用于云端、桌面登录和门禁的安全身份识别解决方案的最佳实践

　　面对云端、私有数据和设施安全日益严峻的挑战。目前，建立通用的身份验证解决方式是最理想的方式：

　　a) 支持楼宇、网络以及云端服务和资源的综合安全访问；

　　b) 支持移动密钥，可以通过智能手机或平板电脑方便和安全地访问；

　　c) 提供多重因子身份验证功能，实现最有效地威胁防护；

　　d) 能够与支持近场通讯技术（NFC）的笔记本电脑、平板电脑和手机互操作，实现最佳安全性和用户体验。

　　通用的身份验证解决方案能够保障IT和物理基础设施的安全，同时又能够作为集成解决方案的一部分，实现与传统卡和NFC设备的互操作，有多种最佳实践可以满足这些要求。

　　IT安全的最佳实践

　　最重要且最佳的实践是摒弃纯密码的身份验证，而采用密码与多重安全方法相结合。企业通常关注网络周边的安全，并在防火墙内部依赖静态密码验证用户的身份。随着威胁的多元化趋势，如高级持续性威胁（APT）、移动自组网黑客攻击和使用自带设备带来的内部风险，因此传统的方法明显不足。静态密码后患无穷，因此企业应该将增强的身份验证扩大到个人应用程序和服务器以及云端系统。

　　多重安全方法应该包括多因子身份验证、设备身份验证、浏览器保护和交易身份验证。该方法采用集成式通用身份验证平台以及实时威胁检测功能。威胁检测技术已经在网上银行和电子商务领域应用了一段时间，该技术预计可以转移到企业中，作为VPN或虚拟桌面等远程访问应用的额外安全措施。

　　双因子验证措施以前通常局限于动态口令（OTP）密钥、显示卡和其他物理设备，但是目前正在被存储到手机、平板电脑上的“软件密钥”以及浏览器密钥取代。各个组织能够使用用户的智能手机替换专用的安全密钥，普及第二个身份验证因子（“拥有的东西”），实现便利性。手机应用程序产生OTP，或者通过短信将OTP发送到手机。为了实现更高的安全性，将身份验证凭证卡存储到移动设备的安全元件上或用户身份模块（SIM）芯片上。移动密钥也可以与云端应用程序单点登录功能相结合，将传统的双因子验证与单一设备上多个云端应用程序的简化访问相融合。

　　随着身份管理转向云端，需要考虑其他关键因素。目前，关于此模式安全的探讨都集中在保障平台安全上，但随着企业将应用程序移动到云端并充分利用软件即服务（SaaS）的模式，在多个云端应用程序中配置和撤销用户身份，同时确保安全、顺畅的用户登录，解决这些挑战至关重要。此外，本行业需要定义用于管理和支持自带设备（BYOD）环境中大量的个人手机的最佳实践。从个人设备到公司网络或云端应用程序的身份验证将成为一项关键要求。在保护企业数据和资源的同时，保障BYOD用户的个人隐私也非常关键。

　　门禁安全的最佳实践

　　门禁系统的安全最佳实践包括：使用双重身份验证和密钥保护机制的非接触式智能卡技术；智能卡基于开放式标准，能够使用安全生态系统内部的可信通信平台上的安全信息传送协议，与广泛的产品进行互操作。智能卡拥有通用、标准的卡边缘，提高适应性和互操作性，确保能够在NFC智能手机上使用，从而用户能够在门禁控制中轮换使用智能卡或移动设备。

　　保持门禁系统的 “与时俱进”非常重要，其原因有很多。组织可能需要未来添加新应用，如生物识别模板；合并、并购或迁移需要在短时间内重塑品牌并在重组时发行新凭证卡；满足新的安全需要以减少损失，特别是当现有系统是容易克隆的低频解决方案时，提高风险管理可能非常必要。另外，新立法或监管要求可能要求提高安全性。另一方面，将多种应用集成到一种解决方案可以带来许多优势，可以为组织提供集中式管理，为员工提供便利，使他们无需携带多张卡，即可执行开门、登录电脑、使用考勤和安全打印管理系统、支付餐费或交通费、执行非现金交易和其他应用。该集成能在整个IT基础设施的关键系统和应用程序上实现多因子验证，而不仅仅在周边进行验证，因此提高了安全性。此外，集成使组织能够利用现有的凭证卡投资，为网络登录无缝增加电脑桌面登录，在整个公司网络、系统和设施上建立完全互操作的多重安防解决方案。

