短信动态密码与KEY是在企业安全中的应用

本篇文章版权由ECF和HP所有

作者：陈晓春

很多人都用上了网银，网银的安全机制是相对比较高的，特别在支付的时候，系统会发出短信动态密码在一定时限（如30分钟）内使用，或者采取专业版U盾（KEY）证书认证方式。一般的企业安全体系里面是不是可以采用类似的机制呢？

答案是肯定的，但是考虑到成本负荷及应用场景，还是应该存在着多种授权策略并存的情况。在本企业网络之外的网络上使用系统，采用上述方式比较合适，短信动态密码比较普遍，而在内部网络上，则用传统的用户名密码机制即可；重要岗位或者重要业务节点上需要系统确认，则需要采用高级别的认证措施，推荐采用U盾方式。比如涉及到重大金额的审批需要一定级别领导的身份确认。

我们可以预知未来企业系统应用的日益碎片化和触点的几何级数增加，便捷的身份识别和短信密码则会成为主流。特别是静态密钥和动态密钥结合的方式将受到广泛的欢迎。

当然，密码管理仅仅是企业安全的一个方面，更重要的方面是如何将业务数据解构成破坏者难以聚合的结构，这是一个挑战，同时让破坏者难以攫取到解构后的各个部分。实际上从这个意义上说，我们对一直批判的“信息化孤岛”需要换一个角度去认识。“孤岛”对其他业务的支持作用有限，但是却可以一定程度上保护既有数据。如何在两者之间寻求平衡，这是另外一个问题了。

本篇文章版权由ECF和HP所有