实名制网络中动态认证体系的研究

郭剑锋 郝玉军

摘要：本文基于动态认证技术、手机实名制及移动终端的特性，提出了一套动态的认证体系，可屏蔽网络的接入模式、接入方式等因素，实现对访问者的身份认证，重点解决网站类应用在开放式访问体系下被恶意攻击的隐患，使得网站类应用的访问可控，同时也可推动手机实名制的进一步发展。

关键词：动态认证体系;手机实名制;接入模式

现状描述

随着网络时代的到来，网络化已经成为企业信息化发展的大趋势。人们在享受信息化带来的众多好处的同时，也面临着网络安全问题带来的挑战，特别是开放式访问的网站系统、移动终端的大量使用，使得解决网络信息安全问题成为当务之急。为了解决这些安全问题，各种安全机制、策略和工具被研究和应用，但很多工具的使用都只提供了部分的安全功能，如防火墙仅仅提供了边界的防护及地址转换的功能、IDS仅仅负责入侵的监测和审计等、WAF仅仅针对web的访问进行深度检查和防护，而数字签名等系统仅仅是对访问的双方进行身份认证，但都无法实现实名制的访问，也即对攻击的攻击源的识别、身份的确认、预警等无法实现，因此造成了很多的系统被肆无忌惮地恶意攻击。

这些安全隐患主要可以归结为以下几点：①每一种安全机制都有一定的应用范围和应用环境;②安全工具的使用受到人为因素的影响;③系统的后门是传统安全工具难以考虑到的地方;④黑客的攻击手段在不断地更新;⑤无法实名制进行审计、告警和跟踪。

动态认证的描述

很多金融系统提供的个人银行等功能，在认证中很普遍地使用了动态的认证系统，借助目前移动终端的大量使用，采用了手机的动态认证码的方式，不仅陕捷、方便，同时在系统内部将手机与系统账户绑定，提供了安全且有时效性的动态安全认证。但在目前的重要网站类应用中，仅仅采用金融系统中使用的动态认证方式还无法完全满足安全的访问要求，网站类访问一般不会预先绑定相应的被访问者的手机号码，而手机号码的实名制也刚刚开展，还有很多的手机号码不是实名制存在。关键的问题是，在手机的短信认证过程中还会产生相应的信息费，如果访问量很大，信息费就会很高，因此无法大规模应用。

而如果将“手机实名制+即时所在地+IP地址归属地”联合认证，通过手机的实名制绑定访问者的身份，通过即时所在地的检查进行所在地和IP地址的联合检查，确定访问者的所属地，则能为系统的审计和被冒用的检查提供相应的信息。手机实名制需要通过相应的手机实名制系统进行登记，将所有的访问者通过实名制进行管理，对PC端进行实名制的绑定，同时也对移动终端进行绑定;即时所在地的查询就是通过绑定的手机对访问者进行即时所在地的检查，同时检查被访问的IP所在地同即时所在地是否一致，最后基本确定谁在哪里进行的访问，这对很多业务系统的使用，如电子政务的网上办事大厅、民心网的网络投诉受理、BBS系统的网络跟帖的身份认证等都有相当大的帮助。

采用动态认证体系

通过上面的功能要求，可采用下述的动态认证体系进行开放式网络的访问认证。目前，网络上的各种网站类的访问很多都是无限制的、完全开放的。开放的访问随之而来的是安全问题突出，应用的访问不可控，因此有必要改变现在的完全开放式访问模式，增加相应的控制和认证层面，实现访问安全可控。系统架构如图1所示。

增加相应的控制层面，实现安全策略中心的制订、用户接入的实名制认证等功能，使得原来开放式的访问通过控制层面进行授权，那就是什么地区的用户、什么类型的用户可以访问什么样的权限。

1.认证流程

要实现上述三层的系统架构，重点需要建设相应的控制层面，制订统一的访问接口。认证的过程包括客户端到服务器的认证、服务器到手机实名制中心的认证以及手机实名制与客户端的手机的互动过程（如图2）。

用户通过终端访问某个网站类应用，在第一次访问时服务器会给用户推送一个认证的页面，需要用户输入自己的手机号码及当前所在地（此部分可以作为选择项），发送给服务器，服务器根据用户的手机号到手机实名制中心进行手机的实名制信息查询，同时对用户当前的位置信息进行查询。如果该手机未到实名制中心登记，那么首先需要登记成功才能进一步操作，如果已经登记了，那么手机实名制中心将用户的当前所在地信息返回给服务器，服务器应用该信息，比對目前用户的上网IP是不是在该用户当前的所在地。如果比对不成功提示重新正确输入相应的信息，如果三次都错误，那么将该用户列入可疑名单，同时向告警中心发送相应的告警;如果比对成功，服务器向手机实名制中心发送相应的验证码，手机实名制中心将向相应的用户推送相应的验证码，用户最后输入该验证码实现网络的正常访问。在手机实名制中心和手机用户间，需要手机上安装相应的手机实名制中心的APP，实现用户跨区变动实时更新手机实名制中心的位置信息，也负责接收手机实名制中心下发的相关认证信息等。

