中國聯(lián)合網(wǎng)絡(luò)通信有限公司研究院 北京 100032

引言

目前，弱口令和“拖庫”、“撞庫”問題已成為我國互聯(lián)網(wǎng)企業(yè)與用戶面臨的最大安全挑戰(zhàn)，是導(dǎo)致核心機(jī)密失竊、隱私泄露的主要根源。而現(xiàn)有移動互聯(lián)網(wǎng)普遍采用“用戶名+口令+短信驗(yàn)證碼”機(jī)制驗(yàn)證用戶身份。但這種認(rèn)證方式存在諸多弊端：第一，用戶認(rèn)證入口過多，不同業(yè)務(wù)系統(tǒng)用戶需設(shè)置、記憶多個(gè)不同用戶名及口令，不同網(wǎng)站的身份難以互通，用戶體驗(yàn)差，常引發(fā)弱口令問題；第二，用戶真實(shí)身份難以驗(yàn)證，用戶名及口令保管不善，易被不法分子冒名登錄；第三，服務(wù)提供商(如互聯(lián)網(wǎng)網(wǎng)站)各自建設(shè)、維護(hù)身份認(rèn)證系統(tǒng)，安全防護(hù)水平差的系統(tǒng)就會成為黑客竊取用戶密碼、發(fā)起“拖庫”、“撞庫”攻擊的入口；第四，短信驗(yàn)證碼不夠安全，當(dāng)手機(jī)被盜或被裝入木馬后，犯罪分子都可僅通過竊取手機(jī)短信驗(yàn)證碼獲得極高權(quán)限，如修改支付密碼，取消支付綁定的證書，登錄支付賬戶盜走資金。

鑒于此，研發(fā)新型身份認(rèn)證技術(shù)已得到各國政府、業(yè)界的廣泛重視。國際方面，歐美國家相繼出臺用戶信息保護(hù)法案；GSMA于2013年提出Vision 2020個(gè)人數(shù)據(jù)項(xiàng)目，在全球通信產(chǎn)業(yè)中征集基于mobile ID的新型統(tǒng)一認(rèn)證技術(shù)，取代傳統(tǒng)用戶名+口令認(rèn)證方式。國內(nèi)方面，政府對網(wǎng)絡(luò)空間環(huán)境下的個(gè)人隱私安全高度重視。2012年12月，全國人大常委會頒布“關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定”。2014年2月，國家主席習(xí)近平主持召開中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組第一次會議并發(fā)表重要講話，強(qiáng)調(diào)網(wǎng)絡(luò)與信息安全是國家發(fā)展的重大戰(zhàn)略。互聯(lián)網(wǎng)企業(yè)紛紛研發(fā)新型身份認(rèn)證技術(shù)，包括騰訊公司的掃碼登錄、阿里公司的臉部特征識別支付等。

綜上可知，傳統(tǒng)的認(rèn)證方式已無法適應(yīng)新政策、新技術(shù)、新業(yè)務(wù)的發(fā)展需求，已經(jīng)制約移動互聯(lián)網(wǎng)快速、健康、有序的發(fā)展，移動互聯(lián)網(wǎng)需要一種新型的、安全、便捷、可信的身份認(rèn)證技術(shù)來取代傳統(tǒng)認(rèn)證方法。本文提出依靠運(yùn)營商資源稟賦，為產(chǎn)業(yè)打造身份認(rèn)證基礎(chǔ)設(shè)施，將手機(jī)號碼作為唯一身份標(biāo)識(用戶名)，為業(yè)務(wù)提供商、用戶提供、開放創(chuàng)新的安全能力的“沃互聯(lián)”統(tǒng)一認(rèn)證解決方案。

1 “沃互聯(lián)”統(tǒng)一認(rèn)證方案

本章將從方案目標(biāo)、技術(shù)架構(gòu)、核心模塊、業(yè)務(wù)流程等方面具體闡述“沃互聯(lián)”統(tǒng)一認(rèn)證方案。

1.1 目標(biāo)

“沃互聯(lián)”統(tǒng)一認(rèn)證方案是由中國聯(lián)通研究院研發(fā)的基于SIM卡的身份認(rèn)證系統(tǒng)方案，用戶無需前往聯(lián)通營業(yè)廳辦理換卡業(yè)務(wù)，無需自行下載，通過聯(lián)通Java卡平臺無感知推送卡應(yīng)用，支持2/3/4G終端。作為運(yùn)營商為產(chǎn)業(yè)、用戶提供的安全解決方案，本方案有三個(gè)目標(biāo)。1)安全創(chuàng)新+自主研發(fā)。研發(fā)業(yè)界領(lǐng)先的身份認(rèn)證技術(shù)，提供比“用戶名+密碼+短信驗(yàn)證碼”更為安全、可信的認(rèn)證服務(wù)。2)提高運(yùn)營效率+解決實(shí)際問題。提高移動號碼資源效率，拉動流量經(jīng)濟(jì)增長，減少企業(yè)內(nèi)部安全風(fēng)險(xiǎn)。3)通用+便捷。任何需要認(rèn)證的場景都可以方便使用。

