運維動態口令管理模式拓展與實踐

在“建設一流客戶體驗的智慧金融生態銀行”規劃目標指引下，華夏銀行正強力推進一系列數字科技重點工程的實施。此背景下，夯實信息基礎，筑牢科技底座尤為重要。華夏銀行技術測試團隊積極探索實踐，推陳出新，將創新的動態口令拓展到開發測試環境運維領域，構建了一套科學有效的管理體系，強化了安全訪問控制策略，提升了運維管理效率。

現狀與問題

據統計，超過60%網絡攻擊與口令管理不善相關，這一問題在開發測試環境尤為明顯。生產環境一般借助動態口令、堡壘機及審計系統等進行多重防護，開發測試環境則主要還是以靜態強口令為主。

華夏銀行近20套開發測試環境承載了上百個應用系統常規的開發測試任務，相應Linux、Unix服務器及其運維賬號口令數量龐大，繼續使用靜態口令存在3方面問題。

1.難以安全管理。一是靜態口令安全性依賴于其更新周期和復雜度，存在窮舉和逆向破解風險；二是靜態口令無用戶屬性，存在口令泄漏、借用和越權使用的風險。

2.難以高效管理。一是靜態口令須手工定期更新且要滿足強口令的設置要求，工作量大；二是用于維護操作的靜態口令使用一般需申請和審批，口令發放和回收難以做到快捷及時。

3.難以回溯管理。相較生產環境，應用系統在開發測試環境運維頻率較高，若運維操作未納入審計等系統硬控，一旦發生安全事件，難以追溯分析。

探索與創新

我們結合開發測試環境運維管理實踐，圍繞上述問題分析，提出了基于動態認證的運維口令管理模式。

1.優化動態認證機制。動態口令是一種在客戶端和服務器之間通過共享種子密鑰，對時間值等要素進行計算、實現強認證的技術。由于種子的隨機性高，即使登錄賬號泄露，對方也無法獲取動態口令，極大提高了身份認證的安全性。鑒于傳統動態口令認證主要基于用戶和口令進行雙因素認證，使用存在局限性，我們改進了認證機制，將用戶名、待登錄服務器地址、運維賬號和動態口令四因素納入認證，為開發測試運維口令使用場景量身定制了動態認證模式，擴展了動態口令適用范圍。

2.創新動態認證場景。基于上述認證機制的創新，我們對動態口令工具進行了改造，一是支持服務器和運維賬號的集中分級管理和授權。在多用戶、多服務器、多運維賬號場景下，用戶選擇待登錄服務器，輸入運維賬號和“用戶名@動態數字”格式的動態口令，認證通過后登錄；二是將動態口令客戶端部署在移動設備，并進行了極簡操作設計和安全加固，做到了隨用隨取、限時有效、秒級刷新。

3.拓展動態認證模式。基于動態口令認證平臺，對應用系統運維賬號進行集中統一管理，一是按訪問權限將運維賬號分類，按需為用戶授權，實現精細化管理；二是統計分析運維賬號使用情況，清理僵尸賬號，消除風險隱患；三是與用戶等信息管理系統聯動，實現對離職離場人員運維權限的自動回收。

實踐與成效

我們在華夏銀行開發測試環境試行推廣了上述運維口令管理模式，達到以下3方面的預期效果。

1.提升口令安全，降低維護成本。一是實現開發測試環境服務器運維賬號的動態口令全托管，在多用戶、多服務器、多運維賬號的場景下，實現了“用戶綁定，一次一密”，從根本上解決弱口令和口令泄露問題，提升了運維口令的安全性；二是通過線上化、自動化方式進行運維口令申請、審批、發放、回收等工作，口令維護成本降低了90%。

2.精細化、立體化管理運維賬號。實現運維賬號的集中統一管理，厘清了運維賬戶權限及授權范圍，通過登記和分析運維賬號的用戶和登錄信息，從靜態屬性和動態行為兩個維度立體化展現賬戶信息，為及時清理僵尸賬號、審計溯源提供依據，消除潛在風險隱患。

3.實現開發測試環境有效數據積累。通過運維賬號和口令的線上化處理，實現了運維賬號管理數據的自動收集和積累，為后續用戶行為分析、賬號作業畫像等提供了數據支撐，為開發測試環境的數字化運維管理奠定了基礎。