加强身份鉴别，宁盾双因素认证提升步长制药远程办公账号安全

客户介绍

步长制药成立于2001年，2016年上市，是一家以专利中成药为核心，致力于中药现代化的中药专利处方药龙头企业，中国制药企业十佳品牌。经过多年发展，步长制药在心脑血管、妇科用药、糖尿病及肿瘤领域、儿科、泌尿消化等方面均有产品覆盖，在市场上形成核心竞争力。

步长制药拥有员工万余人，在山东、陕西、河北设有生产基地，同时在北京、上海、广东设有分公司，分支机构遍布中国主要省份。2018年9月，步长正式从营销型驱动向产品驱动、向科技型公司转型；由中成药向生物药、化药、医疗器械、互联网医药等全产业转型；由中国本土化向全球化转型，稳步实现生物制药战略规划。

背景与挑战

互联网的快速发展和信息技术的日益蝶变，使得工作模式更加多元化。分支结构逐年增多，远程办公成为企业刚需。步长制药作为科技企业，远程办公已在企业内部得到普及，作为远程办公常用技术——VPN几乎是步长制药员工必备的办公应用。步长制药采用华为USG系列防火墙，配置VPN帮助员工摆脱了办公的时间和空间的束缚，快速访问总部内网资源。但另一方面又容易导致信息泄露问题，为企业数字资产带来安全隐患和管理挑战。

• 弱密码存在安全隐患

员工使用AD域账号密码登录VPN时一直都是采用单一静态密码来验证账号，不少员工的密码设置得过于简单，甚至是使用初始密码。这些弱密码一旦被不法分子破解，将威胁企业内部海量的信息数据安全。

• 账号管理成本高

为防止VPN账号信息泄露，步长制药有时会强制要求员工定期修改登录密码，但这样做又给员工及IT运维人员带来许多麻烦。另外，企业内部员工流动性大，如果没有及时冻结VPN账号，离职员工仍然有合法访问权限，因此额外增加了IT部门的账号回收管理成本。

为实现对VPN账号的集中管控，确保员工远程办公安全访问，加强身份认证，降低IT运维管理成本，步长制药IT管理部门向外寻求解决方案。

解决方案

宁盾了解到步长制药的需求后，提供了双因素认证方案，通过构建用户统一身份管理体系，帮助企业加强员工身份鉴别，实现统一的身份识别与访问控制管理，保障远程办公账号密码安全。

宁盾双因素认证是一套软件系统，部署在企业服务器上，提供动态密码生成、认证和审计功能，将动态密码与原有账号密码认证结合，实现双因子认证保障。在该项目中，宁盾为步长制药华为USG系列防火墙提供手机APP令牌认证方式，对接企业AD用户源，满足企业通过VPN远程办公场景需求。

认证流程：

（示意图）

宁盾双因素认证服务器由认证服务器及动态令牌两部分组成。认证服务器与动态令牌之间通过“令牌种子”进行关联，“令牌种子”与时钟通过国家密码杂凑算法（SM3）生成“动态口令”。当用户登录认证时，输入账号和动态令牌口令并将其提交至认证服务器，认证服务器将其与服务器内动态口令对比，通过验证后用户方才完成登录。

方案优势

• 业界领先的异构能力。宁盾双因素认证产品兼容不同厂商、不同类型、不同配置的设备，应用于移动办公入口安全（VPN、虚拟桌面）、业务系统账号安全（office365、outlook）、网络接入账号安全、数据中心基础设施账号安全等四大核心场景；

• 与业务无缝衔接。5种令牌派发激活方式（手动绑定；邮件、短信批量派发；自主扫码；自服务平台扫码）；分钟级上线，根据业务需求逐步推进；

• 支持多种用户源。支持本地用户源及外部用户源。如企业没有身份目录设施，可在宁盾平台内创建和管理用户；若企业采用的是AD、LDAP、OPENDJ、企业微信、飞书、钉钉等用户源，则宁盾支持通过相应协议读取数据。满足不同类型企业的灵活需求。

客户收益

• 双重认证，保障企业账号安全。步长制药员工原有的静态密码只能对VPN用户身份的真实性进行低级别认证，宁盾双因素认证在静态密码之上增加一层动态密码认证，对身份进行二次鉴别，以此提升VPN用户登录认证安全，解决弱身份鉴别可能引发的信息泄漏隐患，提升企业账号安全。

• 集中审计，实名追溯。宁盾双因素认证系统能够详尽记录用户登录日志，发生安全事件时可及时定位到个人，做到用户认证可审计，满足了药企的等保要求。

• 简化管理，优化体验。宁盾双因素认证系统减少了VPN静态密码定期强制更改的麻烦，节约了企业账号管理成本；同时也简化了移动安全接入程序，优化用户体验，满足用户对易用性的诉求，让移动办公更安全、更便捷。

生物医药行业已经成为双因素认证部署最广泛的行业之一。宁盾已经支持全国近百家药企远程办公场景的身份识别与访问控制，从已落地的药企实施效果来看，宁盾双因素认证方案稳定性强、安全性高，内外网接入均可实现二次动态密码认证，深受客户好评。