USB KEY 身份認證簡(jiǎn)介
目前常見(jiàn)的身份認證方式主要有三種，最常見(jiàn)的是使用用戶(hù)名加口令的方式，但這也是最原始、最不安全的身份確認方式，非常容易由于外部泄漏等原因或通過(guò)口令猜測、線(xiàn)路竊聽(tīng)、重放攻擊等手段導致合法用戶(hù)身份被偽造；第二種是生物特征識別技術(shù)（包括指紋、聲音、手跡、虹膜等），該技術(shù)以人體唯一的生物特征為依據，具有很好的安全性和有效性，但實(shí)現的技術(shù)復雜，技術(shù)不成熟，實(shí)施成本昂貴，在應用推廣中不具有現實(shí)意義；第三種也是現在電子政務(wù)和電子商務(wù)領(lǐng)域最流行的身份認證方式--基于USB Key的身份認證。
USB KEY結合了現代密碼學(xué)技術(shù)、智能卡技術(shù)和USB技術(shù)，是新一代身份認證產(chǎn)品，它具有以下特點(diǎn)：
1、 雙因子認證
每一個(gè)USB Key都具有硬件PIN碼保護，PIN碼和硬件構成了用戶(hù)使用USB Key的兩個(gè)必要因素，即所謂"雙因子認證"。用戶(hù)只有同時(shí)取得了USB Key和用戶(hù)PIN碼，才可以登錄系統。即使用戶(hù)的PIN碼被泄漏，只要用戶(hù)持有的USB Key不被盜取，合法用戶(hù)的身份就不會(huì )被仿冒；如果用戶(hù)的USB Key遺失，拾到者由于不知道用戶(hù)PIN碼，也無(wú)法仿冒合法用戶(hù)的身份。
2、 帶有安全存儲空間
USB Key具有8K-128K的安全數據存儲空間，可以存儲數字證書(shū)、用戶(hù)密鑰等秘密數據，對該存儲空間的讀寫(xiě)操作必須通過(guò)程序實(shí)現，用戶(hù)無(wú)法直接讀取，其中用戶(hù)私鑰是不可導出的，杜絕了復制用戶(hù)數字證書(shū)或身份信息的可能性。
3、 硬件實(shí)現加密算法
USB Key 內置CPU或智能卡芯片，可以實(shí)現PKI體系中使用的數據摘要、數據加解密和簽名的各種算法，加解密運算在USB Key內進(jìn)行，保證了用戶(hù)密鑰不會(huì )出現在計算機內存中，從而杜絕了用戶(hù)密鑰被黑客截取的可能性。支持RSA，DES ,SSF33和3DES算法。
4、便于攜帶，安全可靠
如拇指般大的USB Key非常方便隨身攜帶，并且密鑰和證書(shū)不可導出，Key的硬件不可復制，更顯安全可靠。
USB Key身份認證系統的應用方式：
1、基于沖擊-響應的雙因子認證方式
當需要在網(wǎng)絡(luò )上驗證用戶(hù)身份時(shí)，先由客戶(hù)端向服務(wù)器發(fā)出一個(gè)驗證請求。服務(wù)器接到此請求后生成一個(gè)隨機數并通過(guò)網(wǎng)絡(luò )傳輸給客戶(hù)端（此為沖擊）?？蛻?hù)端將收到的隨機數通過(guò)USB接口提供給ePass，由ePass使用該隨機數與存儲在ePass中的密鑰進(jìn)行MD5-HMAC運算并得到一個(gè)結果作為認證證據傳給服務(wù)器（此為響應）。與此同時(shí)，服務(wù)器也使用該隨機數與存儲在服務(wù)器數據庫中的該客戶(hù)密鑰進(jìn)行MD5-HMAC運算，如果服務(wù)器的運算結果與客戶(hù)端傳回的響應結果相同，則認為客戶(hù)端是一個(gè)合法用戶(hù)。
密鑰運算分別在ePass硬件和服務(wù)器中運行，不出現在客戶(hù)端內存中，也不在網(wǎng)絡(luò )上傳輸，由于MD5-HMAC算法是一個(gè)不可逆的算法，就是說(shuō)知道密鑰和運算用隨機數就可以得到運算結果，而知道隨機數和運算結果卻無(wú)法計算出密鑰，從而保護了密鑰的安全，也就保護了用戶(hù)身份的安全。
2、基于數字證書(shū)的認證方式
