基于OTP技術(shù)的堡壘機在不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)中的應(yīng)用

陳立彬

摘? 要：在不良資產(chǎn)營銷不斷依賴信息技術(shù)的今天，隨著新冠疫情問題常態(tài)化的出現(xiàn)，對于金融資產(chǎn)管理公司的不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)的業(yè)務(wù)連續(xù)性能力及安全可靠性等方面面臨新的挑戰(zhàn)。當(dāng)系統(tǒng)管理人員和相關(guān)的操作人員無法快速抵達現(xiàn)場的情況下，在因特網(wǎng)中建立起一條安全可靠的網(wǎng)絡(luò)通道成為解決問題的關(guān)鍵。本文基于OTP技術(shù)的堡壘機在不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)中的應(yīng)用，搭建了一條安全的網(wǎng)絡(luò)鏈接通道，并通過相應(yīng)的網(wǎng)絡(luò)安全管理手段提升了不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)的安全性，最終使系統(tǒng)管理人員能夠通過安全可靠的遠程鏈接通道來解決問題，滿足不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)日常的安全運行的需求，承載金融穩(wěn)定器的使命。

關(guān)鍵字：堡壘機;OTP技術(shù);不良資產(chǎn);網(wǎng)絡(luò)營銷系統(tǒng);

引言

在不良資產(chǎn)營銷不斷依賴信息技術(shù)的今天，隨著新冠疫情問題常態(tài)化的出現(xiàn)，對于金融資產(chǎn)管理公司的不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)的業(yè)務(wù)連續(xù)性能力及安全可靠性等方面面臨新的挑戰(zhàn)。作為金融界中不良資產(chǎn)經(jīng)營的代表公司中國長城資產(chǎn)管理股份有限公司，采取諸多先進的信息科技管理理念和技術(shù)來加強自身網(wǎng)絡(luò)安全的同時，保障不良資產(chǎn)經(jīng)營業(yè)務(wù)開展的可持續(xù)性。隨著OTP技術(shù)的日漸成熟以及在堡壘機上的應(yīng)用日益加強，基于OTP技術(shù)的堡壘機作為其中一種重要的技術(shù)手段和解決方案，能夠較好滿足中國長城資產(chǎn)管理股份有限公司對于不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)在安全管理的要求。

一、關(guān)鍵技術(shù)簡介

堡壘機技術(shù)

堡壘機，也叫做運維安全審計系統(tǒng)。是在特定網(wǎng)絡(luò)條件下使用，其目的是為了保障網(wǎng)絡(luò)和數(shù)據(jù)不受外界的入侵和破壞，它集系統(tǒng)運維和安全審計管控兩大主要功能，用于網(wǎng)絡(luò)運行中的集中報警、及時處理及事后的審計定責(zé)。 我們又把堡壘機叫做跳板機，簡易的跳板機功能簡單，主要核心功能是 4A：身份驗證 Authentication、賬號管理 Account、授權(quán)控制Authorization和安全審計 Audit。既可以用在企業(yè)外部網(wǎng)絡(luò)上，也能夠在企業(yè)內(nèi)部網(wǎng)絡(luò)上使用。

OTP技術(shù)

1.OTP技術(shù)的定義

OTP全稱叫One-time Password，也稱動態(tài)口令，是根據(jù)專門的算法每隔60秒生成一個與事件相關(guān)的、不可預(yù)測的隨機數(shù)字組合，每個口令只能使用一次，每天可以產(chǎn)生43200個密碼。OTP的同步機制目前主要有3種，分別為時間型、事件型、挑戰(zhàn)與應(yīng)答型。動態(tài)口令逐漸變?yōu)槎喾N同步類型復(fù)合的機制發(fā)展，如時間+挑戰(zhàn)與應(yīng)答型。目前，國際上OTP有2大主流算法，分別是使用AES對稱算法的RSA SecurID ，使用HMAC算法的OATH組織的算法。如果在國內(nèi)來說的話，主要采用國密的OTP密碼算法（即：國密SM1（對稱）和SM3（HASH）算法）。

