡易被盜用和仿制、密碼易泄漏的問題依然存在。為此，江西省農(nóng)村信用社制定了嚴格的管理措施，檢查“柜員權(quán)限卡”是否按規(guī)定使用和保管，已經(jīng)成為管理和安全防范的重要工作。但管理制度要求的“嚴密與規(guī)范”與一線工作的“方便與高效”，在客觀上存在矛盾，導(dǎo)致某些授權(quán)人員在業(yè)務(wù)繁忙或因事離崗時，放松了對權(quán)限卡的管理和使用，可能造成權(quán)限卡使用中的安全隱患。

統(tǒng)一身份認證系統(tǒng)盡量避免了實物授權(quán)及密碼認證方式，結(jié)合應(yīng)用系統(tǒng)特點，可在需要監(jiān)管的應(yīng)用系統(tǒng)上加入統(tǒng)一身份認證的功能，起到系統(tǒng)內(nèi)和系統(tǒng)外權(quán)限控制和監(jiān)控。

統(tǒng)一身份認證系統(tǒng)在江西省農(nóng)村信用社推廣以后，用戶管理難度大大降低，柜員權(quán)限卡相關(guān)的安全隱患基本得到杜絕，操作用戶對各系統(tǒng)的登陸、訪問更為簡便、安全、快捷、受到用戶的一致好評，同時進一步優(yōu)化了業(yè)務(wù)操作流程，也為防范了農(nóng)村金融業(yè)務(wù)操作風(fēng)險作出了突出的貢獻。

[1]余勇，林為民，何軍．電力數(shù)字證書服務(wù)系統(tǒng)的設(shè)計及應(yīng)用[J]．電力系統(tǒng)自動化，2005，(10)．

[2]李棟．如何構(gòu)建安全的電子商務(wù)網(wǎng)站[J]．計算機安全，2005，(6)．

[3]劉微微，程海蓉．信息安全專題介紹之二:公鑰基礎(chǔ)設(shè)施PKI/CA認證安全體系[J]．計算機輔助工程，2002，(1)．

[4]肖凌，李之棠；公開密鑰基礎(chǔ)設(shè)施(PKI)結(jié)構(gòu)[J]．計算機工程與應(yīng)用，2002，(10)．

[5]楊波，王常吉，段海新，吳建平．基于PKI/PMI的校園網(wǎng)安全單一登錄方案 [J]．計算機工程與應(yīng)用，2004，(36)．

[6]常青，張卡，張其善．基于智能卡的CSP的設(shè)計與實現(xiàn)[J]．計算機工程與應(yīng)用，2005，(5)．

[7]柯敏毅，歐陽勇，溪利亞．PKI結(jié)構(gòu)下公文交換系統(tǒng)安全體系研究 [J]．計算機與數(shù)字工程，2004，(6)．