本方案將手機(jī)號碼作為唯一身份標(biāo)識(用戶名)，用戶可無感知實(shí)現(xiàn)后臺推送卡應(yīng)用，并完成初始注冊。登錄網(wǎng)站或業(yè)務(wù)系統(tǒng)時(shí)，無需輸入口令，只需輸入手機(jī)號碼，業(yè)務(wù)系統(tǒng)透傳手機(jī)號碼給聯(lián)通，聯(lián)通利用卡平臺尋址用戶，并提供三種強(qiáng)度等級(確認(rèn)、輸入pincode、證書)的認(rèn)證手段以驗(yàn)證用戶真實(shí)身份，業(yè)務(wù)提供商根據(jù)聯(lián)通的反饋結(jié)果決定是否允許用戶登錄(如圖1)。

1.2 技術(shù)架構(gòu)

“沃互聯(lián)”系統(tǒng)總體架構(gòu)如圖2所示。

1.3 核心模塊

1.3.1 統(tǒng)一認(rèn)證平臺側(cè)

1)管理模塊。此模塊主要指“沃互聯(lián)”門戶網(wǎng)站，門戶網(wǎng)站分為管理門戶、用戶門戶和業(yè)務(wù)門戶。分別提供角色、權(quán)限和管理員管理、業(yè)務(wù)平臺管理、普通用戶管理和數(shù)據(jù)統(tǒng)計(jì)分析功能。

2)業(yè)務(wù)模塊。此模塊為“沃互聯(lián)”統(tǒng)一認(rèn)證平臺的核心業(yè)務(wù)模塊，包含注冊/注冊確認(rèn)、密鑰更新/重置、卡認(rèn)證密碼更新、登錄認(rèn)證等功能。

3)短信組織解析模塊。此模塊具備兩個(gè)功能，即組織下發(fā)數(shù)據(jù)短信格式和解析上行數(shù)據(jù)信。

4)短信收發(fā)模塊。此模塊為短信代理，即發(fā)送數(shù)據(jù)短信的程序，主要負(fù)責(zé)與短信網(wǎng)關(guān)通信進(jìn)行短信下發(fā)和上行接收轉(zhuǎn)發(fā)。

5)0348報(bào)文前置模塊。此模塊負(fù)責(zé)跟聯(lián)通TSM平臺通信，透傳數(shù)據(jù)請求打包0348安全報(bào)文。

圖1 “沃互聯(lián)”用戶流程圖

圖2 “沃互聯(lián)”總體架構(gòu)圖

1.3.2 終端側(cè)

卡應(yīng)用：這里指JAVA卡應(yīng)用，主要包含以下功能。①注冊流程：負(fù)責(zé)主動上行注冊信息。②密鑰更新/重置流程：接收統(tǒng)一認(rèn)證服務(wù)器下發(fā)密鑰更新或重置的指令，更新或重置卡應(yīng)用的密鑰。③登錄認(rèn)證流程：接收統(tǒng)一認(rèn)證服務(wù)器下發(fā)認(rèn)證的數(shù)據(jù)短信，調(diào)用手機(jī)UI界面彈窗，供用戶點(diǎn)擊確定或取消登錄確認(rèn)使用。④pincode(卡應(yīng)用認(rèn)證密碼)修改流程：卡應(yīng)用顯示用戶密碼修改提示操作界面，用戶修改密碼后，保存該密碼。

1.3.3 業(yè)務(wù)平臺側(cè)

業(yè)務(wù)平臺：使用“沃互聯(lián)”認(rèn)證服務(wù)的所有外部系統(tǒng)，即業(yè)務(wù)提供商網(wǎng)站。需與“沃互聯(lián)”平臺(統(tǒng)一認(rèn)證服務(wù)器)建立登錄認(rèn)證接口。使用“沃互聯(lián)”認(rèn)證的用戶需具備業(yè)務(wù)平臺帳號和“沃互聯(lián)”平臺的帳號(手機(jī)號)，并將兩個(gè)帳號綁定。