2. OTP的基本認(rèn)證原理與實現(xiàn)

2.1 OTP原理

OTP 基本原理通過下面的計算公式來表示：

OTP（K，C） = Truncate（ HMAC-SHA-1（K，C） ）

根據(jù)公式可以獲知，K 表示秘鑰串;C是一個數(shù)字，表示隨機數(shù); HMAC-SHA-1表示使用 SHA-1方式來加密;Truncate 是一個函數(shù)，實現(xiàn)加密串中取出所需要的字段組成一個新的數(shù)字的功能。

2.2 OTP的基本認(rèn)證原理

OTP的基本認(rèn)證原理是通過認(rèn)證Client端和Server端的共享密鑰，通過使用同一個一次性特定密鑰對某一個時間值、或異步挑戰(zhàn)數(shù)、或者是事件計數(shù)進行加密計算，常用的有對稱算法、HASH、HMAC等算法，然后再通過比對加密后的計算值與之前的是否相同來實現(xiàn)認(rèn)證。可以做到OTP在使用后立即作廢，一般情況下由6-8個數(shù)字組成一個OTP，提高了使用的便捷性，具有良好的系統(tǒng)集成性，因此OTP技術(shù)可以應(yīng)用于Web、APP、移動終端等渠道使用。

2.3 OTP實現(xiàn)

按照前文所述，根據(jù)OTP基本原理，目前可以采用多種編程語言來實現(xiàn)OTP技術(shù)，現(xiàn)以JAVA為例，實現(xiàn)OTP的代碼如下：

運行后的結(jié)果如下：

3. OTP與常用認(rèn)證技術(shù)比較

當(dāng)前網(wǎng)絡(luò)信息系統(tǒng)中常用的認(rèn)證技術(shù)主要為六種。一是USBKey認(rèn)證技術(shù)，主要是通過申請PKI證書來實現(xiàn)認(rèn)證。二是動態(tài)口令卡認(rèn)證技術(shù)，主要是通過印刷好的密碼刮刮卡來實現(xiàn)認(rèn)證。三是動態(tài)短信認(rèn)證技術(shù)，主要通過使用短信發(fā)口令來實現(xiàn)認(rèn)證。四是IC卡/SIM卡認(rèn)證技術(shù)，主要通過使用IC卡/SIM卡芯片內(nèi)已存的關(guān)鍵信息與用戶身份相關(guān)的信息來實現(xiàn)認(rèn)證。五是生物特征認(rèn)證技術(shù)，采用獨一無二的生物特征來驗證身份，例如視網(wǎng)虹膜、面容或者是指紋等。六是OTP認(rèn)證技術(shù)，主要通過一次性動態(tài)口令生成器和認(rèn)證系統(tǒng)來實現(xiàn)認(rèn)證。

上述六種不同的認(rèn)證技術(shù)特征各有不同，現(xiàn)將其比較情況羅列如下：

通過上表的比較后發(fā)覺OTP認(rèn)證技術(shù)在某些時候具有一定的優(yōu)勢。

二、長城資產(chǎn)不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)現(xiàn)狀

中國長城資產(chǎn)管理股份有限公司（以下稱“長城資產(chǎn)”）誕生于2016年12月11日，注冊資本512.3億元，由國家財政部、全國社?；鸷椭袊藟酃餐l(fā)起設(shè)立。作為五家國有金融資產(chǎn)管理公司之一，主要任務(wù)是收購、管理和處置國有銀行剝離的不良資產(chǎn)。自公司創(chuàng)辦以來，先后經(jīng)營和處置了農(nóng)行、工行和其他商業(yè)銀行等金融機構(gòu)及非金融機構(gòu)不良資產(chǎn)2萬多億元。