隨著(zhù)PKI技術(shù)日趨成熟，許多應用中開(kāi)始使用數字證書(shū)進(jìn)行身份認證與數字加密。數字證書(shū)是由權威公正的第三方機構即CA中心簽發(fā)的，以數字證書(shū)為核心的加密技術(shù)，可以對網(wǎng)絡(luò )上傳輸的信息進(jìn)行加密和解密、數字簽名和簽名驗證，確保網(wǎng)上傳遞信息的機密性、完整性，以及交易實(shí)體身份的真實(shí)性，簽名信息的不可否認性，從而保障網(wǎng)絡(luò )應用的安全性。
PKI即公共密鑰體系，即利用一對互相匹配的密鑰進(jìn)行加密、解密。每個(gè)用戶(hù)擁有一個(gè)僅為本人所掌握的私有密鑰（私鑰），用它進(jìn)行解密和簽名；同時(shí)擁有一個(gè)公開(kāi)密鑰（公鑰）用于文件發(fā)送者加密和接收者驗證簽名。當發(fā)送一份保密文件時(shí)，發(fā)送方使用接收方的公鑰對數據加密，而接收方則使用自己的私鑰解密，這樣，信息就可以安全無(wú)誤地到達目的地了，即使被第三方截獲，由于沒(méi)有相應的私鑰，也無(wú)法進(jìn)行解密。
用戶(hù)也可以采用自己的私鑰對信息進(jìn)行加密，接收者用發(fā)送者的公鑰解密，由于私鑰僅為用戶(hù)本人所有，所以就能夠確認該信息確實(shí)是由該用戶(hù)發(fā)送的，此過(guò)程稱(chēng)之為數字簽名。
USB Key作為數字證書(shū)的存儲介質(zhì)，可以保證數字證書(shū)不被復制，并可以實(shí)現所有數字證書(shū)的功能。
USB Key在電力行業(yè)的應用
電力行業(yè)是國民經(jīng)濟的基礎產(chǎn)業(yè)，是關(guān)系到國計民生的行業(yè)。電力行業(yè)的信息化從 60-70年代開(kāi)始的電廠(chǎng)自動(dòng)化監控開(kāi)始，到現在已經(jīng)有30多年。隨著(zhù)電力行業(yè)的不斷發(fā)展，電力的關(guān)鍵業(yè)務(wù)不斷增長(cháng)，因此信息化應用也不斷增強，網(wǎng)絡(luò )系統中的應用越來(lái)越多。同時(shí)，隨著(zhù)Internet技術(shù)的發(fā)展，建立在Internet架構上的跨地區、全行業(yè)系統內部信息網(wǎng)開(kāi)始逐步建立，網(wǎng)上應用著(zhù)各種電力業(yè)務(wù)及辦公系統。顯而易見(jiàn)，電力信息網(wǎng)絡(luò )系統的網(wǎng)絡(luò )安全問(wèn)題愈來(lái)愈顯得重要。
隨著(zhù)電力行業(yè)全面的信息化，信息安全也成為了當今不可忽視的課題。為了保證信息安全，決策者在網(wǎng)絡(luò )建設之初，常常就會(huì )不惜重金花在購買(mǎi)防火墻，防病毒軟件，等相關(guān)的軟硬件設施。這一切措施旨在保護電力信息系統的數據安全，所謂安全，就是指有相應權限的人員可以接觸和操作相應的數據，任何人無(wú)法接觸到未被授權給他的數據。然而，信息系統中的數據終歸要為人所用，如果有人偽造了相應權限人的身份，那么投入再多的安全防護體系一樣形同虛設。因此用戶(hù)身份認證系統是信息安全體系的第一道關(guān)。
USB KEY在電力企業(yè)實(shí)現的功能分析：
1． 企業(yè)內網(wǎng)
☆ Windows智能卡登陸
☆ 企業(yè)OA
☆ 文件、硬盤(pán)等數據加密
☆ 郵件加密
☆ 數字簽名
2． 電力專(zhuān)網(wǎng)
☆ SSL VPN（虛擬專(zhuān)用網(wǎng)）
☆ 電子印章
☆ 數字證書(shū)
☆ 數據簽名
3． 互聯(lián)網(wǎng)
☆ 網(wǎng)上身份認證
☆ 訪(fǎng)問(wèn)安全站點(diǎn)
☆ 郵件安全與簽名
身份認證技術(shù)能夠廣泛應用于電力企業(yè)的多種應用系統，如電力OA系統、電力營(yíng)銷(xiāo)業(yè)務(wù)系統、電力客戶(hù)服務(wù)系統、電力銀行聯(lián)網(wǎng)系統、電力網(wǎng)上營(yíng)業(yè)廳系統等。通過(guò)使用身份認證技術(shù)不僅使得企業(yè)的安全認證得到有效保障，而且極大的提升了企業(yè)的管理效率。
