基于單點登錄的銀行特權(quán)賬號管理

陳 力

（上海交通大學(xué) 信息安全工程學(xué)院，上海 200240）

基于單點登錄的銀行特權(quán)賬號管理

陳 力

（上海交通大學(xué) 信息安全工程學(xué)院，上海 200240）

銀行系統(tǒng)運行的實時性要求非常高，而無論什么系統(tǒng)都會有異?；蚓o急事件發(fā)生，運維人員進行操作時，需要特權(quán)賬戶對系統(tǒng)的應(yīng)用或數(shù)據(jù)進行維護。本文旨在通過單點登錄模式，對這些賬號進行統(tǒng)一的管理，同時方便用戶的使用。

單點登錄；臨時賬戶；票據(jù)；認(rèn)證

1　單點登錄對現(xiàn)有特權(quán)賬號管理改進

隨著科學(xué)技術(shù)的發(fā)展，信息技術(shù)對于現(xiàn)代企業(yè)的管理以及運營也起著越來越重要的作用。電子商務(wù)、電子政務(wù)、互聯(lián)網(wǎng)金融等一系列新概念在我們生活中出現(xiàn)的頻率越來越高，這也使得各企業(yè)、各機關(guān)開放平臺上的應(yīng)用系統(tǒng)數(shù)量上越來越多、復(fù)雜度越來越高，用戶需要登錄大量的應(yīng)用系統(tǒng)訪問各種各樣的服務(wù)器，而企業(yè)應(yīng)用系統(tǒng)的運行維護人員也需要登錄大量的應(yīng)用系統(tǒng)，并對應(yīng)用進行維護。目前許多企業(yè)對各開放平臺上的應(yīng)用系統(tǒng)均采用分散的管理模式，即不同系統(tǒng)由不同的人員進行管理，并且對不同的人員職責(zé)分工明確，權(quán)限劃分清晰。而基于人力成本的考慮，不同的人員管理的應(yīng)用系統(tǒng)個數(shù)往往較多，而人員與應(yīng)用系統(tǒng)的對應(yīng)關(guān)系也往往是多對多的管理。應(yīng)用系統(tǒng)管理人員在各自負(fù)責(zé)的應(yīng)用系統(tǒng)中均設(shè)有相應(yīng)用戶，而這些用戶的權(quán)限職責(zé)均不同，系統(tǒng)管理員對這些應(yīng)用系統(tǒng)管理人員的用戶權(quán)限進行統(tǒng)一管理，以保證應(yīng)用系統(tǒng)管理人員的權(quán)限能得到保證，同時又能對其不具備的權(quán)限進行嚴(yán)格的控制。這樣的運行維護模式會使用戶需要記住大量的用戶名和密碼，給用戶的運行維護工作帶來不便，同時也存在許多弊端以及安全隱患。

現(xiàn)有的銀行特權(quán)賬號管理使用傳統(tǒng)的密碼封模式，操作用戶需要有兩人同時在崗，分別為實施人與復(fù)核人。操作人員分別持有紙質(zhì)密碼封的前后段密碼，而該情況下，而后分別由兩人輸入密碼，獲取用戶相應(yīng)的權(quán)限。在這種模式下，操作人員操作步驟繁瑣，用戶回收機制并非強制執(zhí)行而是通過操作人員自覺執(zhí)行，這樣存在巨大的安全隱患，同時對于沒有及時收回的用戶也不符合IT審計中相關(guān)的安全標(biāo)準(zhǔn)。單點登錄平臺能很好地簡化該類應(yīng)用場景的操作流程，同時提高特權(quán)用戶管理的安全標(biāo)準(zhǔn)。

2　特權(quán)用戶管理模塊設(shè)計

特權(quán)用戶通、主用戶以及應(yīng)用系統(tǒng)通過列表相互關(guān)聯(lián)，目前各大銀行主要采用的都是ISO 20000或是ISO 27001認(rèn)證體系，該體系中對用戶的密碼使用有著十分嚴(yán)格的要求。應(yīng)用系統(tǒng)的用戶需要定期修改密碼，同時密碼必須符合一定的復(fù)雜要求。各個應(yīng)用系統(tǒng)運行維護中會遇到許多場景，以下是主要存在的三個場景。