長城資產(chǎn)以經(jīng)營不良資產(chǎn)為主業(yè)，在不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)方面一直是采取與眾多互聯(lián)網(wǎng)平臺公司合作的形式，將自身需要營銷的不良資產(chǎn)掛在合作伙伴的營銷平臺上進行營銷，在自主研發(fā)上不占有優(yōu)勢。隨著新冠疫情的常態(tài)化的問題出現(xiàn)，傳統(tǒng)許多線下的營銷的工作受到場所的限制而無法正常開展，合作伙伴網(wǎng)站信息更新的及時性上也受到了不小的挑戰(zhàn)。在此情況下，長城資產(chǎn)于2021年4 月15日正式上線了自主開發(fā)的不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)--點金網(wǎng)，在線上自主營銷方面，加強了新的力量。該系統(tǒng)直接可以通過公司內(nèi)部網(wǎng)絡(luò)可以訪問后臺操作，部分?jǐn)?shù)據(jù)由內(nèi)網(wǎng)核心業(yè)務(wù)系統(tǒng)直接推送，大大提高了工作效率的同時，也為長城資產(chǎn)增強自身核心競爭力助力。

三、基于OTP技術(shù)的堡壘機技術(shù)的不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)設(shè)計

（一）內(nèi)部網(wǎng)絡(luò)介紹

長城資產(chǎn)內(nèi)網(wǎng)系統(tǒng)為網(wǎng)絡(luò)安全等級保護三級系統(tǒng)，由長城資產(chǎn)總部統(tǒng)一規(guī)劃，32家分公司和9家控股子公司負(fù)責(zé)建設(shè)、運維和管理。該網(wǎng)絡(luò)由總部網(wǎng)絡(luò)、32家分公司內(nèi)部網(wǎng)絡(luò)和控股子公司網(wǎng)絡(luò)構(gòu)成，與外部因特網(wǎng)完全物理隔離，對外是通過專門的網(wǎng)絡(luò)與互聯(lián)網(wǎng)相連，同時參與專線連接監(jiān)管部門的相關(guān)系統(tǒng)。

（二）設(shè)計思路

本文研究了現(xiàn)有的OTP技術(shù)和OTP認(rèn)證技術(shù)的現(xiàn)狀，認(rèn)真分析了長城資產(chǎn)公司建立不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)的現(xiàn)有網(wǎng)絡(luò)情況，結(jié)合國家公安部和金融監(jiān)管機構(gòu)對于金融業(yè)務(wù)信息的系統(tǒng)的實時性、安全性和可靠性的相關(guān)要求。本系統(tǒng)的設(shè)計重點放在實時性和安全性上，設(shè)計出來的基于OTP技術(shù)和堡壘機技術(shù)的不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)的特點如下：

1.在認(rèn)證階段，為防止通訊時Server端和Client端時間同步，通過運用挑戰(zhàn)/應(yīng)答機制認(rèn)證，有效抑制密碼易受到攻擊、截獲等問題。

2.在Server端發(fā)送給Client端的信息中添加了OTP信息，使得Client能夠根據(jù)OTP技術(shù)來辨別Server的真?zhèn)?，防止偽Server對Client端進行攻擊，實現(xiàn)了Server端和Client端的OTP雙向認(rèn)證。

3.用戶登錄系統(tǒng)時，外網(wǎng)用戶先通過OTP技術(shù)認(rèn)證的VPN設(shè)備進入DMZ區(qū)后，再訪問采用OTP技術(shù)的堡壘機登錄不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)后臺，有效的隱藏了不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)后臺真實的登錄地址，加強了系統(tǒng)的訪問安全。

（三）基于OTP認(rèn)證中基于挑戰(zhàn)/應(yīng)答認(rèn)證協(xié)議的系統(tǒng)設(shè)計

1.認(rèn)證過程

長城資產(chǎn)公司的不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)基于于安全性的考慮，能通過OTP技術(shù)登錄的用戶，僅僅是一類特殊身份的用戶（例如系統(tǒng)管理人員、以授權(quán)的用戶），該類用戶只能在登錄應(yīng)用系統(tǒng)后才能進行后續(xù)操作，故該類用戶在登錄時必須通過基于OTP技術(shù)的安全通道，與認(rèn)證Server中的信息進行有效的比對后，方能登錄。其中最為主要是用戶uid唯一性、合法性的確定。

