淺談農村信用社統一身份認證系統及實現

●趙 亮

隨著市場經濟的不斷發展，我國農村金融機構經營的業務范圍及業務品種也在不斷擴大。立足社區，服務三農，業務種類從最初簡單的存、貸、結業務發展到代收代付、代銷保險、代理理財、第三方存管、代客結售匯、網上支付等多種功能，業務渠道也從傳統的柜面渠道拓展到網上銀行、電話銀行、轉帳電話、手機支付等多個渠道。由于業務種類的增多，內部身份認證體系對保障信用社業務的安全運營起著至關重要的作用。如:基層業務操作員需切換用戶身份登陸不同業務系統，后臺集中管理用戶權限的漏洞。隨著信息化程度的不斷發展，業務應用的不斷深入，各應用支撐系統不斷“泛濫”。統一用戶管理，統一登錄等問題越來越困擾著應用支撐部門，一個統一控制系統用戶，集中授權管理用戶的統一身份認證系統已成為安全及管理的必然需求。

一、建設背景

目前，我省農村信用社現有內部身份認證通常采用以下模式對業務人員身份的合法性進行認證:

(一)柜員權限磁卡+密碼方式。該方式將IC卡中存入與用戶身份相關的數據，由用戶隨身攜帶，登錄時系統校驗IC卡信息及用戶密碼，以驗證用戶的合法身份。該方式在安全性上仍存在以下問題:第一，柜員權限磁卡易被復制;第二，柜員權限磁卡易被盜取;第三，被他人代用，即將本人權限卡交由他人代為使用。在后臺認證方式中也安全性極差，存在以下風險:第一，采取鍵盤輸入密碼的方式，隱蔽性不高，容易泄露;第二，系統“只認密碼不認人”，造成管理漏洞，密碼一旦被盜、仿制或泄露，出現問題時會導致責任不明、無法落實責任人、無法確定作案者身份的情況;第三，很多柜員喜歡用容易記憶的生日、身份證號碼、電話號碼、節日等數字作為密碼，較易破譯。

除上述認證方式本身存在的缺陷外，從實際操作情況看，柜員權限磁卡+密碼這種身份認證方式仍存在一些不容忽視的問題，存在問題如下:

第一，系統初始密碼的公開性。就目前的情況看，每次投產一個新的業務處理系統，都會由各基層網點申請各級別操作柜員，新申請的柜員號均有一個初始密碼。雖然要求柜員在第一次進入系統時及時更改密碼，但柜員是否更改密碼系統不能硬性控制，因密碼是柜員進入系統的唯一認證要素，如柜員不對初始密碼進行更改則密碼形同虛設。

第二，規章制度不完善，監督檢查力度薄弱。目前農村信用社尚未針對“柜員號+密碼”的認證方式制定完整的操作流程，也尚未形成有效的監督檢查機制。因此，柜員對上述業務處理系統重視程度普遍不高，由于農村信用社點多面廣，基層各類員工對安全操作重要性的意識存在差別，違規操作現象時有發生。

第四，違規操作隱蔽性強。由于使用該方式登陸的業務處理系統大多是在后臺進行操作，絕大部分操作區域無錄像監控，這使違規操作具有較強的隱蔽性，也給日后的監督檢查帶來很大困難。

(二)柜員權限磁卡+密碼認證方式。目前國內各大商業銀行操作系統采用此方式對業務人員身份進行認證。為提高業務的安全性，商業銀行對柜員權限卡的管理非常嚴格。例如，要求定期更換密碼，規定“章隨人走、卡不離身”，成立稽查部門對柜員遵守制度情況進行檢查，對違反制度的員工進行處罰等等。盡管如此，柜員管理上的問題依然存在:

首先，雖然要求權限卡密碼不定期更換，但很多柜員往往習慣于采用在二套或三套密碼之間定期更換，長此以往，其密碼的安全性已大大降低，容易破譯，有些密碼已變成“明碼”。

其次，目前農村信用社采取的授權方式為授權柜員在經辦柜員的鍵盤上劃卡輸入密碼，這種方式很容易造成密碼泄露。

基于以上分析，內部身份認證體系暴露出來的諸多問題目前已對農村信用社業務運行的安全構成威脅。傳統的密碼身份識別方法由于其不可克服的缺點已難以滿足新形勢的需要，針對現行計算機系統及銀行內部管理中存在的問題，從技術優缺點、可行性、實用性等方面來看，新的指紋識別系統作為商業銀行內部認證的依據不僅具有許多獨到的信息安全角度的優點，更重要的是還具有更高的實用性、可行性。

由于各種原因，上述各系統運行的軟、硬件平臺及操作環境千差萬別，一方面，各系統用戶之間的登陸方式、登陸介質存在很大差別，如核心業務系統登陸方式通過字符終端登陸，報表系統、網上銀行系統等系統通過網頁方式登陸，信貸管理系統通過客戶端登陸，登陸介質也分為密碼登陸、網銀ukey登陸、指紋登陸等。另一方面，由于各系統有不同的柜員及相應的權限控制，必然產生一個實際的用戶需操作多個業務系統，管理多個系統的用戶及相應的身份驗證方式．