場景一:銀行單點登錄平臺判斷特權(quán)用戶密碼是否過期，如果過期，銀行單點登錄平臺隨機修改特權(quán)用戶密碼，并修改相關(guān)數(shù)據(jù)庫表中記錄。

場景二:針對系統(tǒng)應(yīng)急情況下需要非系統(tǒng)運行維護人員進行運維操作的場景，要求運維人員使用密碼封保存運維密碼，應(yīng)急人員通過拆封密碼封獲取相關(guān)系統(tǒng)的密碼。

場景三:銀行單點登錄平臺因相關(guān)問題無法連接相關(guān)應(yīng)用系統(tǒng)，用戶通過應(yīng)急功能獲取特權(quán)用戶密碼。

以上場景中，特權(quán)用戶的密碼完全對用戶封閉，用戶在不提取自己應(yīng)用列表中應(yīng)用系統(tǒng)的用戶密碼的情況下，即不提取自己特權(quán)用戶密碼的情況下，無法使用自己的特權(quán)用戶通過堡壘機、遠程桌面等其他方式登錄應(yīng)用系統(tǒng)。

3　特權(quán)用戶管理模塊性能分析

在特權(quán)用戶管理模塊中，批量修改密碼是一個非常關(guān)鍵的節(jié)點，該節(jié)點的運行時間決定了該功能是否會影響單點登錄平臺的基本功能。而在設(shè)計過程中，我們對于接入銀行單點登錄系統(tǒng)的用戶進行系統(tǒng)分類，同一系統(tǒng)的用戶安排在同一天進行批量修改密碼，從而使修改密碼鎖需要建立的連接盡可能少。

我們可以發(fā)現(xiàn)用戶數(shù)量與批量運行時間基本符合線形關(guān)系，因此根據(jù)線形關(guān)系進行擬合，運行時間T與用戶數(shù)量A的關(guān)系為T=?0+?1*A，根據(jù)最小二乘法法，計算得出?1=0.114，?0=2.956。

目前，平均每天批量修改密碼的用戶數(shù)大約為3 000個，根據(jù)推算，批量修改這些賬戶密碼需要6分鐘左右，且批量修改密碼在夜間交易低峰時間段運行，不會對系統(tǒng)的正常運行產(chǎn)生不良影響。

為了使批量修改密碼節(jié)點運行時間不過長，系統(tǒng)采用每月1日至28日，平均分布各系統(tǒng)用戶，而不采用集中修改密碼，修改密碼批量節(jié)點運行時間過長。系統(tǒng)采用平均分配的方法，進行分配用戶，并且使相同系統(tǒng)的用戶盡可能在同一天修改密碼，以避免批量節(jié)點多次連接應(yīng)用系統(tǒng)。

4　結(jié) 語

在在基于單點登錄的特權(quán)用戶平臺實際運行中，重要的系統(tǒng)運行指標(biāo)正常，沒有大幅的波動，運行穩(wěn)定。同時特權(quán)用戶平臺所具有的獨有功能并沒有影響到單點登錄平臺其他功能的正常使用，而單點登錄平臺的特性則大大加強了特權(quán)用戶平臺的易用性。

主要參考文獻

［1］陳觀林，張泳.企業(yè)信息門戶單點登錄系統(tǒng)的設(shè)計與實現(xiàn)［J］.計算機系統(tǒng)應(yīng)用，2008（8）.

［2］陳萱華，李學(xué)亞.桌面虛擬化技術(shù)在公安院校網(wǎng)絡(luò)安全接入中的應(yīng)用［J］.計算機與現(xiàn)代化，2013（5）.

10.3969/j.issn.1673 - 0194.2015.22.112

TP311.52

A

1673-0194（2015）22-0143-01

2015-10-09