當(dāng)特定用戶在登陸長城資產(chǎn)公司的不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)，需要進行后續(xù)相應(yīng)的操作和服務(wù)時，首先就需要通過該系統(tǒng)的Client端和Server間進行挑戰(zhàn)/應(yīng)答認(rèn)證過程，該認(rèn)證過程如下圖所示：

第一步：終端使用人員進入長城資產(chǎn)公司的不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)Client端登陸界面，在登錄界面先輸入賬號和密碼，Client端通過DES算法對輸入的賬號和密碼信息進行及時加密，并將加密后的加密信息發(fā)送至Server，完成了終端使用人員登陸請求。

第二步：認(rèn)證Server得到加密后用戶登陸的信息，然后按照相對應(yīng)的DES解密算法對加密后用戶登陸的信息進行解密，如果解密出來的賬號信息在認(rèn)證Server內(nèi)是已存在的，則通過查詢以存在的賬號的隨機數(shù)Ri，根據(jù)Server內(nèi)已存的賬號和該賬號對應(yīng)的隨機數(shù)Ri按照N=OTP（賬號Uid，Ri）來算出N的值，并將N傳送給Client端的使用者;如遇到登陸輸入的賬號和密碼信息是錯誤的或者不存在，Server端就直接返回信息給Client端，并跳出“該用戶為非合法用戶。”的提示。

第三步：如果登陸Client端使用的賬號和密碼是有效的，也通過了Server認(rèn)證機制，并得到計算出來的N值。登陸Client端就需要對返回的N值進行驗證，防止偽Server向Client端發(fā)起的攻擊。若比較N出來的值是有效的，則繼續(xù)執(zhí)行，否則Client端將再次實現(xiàn)與Server進行賬號驗證。

第四步：

（1）通過OTP函數(shù)計算M值，按照公式M=OTP（Uid，pw⊙Ri）來計算;

（2）Client端利用隨機數(shù)生成的內(nèi)置程序，自動生成會話密鑰K，同時也自動生成一個隨機數(shù)Ri+1，通過新生成的Ri+1、K按照M’=OTP（uid，pw⊙Ri+1）計算出新的會話校驗符M’。

第五步：當(dāng)Server接收到來自Client端的A、B、C、D數(shù)據(jù)的值時，認(rèn)證Server根據(jù)存儲在自身的校驗符M值，對Client端發(fā)來的身份口令進行進一步驗證，詳情如下：

（1）認(rèn)證Server將M、Uid與連接相關(guān)聯(lián)，是在建立通信連接時，送認(rèn)證成功的請求;反之，立即向Client端發(fā)送認(rèn)證失敗請求，斷開相應(yīng)連接。若成功認(rèn)證后，就需要在Server端保存本次的校驗符M和隨機數(shù)的值，為了能夠有效的進行后續(xù)請求做準(zhǔn)備。

（四）系統(tǒng)的設(shè)備組成

為了有效降低通過使用OTP技術(shù)的VPN對長城公司內(nèi)網(wǎng)安全的影響，使用OTP技術(shù)的堡壘機和使用OTP技術(shù)的VPN設(shè)備釆用分層部署的方式（如部署示意圖 所示）。遠端個人Client端通過使用OTP技術(shù)的VPN設(shè)備建立起訪問堡壘機的安全通道，系統(tǒng)管理人員通過HTTP方式登錄使用OTP技術(shù)的堡壘機，并通過使用OTP技術(shù)的堡壘機跳轉(zhuǎn)到指定Server進行管理操作，以上通信過程均經(jīng)過堡壘機，從而達到隱藏內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)的目的。

（五）安全管理

在外部網(wǎng)絡(luò)通過使用OTP技術(shù)的VPN登錄內(nèi)網(wǎng)中的堡壘機后訪問不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)的后臺，實事上在一定程度上損壞了內(nèi)網(wǎng)的封閉性，為了降低由此帶來的網(wǎng)絡(luò)安全風(fēng)險，還需要完善相關(guān)的網(wǎng)絡(luò)安全管理。

