ASP.NET網站的最佳/簡單硬件安全令牌認證？

Question

我最近被要求提供一個關於集成像大多數在線銀行使用的安全解決方案的報價，其中有一個安全令牌，其密鑰/數字隨機更改。

門戶是一個ASP.NET網站，2.0 ...

我以前沒有實現這種類型的安全認證。任何人都可以提供關於他們所使用的組件/硬件的指導，建議和經驗等嗎？

感謝

Answer 1

與物理令牌做的最安全的方式實際上是使用第三方產品，如RSA SecurId。他們還有一個版本用於將令牌發送到移動設備，這是他們的「On-demand Authenticators」產品的一部分。

否則，如果你想製造自己的系統，那麼你需要考慮：

• 令牌的使用壽命。
  • 標記需要活動多長時間？
  • 如果客戶端與服務器位於不同的時區，會發生什麼情況？
• 令牌的隨機性？
  • 您使用什麼方法來生成令牌？ GUID的最後n位數？ Psuedo隨機數字表？祕密+用戶ID +隨機數，散列，然後取最後n位數字？
  • 令牌的有效字符是什麼？ [0-9] * | [a-zA-Z] * | [0-9A-F] * |等等。
  • 標記的長度是多少？
• 令牌在驗證之前存儲在哪裏？
• 用於傳輸令牌的機制有多安全？
  • 通過HTTPS？
  • 在公共SMS網絡？
• 用戶如何接收令牌？
  • Rabo銀行有一個設備，你用針解鎖，然後代碼發出。
  • 可以有一個設備，你輸入給定的令牌，它發出你需要回應的令牌？
• 如果顯示過期的標記，會發生什麼情況？
• 在鎖定設備/訪問權限之前，您嘗試給它們多少次嘗試？

我參與了一個銀行系統。它使用類似於Microsoft Federation Gateway提供的機制來實現。它可能不是用於登錄的，但仍用於身份驗證。