探讨高弹性可扩展的云服务平台身份鉴别安全防护的一种实现*

王宏君 高新村 王志鹏 金涛

北京神舟航天软件技术有限公司 北京 100094

引言

高弹性可扩展的云服务平台汇聚了大量工业应用资源，向注册用户提供在线应用资源及一体化服务。平台具备支持高并发、弹性扩展的线上处理云服务能力。平台提供工业应用创意设计、建模工具集以及其他第三方服务资源。平台采用一系列的防护措施，用于工业设备、设备网络、云服务平台、业务数据的安全防护[3]。

本文重点介绍平台中身份鉴别安全防护[4]的要求、设计、实现和评测的情况。

1 身份鉴别要求

身份鉴别安全防护是平台基础的安全防护，一般包括登录控制、用户标识和口令、认证过程和审计日志四个方面。

1.1 登录控制

平台应具备安全登录场景，防止用户信息泄露。首次登录时，提示用户重新设置密码；登录失败，在达到非法登录次数后自动结束会话或者自动退出，在一定时长间隔内拒绝重新登录；登录超时后，系统自动注销。平台具备单点登录能力，能够跨应用登录。平台具备双因子认证能力，例如用户名和密码、二维码、生物特征[2]等方式。

1.2 用户标识和口令

平台应具备用户身份标识唯一检测能力，避免用户标识重复。口令应具备一定的复杂度，口令字符长度可配置，口令组成包含大写字母、小写字母、数字、特殊字符中至少两种字符的组合。口令应定期更换，口令更换周期可配置。口令修改或找回，应具备验证机制，避免被他人篡改，造成身份冒用。……