【IT168 专稿】笔者目前所在公司是一家跨国外资企业，同时在国内亦有几十家分支机构。整个企业是在域的环境中，各分支是通过Cisco的ASA系列防火墙以IPSEC VPN的方式与位于北京的数据中心互连互通。同时，企业的应用系统和关键业务服务器均位于数据中心内，均为域成员服务器。而几十台防火墙或交换机等网络设备分散在全国各地。

　　目前，公司使用的身份认证方式，主要是"用户名+口令"认证，但此种认证方式有以下缺点：

　　1． 口令容易泄漏。

　　2． 可以用"重播"方式，复制和重现认证过程。

　　3． 维护成本较高：需要定时更新；需要有安全的方式发放口令；需要有制度禁止口令的蔓延传播。

　　针对公司所面临的安全问题，经衡量后，决定采取RSA SecurID双因素身份认证系统来实现对应用系统、关键业务服务器及网络设备安全访问。（图1）

　　一、RSA SecurID双因素认证系统组件

　　RSA SeucrID由认证服务器RSA AM、代理软件RSA AM/Agent、认证设备以及认证应用编程接口（API）组成(如下图所示)。（图2）

　　1、认证服务器（Authentication Manager）

　　在RSA SecurID解决方案中，RSA AM软件是网络中的认证引擎，由安全管理员或网络管理员进行维护，可以实现企业认证、访问控制、规避攻击、用户责任等。

　　2、RSA SecurID认证令牌

　　所有RSA SecurID认证令牌均使用已获专利的相同的算法来完成令牌码的散列和加密功能。（图3）

　　（此实验中的令牌）

　　3、代理软件（AM/Agent）

　　实现这种强大的认证功能的中间代理软件称为RSA AM/Agent。该代理软件的功能类似于保安人员，用来实施RSA AM系统建立的安全策略。