1.4 業(yè)務(wù)流程

1.4.1 卡認(rèn)證應(yīng)用空中下載流程

如圖3所示，流程描述為：1)聯(lián)通TSM平臺組織數(shù)據(jù)短信，發(fā)送至短信網(wǎng)關(guān)；2)短信網(wǎng)關(guān)將數(shù)據(jù)短信發(fā)送至卡片；3)卡片進(jìn)行安裝“沃互聯(lián)”卡應(yīng)用。

1.4.2 卡應(yīng)用認(rèn)證密碼設(shè)置流程

流程描述為：1)用戶打開卡應(yīng)用設(shè)置密碼，輸入兩次密碼；2)卡應(yīng)用校驗(yàn)兩次密碼是否一致，若一致則存入卡中。

1.4.3 注冊流程

如圖4所示，流程描述為：1)用戶進(jìn)入手機(jī)卡應(yīng)用“沃互聯(lián)”菜單，點(diǎn)擊菜單；2)卡上行iccid、imsi和卡應(yīng)用版本到短信網(wǎng)關(guān)；3)短信網(wǎng)關(guān)將卡的iccid、imsi和應(yīng)用版本發(fā)給統(tǒng)一認(rèn)證服務(wù)器；4)統(tǒng)一認(rèn)證服務(wù)器記錄用戶的手機(jī)號、iccid、imsi和卡應(yīng)用版本后，進(jìn)行第一次密鑰更新；5)統(tǒng)一認(rèn)證服務(wù)器組織好密鑰更新數(shù)據(jù)，去聯(lián)通TSM平臺請求進(jìn)行0348打包封裝；6)聯(lián)通TSM平臺返回0348安全報(bào)文，統(tǒng)一認(rèn)證服務(wù)器下發(fā)0348安全報(bào)文到手機(jī)卡應(yīng)用；7)卡應(yīng)用解析0348報(bào)文，更新密鑰，并上行por；8)統(tǒng)一認(rèn)證服務(wù)器接收到por后，根據(jù)por結(jié)果保存密鑰更新的結(jié)果。

1.4.4 密鑰更新

如圖5所示，流程描述為：1)系統(tǒng)管理員登錄“沃互聯(lián)”管理平臺，進(jìn)入用戶信息管理界面，點(diǎn)擊密鑰更新；2)管理平臺向統(tǒng)一認(rèn)證服務(wù)器發(fā)起密鑰更新請求；3)統(tǒng)一認(rèn)證服務(wù)器組織密鑰更新數(shù)據(jù)并請求聯(lián)通TSM平臺封裝0348安全頭；4)統(tǒng)一認(rèn)證服務(wù)器得到聯(lián)通TSM平臺返回的0348安全報(bào)文后下發(fā)給手機(jī)；5)手機(jī)卡應(yīng)用解析數(shù)據(jù)短信后更新應(yīng)用密鑰并上行por；6)統(tǒng)一認(rèn)證服務(wù)器根據(jù)por保存密鑰更新的結(jié)果。

圖3 卡認(rèn)證應(yīng)用空中下載流程

圖4 用戶注冊流程

1.4.5 密碼重置

如圖6所示，流程描述為：1)系統(tǒng)管理員登錄“沃互聯(lián)”管理平臺，進(jìn)入用戶信息管理界面，點(diǎn)擊密碼更新；2)管理平臺向統(tǒng)一認(rèn)證服務(wù)器發(fā)起密碼更新請求；3)統(tǒng)一認(rèn)證服務(wù)器組織密碼更新數(shù)據(jù)并請求聯(lián)通TSM平臺封裝0348安全頭；4)“沃互聯(lián)”得到聯(lián)通TSM平臺返回的0348安全報(bào)文后下發(fā)給手機(jī)；5)手機(jī)卡應(yīng)用解析數(shù)據(jù)短信后更新密碼并上行por。

1.4.6 登錄認(rèn)證流程

如圖7所示，流程描述為：1)用戶在業(yè)務(wù)平臺選擇”沃互聯(lián)”登錄；2)業(yè)務(wù)平臺將認(rèn)證請求發(fā)送給統(tǒng)一認(rèn)證服務(wù)器，系統(tǒng)要將數(shù)據(jù)短信去聯(lián)通TSM平臺請求封裝0348安全頭；3)短信網(wǎng)關(guān)將平臺的登錄認(rèn)證請求(隨機(jī)消息)封裝了0348安全頭的數(shù)據(jù)短信發(fā)送給卡應(yīng)用；4)卡應(yīng)用彈出用戶授權(quán)界面；5)用戶點(diǎn)擊確認(rèn)，卡應(yīng)用校驗(yàn)結(jié)果并加密隨機(jī)消息；6)卡應(yīng)用上行校驗(yàn)結(jié)果和加密數(shù)據(jù)給短信網(wǎng)關(guān)，短信網(wǎng)關(guān)返回給統(tǒng)一認(rèn)證服務(wù)器；7)統(tǒng)一認(rèn)證服務(wù)器校驗(yàn)加密數(shù)據(jù)，返回驗(yàn)證結(jié)果給業(yè)務(wù)平臺；8)業(yè)務(wù)平臺根據(jù)驗(yàn)證結(jié)果展示頁面。

