1          引言

随着企业信息化的不断发展，越来越多的应用在企业中构建和运行，然而，截止现在大多数企业应用都是采用传统的账号和密码进行系统认证登录，对于系统使用者来说，需要记住很多系统的密码，并且由于国家在信息化安全方面的严格要求，对于很多交易类的系统在信息安全方面的要求尤为严格，因此，用户需要记住很多系统的复杂密码来登录登录系统，并且需要按要求进行密码过期修改和提醒，对于管理员来说，必须承担保护密码的责任，一旦密码泄漏，对企业应用的业务和信誉都是巨大打击。另外目前网络上存在大量的进程盗号木马、键盘记录木马、远程控制木马、会话劫持木马、钓鱼程序等盗号程序，大量的账号密码丢失，造成了非常大的危害。因此，企业需要解决如下问题：

(1)账号密码使用安全；

(2)账号密码无法被盗取；

(3)服务器账号密码库安全；

(4)简捷快速安全登录；

(5)内外网数据安全隔离。

基于以上问题，本文提出了一种基于企业内外网场景的非涉密登录关键技术“身份口令扫码身份识别”复合技术，克服了现有技术的困难，避免在一个平台下面同时获取帐号、密码问题，在输入过程中出现帐号密码明文的问题，在使用过程中无需用户输入用户账号和密码，通过手机扫描+动态数字方式验证，一键完成认证登录，更加快捷、安全的登录企业用。

2          传统无密登录技术分析

目前比较传统的无密码登录主要有手机动态口令和Email一次性登录两种方式，虽然也能够解决使用账号和密码登录问题，但还是存在不简捷，安全性问题，先对两种无密码登录方式进行分析，最后说明不使用的原因。

2.1     手机动态口令

手机动态口令是一次性有效的密码安全防护措施，利用手机作为随机密码生成或者接受终端，用户在登录应用系统时候，输入手机上的生成或者接收到的密码不停变化的随机密码，提升了用户身份认证或者交易的安全，目前在网银、第三方支付、证券、电信、电子政务、企业等领域使用

2.2     Email一次性登录

用户登录的时候，只显示一个Email地址输入框,用户输入Email地址以后，应用就向该地址发出一封邮件，里面包含了一个登录链接。用户点击这个链接，就证明用户是这个邮箱的主人，身份有效，从而实现登录,登录链接只在一段时间内有效，但是可以通过cookie，让用户长时间处在登录状态，如果cookie失效，则重新向用户邮箱发出另一个登录链接即可。

由于整个认证过程，都通过电子邮件完成，实现"无密码登录"。

缺点分析：

手机动态口令：用户首先需要输入要接受动态口令的手机，然后在界面输入手机收到的动态密码，在整个过程中虽然保证了信息的安全性，但是登录过程比较繁琐，需要两次输入，达不到快捷登录系统的要求。

Email一次性登录：用户需要在登录时输入用户邮箱，然后进入邮箱点击登录链接，认证过程依赖三方邮件服务系统，另外也需要完成一次用户输入并且需要进入邮箱，也不能够达到安全快捷、可靠的无密码登录。

    因此本文第三章节提出了一种更加安全快捷的“身份+二维码”无密码登录技术。

3          “身份口令扫码身份识别”技术分析

本设计通过一次用户绑定，扫描二维码快速完成登录，用户在使用二维码登录之前，首先下载手机APP，通过手机APP扫描二维码绑定用户，确认用户唯一身份，保证用户的有效性。

其中还存在一个关键技术，就是要解决企业内外网信息交换问题，扫描外网进入外网企业应用，扫描内网进入内网企业应用，通过路由策略判断用户扫描的信息进行判断。

3.1    关健技术点

(1)如何将用户在APP上的身份与内网身份进行绑定?

