Client-Based架構 輕鬆導入Single Sign On

帳號、密碼是資安的根本問題
根據研究調查顯示，超過70％的使用者每個月至少會發生一次與帳號、密碼有關的問題，而每人每年花費在管理自身帳號、密碼的時間約一個星期，至於MIS人員每次處理此類問題所消耗的企業成本約25~50美金，趙沛德認為，造成問題的主因是使用者通常會使用好幾組帳號和密碼，諸如：登錄系統、後端資料庫、內部網路、外部網路等，光是記這些帳號和密碼就已經令人傷透腦筋了，更別提資訊安全專家常大力提倡「複雜性密碼」的概念，因為許多使用者為了方便記憶，常將所有帳號和密碼設成同一組。以資訊安全的角度來說，這些做法絕對不符合標準的，也是眾多資安危機的源頭。

對系統管理者而言，由於企業內部會依員工的職位來區分其系統權限，又基於不同系統，所以每位員工多半擁有多組的密碼、帳號。面對如此眾多的帳號、密碼需要管控時，相信這絕對是讓人非常頭痛的事，更何況每個公司常會有新進、離職員工的情形發生，當有新進員工時，系統管理人員就必須在資料庫內協助新進同仁新增一組帳號、密碼，效率不佳的公司，往往歷經多日新進人員仍舊沒有可登錄公司系統的帳號、密碼；此外，人員離職後，又必須通知相關部門將其資料由系統中移除，其過程可說是既費時、又費力，而這些因素都將導致經營成本增加和機密資料外洩的後果。

以Single Sign On做為發展基礎
為因應上述惱人的登錄問題，"Single Sign On"(SSO)的機制於是產生，單一簽入的"Single Sign On"機制可讓公司的網路使用者或者是一般外界之使用者在開始存取網路時，在單一驗證的基礎上有效存取所有已授權的網路資源。因此，"Single Sign On"可以提高網路使用者的生產力，降低網絡作業的花費，提高網路安全。對使用者而言，將不會不斷地陷入在出現多個登錄畫面之中，他們也不需要為了存取網路資源而記憶許多組不同之使用者名稱和密碼。而對系統管理者來說，將呈現出簡易管理和系統控制、以及網路安全的優越機制，並透過異質的系統環境予以整合，更是系統管理者的挑戰。故"Single Sign On"帶給企業除了落實使用者便利性和網路系統安全之外，更能提升企業整體形象之多重優越建置方案。然而，以往的"Single Sign On"的做法，大多是Server-Based，就是讓每個Client端的電腦先登錄於"Single Sign On"伺服器上，再由"Single Sign On"伺服器幫忙做登錄回應的動作，但此過程將引發幾項問題：其一、Sever-Based 通常必須修改原系統的程式碼，以遵循共同的登錄標準，但有許多私人開發的程式不希望被其他人修改，因此整合困難；其二、Server-Based通常必須和系統目錄伺服器相互整合，也就是與其有關的都會修改為"Single Sign On"的架構，在機密考量下，某些部門就可能不太願意配合使用"Single Sign On"，更大的問題是，一旦伺服器發生問題，影響範圍勢必十分廣大，此類狀況也正是目前資訊安全亟待突破的目標。

代理人幫你管控帳號、密碼
對"Single Sign On"在Server-Based所產生的問題，SecureWork首先提出將"Single Sign On"的安全機制導入至企業的Client-Based架構中(即所謂Secure SSO)，至於為何要導入於Client-Based架構呢?趙沛德強調，Secure SSO以代替使用者登錄的模式由Client端切入，完全不需修改Server端，且以整合帳號目錄系統的方式在Server端執行，管理上可以由中央統一，達成中央控管、稽核、刪除權限與修改密碼的目的；而當Secure SSO系統啟動後，系統不會碰觸後端的網路安全機制，只做登錄回應的動作，可減低網路風險；另外，選擇單一Client端建立Secure SSO，可針對特定需要者進行建置和管控；最後，近年來駭客橫行，往往導致重要機密資料外洩，有時更造成企業整體營運陷入癱瘓，縱然增購高效能防火牆也難以遏止，Secure SSO雖不像防火牆可直接阻絕外部入侵，但它卻能運用帳號和密碼的機制直接管控內部人員登錄資訊，可清楚明瞭員工使用系統的情況，更由於只需第一次啟動系統時登錄一組帳號和密碼，之後系統程式每隔一段時間會隨機產生不同的帳號和密碼，並且符合AES 256-bits加密認證，縱然駭客成功通過防火牆的阻隔，也絕難獲得登錄系統之帳號、密碼的資料，因而可以有效輔助並預防資料遭到竊取或破壞，這也是當前企業資訊安全最需強化的部分。 以承接香港證監會(SFC)的案子為例，Secure SSO憑藉具有主動記錄和追蹤使用情況、加密、以USB token來加強登錄安全、不需更改後端伺服器和網路等特質。從使用者的觀點來看，Secure SSO讓使用者僅需做一次登錄動作，之後系統就會幫助自動產生帳號和密碼，大大降低使用者忘記帳號、密碼的情況；對系統管理者而言，Secure SSO加強系統的資訊安全，也降低需要不斷重新設定使用者密碼的負擔。基於業界內部所使用的系統軟體眾多，整合複雜系統已成為今日企業內部所共同面臨的問題，而如何整合已成為未來防衛安全的趨勢。此外，系統管控的加密動作也逐漸被企業體重視，如何提供便捷和有效的資安系統管理方式更是企業所渴望，而這也正是當前台灣企業必須面對和決解的難題。

後記
台灣的資訊安全工作仍處於起步階段，面對錯綜複雜的企業系統環境與眾多的系統使用者，系統管理人員必須以小心謹慎的態度去審視使用者存取資料與執行系統服務的權限設定。Secure SSO的架構提供了系統管理流程的創新概念，能盡量降低系統管理人員因系統環境複雜或眾多使用者造成的設定缺失，並防止外來者入侵的危機，這都可降低企業系統環境的風險，也提供安全管理新的思考方向。