ASP.NET网站的最佳/简单硬件安全令牌认证？

Question

我最近被要求提供一个关于集成像大多数在线银行使用的安全解决方案的报价，其中有一个安全令牌，其密钥/数字随机更改。

门户是一个ASP.NET网站，2.0 ...

我以前没有实现这种类型的安全认证。任何人都可以提供关于他们所使用的组件/硬件的指导，建议和经验等吗？

感谢

Answer 1

与物理令牌做的最安全的方式实际上是使用第三方产品，如RSA SecurId。他们还有一个版本用于将令牌发送到移动设备，这是他们的“On-demand Authenticators”产品的一部分。

否则，如果你想制造自己的系统，那么你需要考虑：

• 令牌的使用寿命。
  • 标记需要活动多长时间？
  • 如果客户端与服务器位于不同的时区，会发生什么情况？
• 令牌的随机性？
  • 您使用什么方法来生成令牌？ GUID的最后n位数？ Psuedo随机数字表？秘密+用户ID +随机数，散列，然后取最后n位数字？
  • 令牌的有效字符是什么？ [0-9] * | [a-zA-Z] * | [0-9A-F] * |等等。
  • 标记的长度是多少？
• 令牌在验证之前存储在哪里？
• 用于传输令牌的机制有多安全？
  • 通过HTTPS？
  • 在公共SMS网络？
• 用户如何接收令牌？
  • Rabo银行有一个设备，你用针解锁，然后代码发出。
  • 可以有一个设备，你输入给定的令牌，它发出你需要回应的令牌？
• 如果显示过期的标记，会发生什么情况？
• 在锁定设备/访问权限之前，您尝试给它们多少次尝试？

我参与了一个银行系统。它使用类似于Microsoft Federation Gateway提供的机制来实现。它可能不是用于登录的，但仍用于身份验证。