1.4.7 卡認(rèn)證密碼驗(yàn)證流程

如圖8所示，流程描述為：1)短信網(wǎng)關(guān)將平臺的登錄認(rèn)證請求(隨機(jī)消息)的數(shù)據(jù)短信發(fā)送給卡應(yīng)用；2)卡應(yīng)用彈窗密碼框；3)用戶輸入卡認(rèn)證密碼，卡應(yīng)用校驗(yàn)密碼并加密隨機(jī)消息；4)卡應(yīng)用上行校驗(yàn)結(jié)果和加密數(shù)據(jù)給短信網(wǎng)關(guān)。

圖5 密鑰更新流程

圖6 密碼重置流程

圖7 登錄認(rèn)證流程

圖8 卡認(rèn)證密碼驗(yàn)證流程

2 應(yīng)用案例

本系統(tǒng)為聯(lián)通內(nèi)部沃郵箱、沃建設(shè)、信息安全綜合管理平臺、研究院系列平臺等提供安全登錄服務(wù)，大大加強(qiáng)公司對移動互聯(lián)網(wǎng)業(yè)務(wù)入口的掌控能力，有效減少經(jīng)濟(jì)損失與投訴，未來將根據(jù)彈性化及多級化的產(chǎn)業(yè)合作模型，實(shí)現(xiàn)對用戶以及外部SP不同場景合理前向、后向收費(fèi)。同時(shí)，加深系統(tǒng)云化，將大大節(jié)省CAPEX及OPEX成本支出，創(chuàng)造更大的經(jīng)濟(jì)效益(如圖9)。

圖9 與“沃互聯(lián)”對接的各平臺卡應(yīng)用登錄確認(rèn)彈窗

2.1 沃郵箱案例

沃郵箱是中國聯(lián)通推出的面向中國聯(lián)通用戶提供的多功能郵件服務(wù)。它能提供大容量的郵箱空間和網(wǎng)絡(luò)硬盤空間、郵件到達(dá)通知、短信、彩信、日程提醒以及PushMail手機(jī)客戶端等服務(wù)。目前，沃郵箱官網(wǎng)已正式采用“沃互聯(lián)”作為登錄方式，“沃互聯(lián)”已發(fā)展萬余名活躍用戶，遍及全國22省份，后續(xù)計(jì)劃為沃郵箱1.1億用戶提供服務(wù)(如圖10)。

圖10 沃郵箱“沃互聯(lián)”登錄頁面

2.2 沃通行證案例

圍繞公司沃通行證，建立對內(nèi)、對外統(tǒng)一的中國聯(lián)通用戶身份認(rèn)證體系，是聯(lián)通用戶面向互聯(lián)網(wǎng)的統(tǒng)一入口。目前，已將本方案作為一種安全認(rèn)證方式集成至沃通行證中，豐富產(chǎn)品形態(tài)。

2.3 信息安全綜合管理平臺案例

該平臺實(shí)現(xiàn)垃圾短信治理、短信接入號申請、安全漏洞治理、工單處理等功能，包含核心功能及大量敏感數(shù)據(jù)。目前，已將“沃互聯(lián)”作為登錄認(rèn)證方案并聯(lián)調(diào)成功，可為全國31省市信安部門員工提供安全快捷登錄服務(wù)。

3 “沃互聯(lián)”統(tǒng)一認(rèn)證方案優(yōu)勢分析

本章將從方案優(yōu)勢、其他認(rèn)證方式對比兩方面分析“沃互聯(lián)”方案的優(yōu)勢。

3.1 方案優(yōu)勢

1)以手機(jī)號碼作為唯一身份標(biāo)識。并使用手機(jī)進(jìn)行身份驗(yàn)證，用戶無需記住密碼口令。2)易于使用。用戶可借助“沃互聯(lián)”方案完成SP網(wǎng)站或app快捷登錄。3)多種級別認(rèn)證能力。并可根據(jù)業(yè)務(wù)提供商安全需求，提供多種級別的安全認(rèn)證能力，如彈窗確認(rèn)、卡認(rèn)證密碼驗(yàn)證等認(rèn)證手段。4)快速合作部署。本方案采用統(tǒng)一的API接口，便于業(yè)務(wù)提供商快速對接運(yùn)營商認(rèn)證設(shè)施，享受安全的統(tǒng)一認(rèn)證服務(wù)。5)為后續(xù)與業(yè)務(wù)提供商合作共贏用戶屬性奠定了基礎(chǔ)。一方面，運(yùn)營商用戶體量龐大，具備充足的用戶基數(shù)；另一方面，采用運(yùn)營商認(rèn)證基礎(chǔ)設(shè)施發(fā)展用戶屬性業(yè)務(wù)更加安全、可信。