自助绑定：APP端要求用户注册，即需要用户登录APP后进行扫码。内网身份提供绑定功能，用户在内网登录后，使用app扫用于身份绑定的二维码即可;通过初始化数据，完成绑定;自动匹配，通过手机号码、姓名自动匹配，结合短信验证码

(2)如何穿透内外网

可通过隔离装置，将所有请求转换成sql数据，再由内网身份平台处理后完成

(3)如何保证数据安全

通过身份中转器，用户的内网帐号信息及实名用户信息不需要在dmz区、外网保存

3.2    安全设计

(1)边界安全

互联网与外网边界：通过统建外网安全交互平台，实现移动应用的身份认证、访问控制、传输加密以及应用过滤。

外网与内网边界：通过统建安全隔离装置，基于数据库代理访问实现内外网数据安全交互。

(2)应用安全

通过移动互联支撑平台提供的第三方安全加固技术，实现客户端APP应用防逆向、防篡改、反调试保护。免密APP应用-服务端接口交互采用安全token认证，对交互数据长度类型进行安全校验。

 (3)主机和网络安全

功能按三级等保要求设计，操作系统、Web中间件、数据库进行安全扫描和基线配置核查，修复系统漏洞和配置不合规项

(3)数据安全

移动客户端不存储企业机密信息和用户隐私数据，重要数据传输采用SSL协议结合SM2、SM3、SM4国密算法进行加密传输和数字签名。内-外网间仅交互用户关联信息以及具有时效性的会话信息

(4)业务安全

通过用户信息脱敏设计，APP帐号与企业内网为两套完全独立的帐号和认证体系，且手机APP不存企业内网的帐号、口令信息。并通过内网认证用户绑定，进行APP帐号和内网帐号关联。通过用户登录行为分析，即时发现帐号访问异常

4           “身份口令扫码身份识别”技术方案

通过手机扫描二维码绑定用户身份，二维码会自动识别当前手机号码，以及增加安全密钥等信息，扫描二维码登录时，系统会自动检测手机是否绑定以及身份的合法性，通过点击手机APP的确认登录一键式登录企业应用，业务架构如图1所示：

 

图1  技术方案架构

大致步骤如下：

（1）首先个人需要下载无密码登录APP，通过扫描二维码，并且通过个人手机发送短信完成用户身份信息的绑定。

（2）用户扫描登录二维码，手机会将安全认证码以及个人手机信息通过国密加密算法发送至移动交互平台。

（3）移动交互平台根据传递过来的二维码个人信息，判断用户是扫描的内网还是外网认证服务，进行路由策略匹配。

（4）如果是扫描外网的二维码会请求外网权限平台认证服务，相反扫描内网则通过隔离装SQL穿透到内网数据库。

（5）内网认证服务通过解析读取内网数据库完成认证服务流程

（6）如果认证成功进入内网应用，认证失败，返回错误信息，通过移动APP提示用户。

 

4.1    编码过程

数据分析：确定编码的字符类型，按相应的字符集转换成符号字符； 选择纠错等级，在规格一定的条件下，纠错等级越高其真实数据的容量越小。

数据编码：将数据字符转换为位流，每8位一个码字，整体构成一个数据的码字序列。其实知道这个数据码字序列就知道了二维码的数据内容，如图2所示：

 

图2  数据编码

4.2    实现原理

个人手机APP客户端需要保证用户的安全性、快速响应，通过内置数据库SQLLite临时存放用户非重要数据，请求时首先从临时数据库查询信息，提高APP的响应时间，数据通过国密SM4加行加密存放，如图3所示：

 

图3  技术实现原理

其中移动服务端暴露服务接口提供给APP访问，采用通道加密SSL方式，对传输数据进行SM4加密，保证通道传输安全和数据安全。

为保证数据库的安全，数据库安装在内网，移动服务通过隔离装置进行SQL穿透访问内网数据库。

5          总结

本文的重点是通过唯一身份信息绑定，通过手机APP扫码，在企业信息内外网交换过程当中使用信息安全隔离装置，保证外网用户不能够直接操作内网数据库，最终形成一套“身份+二维码”穿透内外网的方案。

参考文献

[1]       http://blog.csdn.net/xcbeyond/article/details/38855069

[2]       https://wenku.baidu.com/view/26f993e0561252d380eb6e9f.html

[3]       一种通过手机进行密码认证的银行卡交易方法及系统。

[4]       罗东健.  大规模存储系统高可靠性关键技术研究[D]. 华中科技大学 2011

[5]       QR二维码相关技术的研究  2014 北京交通大学