1.由于使用OTP技術(shù)的VPN設(shè)備本身存在BUG、漏洞等網(wǎng)絡(luò)安全隱患，因此要嚴(yán)格執(zhí)行定期漏洞掃描機制使之常態(tài)化，及時發(fā)現(xiàn)使用OTP技術(shù)的VPN設(shè)備的系統(tǒng)漏洞并進行實時在線補丁升級，從而使具有OTP技術(shù)的VPN設(shè)備自身的網(wǎng)絡(luò)安全風(fēng)險降到最低。

2.要強化遠程Client端設(shè)備的網(wǎng)絡(luò)安全管理。個人使用的遠程Client端設(shè)備是網(wǎng)絡(luò)安全防護體系中最薄弱的一環(huán)，同時也是暴露面最大的一環(huán)。在實際網(wǎng)絡(luò)攻擊中，個人使用的遠程Client端設(shè)備經(jīng)常被黑客利用，成為黑客攻入內(nèi)部網(wǎng)絡(luò)的跳板。所以，遠程連接個人使用的遠程Client端設(shè)備要嚴(yán)格管理，按照專機專人專用的原理，減少非必要的互聯(lián)網(wǎng)訪問及應(yīng)用程序安裝。此外，遠程連接個人使用的遠程Client端設(shè)備還須安裝公司指定的防殺病毒軟件，及時更新系統(tǒng)補丁和升級防毒軟件的版本，對個人使用的遠程Client端設(shè)備進行定期查殺，保證個人使用的遠程Client端設(shè)備的安全性和可靠性。

3.要加強不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)管理人員操作的事后審計管理。針對使用OTP技術(shù)的VPNClient端設(shè)備通過互聯(lián)網(wǎng)登錄不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)后臺Server、堡壘機及網(wǎng)絡(luò)智能防火墻等設(shè)備的日志進行審計分析，重點對網(wǎng)絡(luò)連接日志、登錄日志及操作曰志進行分析，及時發(fā)現(xiàn)違規(guī)或異常操作，快速化解風(fēng)險。

四、結(jié)論

總而言之，基于OTP技術(shù)的堡壘機支持對不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)相關(guān)人員操作過程的全流程跟蹤、控制、記錄;支持精細(xì)化的對不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)安全管理訪問相關(guān)用戶的權(quán)限，支持阻斷來自內(nèi)部的高危、違規(guī)操作，從而有效的規(guī)避了不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)在運行過程中被“內(nèi)鬼”攻破的安全風(fēng)險。然而，網(wǎng)絡(luò)安全不是一蹴而就的事情，想要保障不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)服務(wù)不中斷，實現(xiàn)高可靠性、安全性，不單單靠采用基于OTP技術(shù)的堡壘機，最重要的還是規(guī)章制度和安全設(shè)備相互補充，才能不斷完善不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)的安全防護，滿足不良資產(chǎn)網(wǎng)絡(luò)營銷系統(tǒng)日常的安全運行的需求。

參考文獻

[1] 徐益強，郭小崗.基于vpn的堡壘機研究[J].中國科技信息，2016.

[2] 李杰.網(wǎng)絡(luò)安全中計算機信息管理技術(shù)的應(yīng)用[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2018（05）：7.

[3] 趙瑞霞，王會平.構(gòu)建堡壘主機抵御網(wǎng)絡(luò)攻擊[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2O10，08.

[4] 龐博.基于內(nèi)控堡壘主機的運維審計實踐[J].科技資訊，2015（15）.

[5] 成劍.基于改進型OTP方案的安全身份認(rèn)證系統(tǒng)的設(shè)計[D].電子科技大學(xué)，2012.

[6] 馬仲康.供給側(cè)結(jié)構(gòu)性改革背景下金融資產(chǎn)管理公司的經(jīng)營策略[D].華中師范大學(xué)，2017.

[7] 黃瑞濤 陳勁松. 堡壘機在醫(yī)院信息系統(tǒng)的運用[J]. 通訊世界， 2015.