2.相关说明

用户访问某个网站类应用时，首先发起实名制的认证，如果终端的IP不跨区变化，那么不需要重新进行认证，直至客户端退出该网站应用的访问页面。手机实名制中心为用户免费提供相应的手机客户端软件，同时，手机安装相应的软件。在位置发生变化时，将相应的手机号码、位置信息发送给手机实名制中心，手机实名制中心也提供给相应的API接口，对每个网站类应用的ICP进行唯一性的认证，确保每个ICP都是唯一的接人号码，且可实施强制的认证过程。

动态认证的相关问题研究

1.优点

①可通过手机实名制实现Web访问的实名制，便于审计、预警，规范网络访问行为，特别是针对可上传的各类业务，都可以起到预警的功能，尽可能地避免虚假、信息的发布;

②可进行属地化管理，如某个地市的政府部门的网上办事大厅的在线业务，就可以限制只能是本地的用户访问、业务办理，对异地的接入限定相应的访问权限，避免网络的恶意攻击;

③可以对国外用户的一些访问进行限制，如没有国内手机实名制的用户，可限定只能访问最简单的静态网页，无法实现数据的上传，避免被国外的组织恶意攻击、被利用等;

④可进一步完善手机实名制的体系，为更多的业务提供实名制的验证功能;

⑤建立手机实名制认证系统，可以一次认证多系统接入，避免重复的认证;

⑥通过智能手机APP的互动，避免大量产生短信信息费的问题;

⑦可以解决目前大量免费的无认证接入终端的认证问题，如大量WIFI的无限制接入，屏蔽了接入的模式等;

⑧实名制访问后，在访问初期的页面就可以进行提示，起到了预警、震慑的作用;

⑨对扫描类攻击、网络爬虫的使用等都会有相应的限制，可有效地减少被网络上泛滥的各种免费的渗透攻击工具的攻击。

针对移动终端类的访问，在手机端的手机实名制中心的APP可以实现手机号码及当前所屬的检查，这样可以不进行相应的认证。

2.不足及相应对策

①无智能手机的用户的认证——针对此类用户，在Server端可提供无需认证的免费页面，无法实现交互类业务;

②针对国外的用户访问，无法实现手机实名制——可通过国内的代理用户实现，这就要求代理用户必须实名制，同时代理的软件可以提供源IP，且对国外的IP进行实时监控和审计;

③对于国内的计算机被国外某些组织当成“肉鸡”利用的现象，一旦认证成功后访问相应的Server，那么被控制的“肉鸡”就可以攻击相应的Server——可以通过手机实名制中心给手机端的APP推送相应的告警消息，及时检查就可以避免更多的攻击发生。手机实名制后，如果个人不重视自己的计算机的安全，被利用作为“肉鸡”攻击了相应的服务器，也要连带承担相应的责任，因此这也可以大大提高每个人的安全意识。如果能够同电信运营商进行合作，对相应的“肉鸡”网络进行管控，通过SDN技术实现自动的安全策略限制，可以有效地解决目前大量被控的“肉鸡”问题。

④手机被冒用的问题——由于有验证码的输入过程，只有正确的手机号码才能收到相应的验证码，才能通过相应的验证码进行正常的网络访问，因此，只要将实名制的手机号码和APP的ID号唯一绑定，同时进行加密传输，就可以避免相应的冒用问题。

⑤手机实名制不准确的问题——在手机实名制中心无登记的用户，首次访问要提示用户进行登记，如果无法进行实名制登记，即手机的机主姓名同手机号码不是实名的，那么也可以通过该应用进一步完善和确认手机实名制，减少手机非实名制的问题。

3.政策层面的考虑

网络访问实名制的前提是手机实名制的建立和完善，国家需要建立相应的手机实名制中心，同各个电信运营商合作，实时进行更新，这需要国家层面相应政策、资金、技术的支持才能实现。

该认证体系结合了手机实名制的体系，通过智能终端的普及和应用，将移动终端、固定终端结合，屏蔽了网络的接入模式、接入方式和接入地等因素，无论是免费的无任何认证的WIFI接入点，还是通过认证的家庭的ADSL、光纤、EPON接入，抑或是某个单位使用防火墙的NAT地址变换后的接入，都可以实现终端的实名制认证，为快速定位问题的人、攻击等事件提供了可能，为全网的可管、可控提供了基础，因此，建设手机实名制中心应作为国家的一项基础工程开展，类似地DNS的架构体系也可以在现在的DNS的基础上进行功能扩展实现。