二、設計思路

(一)指紋識別系統在農村信用社內部身份認證體系中的應用

1．將活體指紋識別技術、計算機DSP處理技術、通信技術與業務仿真技術相結合，利用人體指紋的唯一性與不可偽冒性，實現操作員身份和操作員人體的一一對應，可以通過對指紋的事先保存與被鑒別對象的指紋進行對比，驗證其真實身份。指紋識別技術一般分為指紋登記和指紋識別兩個部分。其中，指紋登記過程是指初次采集指紋并通過計算機生成供識別的指紋特征，存放于指紋特征庫(或者IC卡等存儲介質)中。而指紋識別過程，是指采集、提取用戶的指紋特征，將待驗證特征與指紋記錄中的指紋特征進行對比，得出比對結果的過程。對各個獨立的應用系統，要求統一用戶代碼，每一用戶代碼各自對應一套指紋認證。同一用戶代碼用于登錄不同業務系統。操作員身份識別采用指紋認證方式，避免采用卡，密碼等認證方式和介質。操作員登陸只需輸入操作員代號，并在指紋儀掃描指紋通過認證后即可登陸各自系統。無指紋或指紋特征不明顯的系統設置設為特殊人群，在輸入操作員代碼后，統一身份認證平臺通過識別操作員身份后采用特殊認證模式，跳過指紋認證，由各自系統密碼認證通過。

2．操作員權限設置由各自系統自行分配，統一身份認證系統主要用來識別操作員身份，各系統按需求決定是否對操作員各自業務權限進行控制。

3．用戶權限設定可在各業務系統內設定，也可在統一身份認證平臺進行進一步設定，起總控制操作員訪問權限的作用。一方面需要各系統自行管理各自操作員權限，另一方面是個建立權限控制接口規范，與各系統之間建立接口標準與控制約定，一并控制操作員權限。

(二)指紋識別方式在銀行業務柜員身份認證方面的優勢

1．指紋信息建檔——實現了人員的統一管理。所有業務操作人員的指紋被注冊在數據庫中，與每個人的姓名、身份級別、聯系電話等基本信息統一放在數據庫中，實現了對人員的統一管理、控制了人員擅自調崗、密碼泄露所造成的責任不清問題。很難偽造和破譯。由于指紋識別具有上述特點，識別指紋時必須將真正的手指與指紋采集頭接觸，因此偽造、假冒、攻擊、破譯指紋的難度就變得相當大。例如，對于一個3位數字密碼，有10×10×10=1000種組合，破解概率為千分之一，入侵者可以很容易地通過嘗試所有的組合而破解，而你很難找1000個人 (誤識率為千分之一)為你的企圖入侵提供指紋(即便是100個人將10個手指頭全部用上)。以現有的指紋識別系統為例，其誤識率小于十萬分之一，能儲存數十萬個指紋，其破譯難度可想而知。

2．指紋簽到/授權——把住系統入口安全。所有業務人員進行系統簽到、授權等操作必須經過指紋驗證身份，杜絕了以往用其他人員身份登錄系統的現象。嚴格把住系統入口，把以往出現案件后的事后追究變為事前防范。

3．指紋授權、交叉授權——杜絕了自己給自己授權現象。安全性能高，責任分明。指紋是相對固定的，很難發生變化，可以保證用戶安全信息的長期有效性。系統通過對柜員本人生物特征的識別來確認身份的合法性，實現了“認人不認密碼”的認證方式指紋系統實現了真正的對人的管理，而不是對物的管理，這一點在“交叉授權”中體現的最為明顯。采用“交叉授權”功能，有效解決了授權人臨時有事外出的問題。既符合實際工作現狀，又滿足了業務的要求，實現真正意義的三級權限分工，做到權責分明，防止抵賴現象發生。

4．符合現行的銀行柜員管理制度。指紋身份認證系統相對獨立、操作簡便，不會因為使用指紋認證而加大商業銀行的業務管理難度。系統實施簡便，對銀行原有業務、應用軟件等所作的相應改造較小，可有效保護銀行原有的硬件投資，快速實現與業務系統的平滑聯接，從而在內部建立起一個安全、穩定、高效、靈活、方便的內部身份認證體系。

5．經濟性。指紋識別得益于現代電子集成制造技術和快速而可靠的算法研究。只要建立一個指紋認證中心，既可以面向銀行內部柜員等需要進行身份認證的系統接入，又可以面向客戶進行指紋認證，實現了真正的資源共享，大大提高系統使用的經濟效益。

三、具體實現

(一)整體框架

統一認證平臺系統采用B/S模式與C/S模式相結合的系統架構。其中用戶指紋采集、管理等功能通過B/S模式實現，指紋管理員通過登陸web管理頁面對用戶的指紋等相關信息進行維護;指紋驗證則通過C/S模式實現，用戶登陸應用系統時，通過應用系統實時采集柜員指紋特征并將其上傳到指紋服務器進行指紋驗證，應用系統為客戶端、指紋服務器為服務端。