　　门禁和网络登录的集成在联邦机构中尤为重要。2005年联邦信息处理标准刊物201（FIPS 201）定义了标准化个人身份验证（PIV）智能凭证卡的要求，即，利用智能卡和生物识别技术进行桌面电脑和门禁系统以增强身份验证。目前为止，FIPS 201多因子验证主要用于使用PKI验证的电脑桌面登录和数字文档签名，但这些功能对于门禁PKI也非常有效，预计以后将被广泛采用，成为联邦身份验证的最佳实践。PIV卡（可能包括用于电脑桌面登录和物理门禁的多因子验证）预计将移植到NFC手机。目前，将PACS基础设施升级至支持PIV卡，仅需要升级读卡器，并使用身份验证模块（包含所有的门禁PKI验证功能）增强现有面板和门控制器的功能。在读卡器和现有的PACS面板之间插入这些模块，无需像以前一样将现有控制器基础设施“拆除和更换”。

　　此外，也可以在商业场所提供相同的PKI验证功能。在PIV卡出现后的数年内，又定义了两种凭证卡——用于政府承包商的PIV-interoperable (PIV-I)以及用于商业用途的商业身份验证 (CIV)卡。后者是PIV-I的商业版，并且可以充分利用联邦政的PIV项目定义的标准，将可靠的开放式智能卡技术带到联邦政府机构以外的组织机构。

　　移动化

　　将物理门禁和电脑桌面登录集成到NFC手机上也是最佳实践之一——用户很少会丢失或遗忘该设备。通过提供一种、便捷的解决方案，用户无需携带单独的卡、OTP密钥或密钥卡，即可进入大楼、登录网络、访问应用程序和系统、远程访问安全网络。此外，移动门禁控制的云端身份配置模型可防止凭证卡复制，使发行临时凭证卡、注销丢失或失窃的凭证卡、根据需要监控和修改安防参数等操作更加容易。

　　尽管移动门禁控制有许多优势，该技术不可能在未来几年内完全取代物理智能卡。相反，NFC手机将与胸卡和胸章共存，这样组织可以在物理门禁系统内实施智能卡、移动设备或两者混用。为该混合门禁控制环境建立一个升级路径确保目前的技术投资在将来也可以利用，这一点非常重要。升级至新功能需要一种可扩展和适应性强的多重技术智能卡和读卡器平台，该平台能够使旧凭证卡和新凭证卡技术集成到相同的卡上，同时能够支持NFC移动平台。

　　同时，组织也必须优化传统卡的安全发行。这包括为多重验证集成关键的可视和逻辑技术，以及通过使用多重管理程序进一步提高安全性，同时还需要提高发行系统的效率。大部分ID卡发行系统依靠二维身份验证，对比个人提供的凭证以及卡上显示的身份数据（例如照片ID），以及更复杂的元素，如高分辨率图像，或激光刻蚀的永久个人化特征，这使伪造和篡改根本行不通。智能卡芯片、磁条和其他数字部门成为第三个安全维度，卡数据容量扩大后可以包含生物识别信息和其他信息，进一步增强了验证。联网智能化制卡系统可以在一步内处理所有必要任务，另一种有效的最佳实践是将读卡器/编码器集成到卡打印机硬件中，使组织能够在以后利用智能卡应用带来的优势。

　　物理门禁和电脑桌面登录以及将两种功能集成到单一解决方案的最佳实践要求使用基于开放式标准的智能卡技术，并且该技术支持许多应用并能够移植到NFC手机。通过建立这一基础并预先计划升级至新功能，各个组织可以选择在其物理门禁系统内使用两类凭证卡技术。各个组织也可以经过不断改造满足新需求，因此他们将能够保护现有基础设施的投资。