3.2 與其它認(rèn)證方式比較

本節(jié)將“沃互聯(lián)”統(tǒng)一認(rèn)證方案與現(xiàn)有認(rèn)證方案進(jìn)行多維度比較，對比如表1所示。

表1 “沃互聯(lián)”與現(xiàn)有認(rèn)證方案對比表

根據(jù)表1，進(jìn)一步對各種認(rèn)證方案進(jìn)行如下對比分析。1)安全性方面，“沃互聯(lián)”統(tǒng)一認(rèn)證方案可解決弱口令、“拖庫”、“撞庫”等常見安全問題；而二維碼掃碼認(rèn)證存在掃碼后被植入惡意軟件、病毒的風(fēng)險(xiǎn)；短信驗(yàn)證碼認(rèn)證方案，存在短信驗(yàn)證碼被惡意軟件截獲的安全隱患。2)可信度方面，“沃互聯(lián)”方案可信度高，由運(yùn)營商驗(yàn)證用戶真實(shí)身份，且只有用戶本人能通過身份驗(yàn)證；而二維碼認(rèn)證及短信驗(yàn)證碼認(rèn)證方案在用戶移動終端丟失后，拾到手機(jī)的人可實(shí)現(xiàn)仿冒身份盜登。3)便捷性方面，“沃互聯(lián)”采用手機(jī)號作為唯一用戶名，可實(shí)現(xiàn)快捷登錄；二維碼認(rèn)證方案可實(shí)現(xiàn)掃碼快捷認(rèn)證登錄；用戶名+密碼方案則需用戶記憶不同用戶名、密碼，便捷性較差。4)管理成本方面，“沃互聯(lián)”方案采用不同的合作網(wǎng)站(業(yè)務(wù)提供商)共用運(yùn)營商認(rèn)證基礎(chǔ)設(shè)施的機(jī)制，便于管理，而其它方案采用不同的身份帳號體系，不能實(shí)現(xiàn)統(tǒng)一管理，管理成本高。

4 結(jié)束語

本文提出“沃互聯(lián)”統(tǒng)一認(rèn)證方案，以解決網(wǎng)絡(luò)用戶帳戶面臨的弱口令、“拖庫”、“撞庫”問題。該方案是以手機(jī)號碼為用戶唯一身份標(biāo)識，為網(wǎng)絡(luò)業(yè)務(wù)提供商提供統(tǒng)一的安全認(rèn)證能力，后續(xù)繼續(xù)大力促成內(nèi)外部合作部署，推動公眾商用化、行業(yè)定制化進(jìn)程，使更多的公眾用戶、行業(yè)用戶、內(nèi)部用戶獲得安全、便捷的認(rèn)證、授權(quán)體驗(yàn)。

參考文獻(xiàn)

[1] 常英賢,陳廣勇,石鑫磊.移動網(wǎng)絡(luò)安全防范技術(shù)研究[J].信息網(wǎng)絡(luò)安全,2016(04):76-81

[2] 景笑梅.統(tǒng)一身份認(rèn)證平臺技術(shù)開發(fā)與應(yīng)用[J].信息安全與保密通信, 2010(06):60-62

[3] 崔久強(qiáng),徐祺.移動互聯(lián)網(wǎng)身份認(rèn)證技術(shù)研究[J].信息安全與技術(shù),2015(07):9-11

[4] 盧煜, 孔令山. 移動互聯(lián)網(wǎng)安全挑戰(zhàn)與應(yīng)對策略[J].通信世界,2011(17):38-39

[5] 范月,許晉,高宇童.eID移動身份認(rèn)證系統(tǒng)的研究與實(shí)現(xiàn)[J].信息網(wǎng)絡(luò)安全,2015(03): 48-53

[6] 容曉峰,蘇瑞丹,崔樹鵬.基于SIM卡的雙因素認(rèn)證方案[J].計(jì)算機(jī)工程與應(yīng)用, 2004(03):147-149