指紋系統服務器操作系統采用Windows2003 Server，數據庫服務器采用INFORMIX數據庫，指紋服務器上還需安裝Apache Tomcat，實現WEB方式訪問．指紋認證服務和數據的傳輸通過銀行內部局域網實現，客戶端只需要安裝瀏覽器程序客戶端，不需要安裝數據庫等其他軟件。

(二)系統拓撲圖如下所示。

(三)實施方案

規范和統一各業務系統操作用戶代碼，完成用戶指紋采集，操作員登錄各自系統的操作員代號在各系統必須唯一，此代號必須被統一身份認證系統識別，以確定該操作原身份及是否特殊人群，其次是是否強制指紋校驗和是否采用密碼識別。

規范各業務系統登陸流程，細化柜員權限，按接口規范設定統一身份認證系統與各業務系統的權限設定，控制登陸風險。

修改各業務系統的登錄驗證界面，采用統一身份認證系統提供的指紋系統接口函數，通過調用指紋驅動，發出驗證指令通過網絡通訊采用統一身份認證系統進行校驗，在校驗通過成功返回后可正常登陸。

四、實現目標

統一身份認證平臺系統是一個專門為解決各種信息化系統的統一用戶管理，統一用戶登陸等而建設的系統，為此該系統的建設目標主要包括如下幾個方面:

第一，統一用戶登陸管理。包括指紋登陸管理及特殊人群密碼登陸管理等多種身份認證機制。

第二，統一管理用戶授權機制。增加統一認證平臺用戶與各應用系統用戶的對照，實現用戶驗證由認證平臺實現，權限管理由統一認證平臺與各自應用系統共同控制。

第三，登陸系統監控及統計，對用戶權限進行系統外控制。

第四，用戶信息管理，包括用戶信息的增加、修改、刪除等。

五、應用前景

為了有效地控制內部操作員對信用社內部資源及服務的合法訪問，確保系統和資金的安全，信用社內部必須對傳輸的數據進行加密，并對網絡實體和用戶身份加以有效的認證。由于農村信用社多數網點分布于鄉鎮農村，鄉鎮網點業務人員基本文化水平較低，對業務操作風險性的警惕性，自覺性受限，導致農村信用社一直是各金融系統中風險高發地帶，近年來，經濟案件屢禁不止，隨著信息化建設的不斷深入，案件高發態勢得到有效控制，但也出現了內部工作人員利用現有業務系統中身份驗證和授權驗證機制上存在的漏洞，實施計算機犯罪的惡性事件，不僅給銀行造成了巨大的經濟損失，同時也對農村信用社的聲譽造成了非常惡劣的影響。

傳統的柜員ID號+密碼、磁卡(IC卡)認證都存在管理漏洞，杜絕了以竊取密碼或卡為主要手段的內、外部犯罪的可能性已成為農村信用社基層網點業務改造的當務之急。

江西省農村信用社自綜合業務系統在全省92家成員行社推廣以來，采用的是“柜員權限卡+密碼”的驗證方式，它雖較傳統的“柜員號+密碼”的驗證方式有了較大的改進，但是依然存在使用中的“飛卡現象”和“越權現象”，柜員權限卡易被盜用和仿制、密碼易泄漏的問題依然存在。為此，江西省農村信用社制定了嚴格的管理措施，檢查“柜員權限卡”是否按規定使用和保管，已經成為管理和安全防范的重要工作。但管理制度要求的“嚴密與規范”與一線工作的“方便與高效”，在客觀上存在矛盾，導致某些授權人員在業務繁忙或因事離崗時，放松了對權限卡的管理和使用，可能造成權限卡使用中的安全隱患。

統一身份認證系統盡量避免了實物授權及密碼認證方式，結合應用系統特點，可在需要監管的應用系統上加入統一身份認證的功能，起到系統內和系統外權限控制和監控。

統一身份認證系統在江西省農村信用社推廣以后，用戶管理難度大大降低，柜員權限卡相關的安全隱患基本得到杜絕，操作用戶對各系統的登陸、訪問更為簡便、安全、快捷、受到用戶的一致好評，同時進一步優化了業務操作流程，也為防范了農村金融業務操作風險作出了突出的貢獻。

[1]余勇，林為民，何軍．電力數字證書服務系統的設計及應用[J]．電力系統自動化，2005，(10)．

[2]李棟．如何構建安全的電子商務網站[J]．計算機安全，2005，(6)．

[3]劉微微，程海蓉．信息安全專題介紹之二:公鑰基礎設施PKI/CA認證安全體系[J]．計算機輔助工程，2002，(1)．

[4]肖凌，李之棠；公開密鑰基礎設施(PKI)結構[J]．計算機工程與應用，2002，(10)．

[5]楊波，王常吉，段海新，吳建平．基于PKI/PMI的校園網安全單一登錄方案 [J]．計算機工程與應用，2004，(36)．

[6]常青，張卡，張其善．基于智能卡的CSP的設計與實現[J]．計算機工程與應用，2005，(5)．

[7]柯敏毅，歐陽勇，溪利亞．PKI結構下公文交換系統安全體系研究 [J]．計算機與數字工程，2004，(6)．