OWA动态密码认证解决方案.docx

OWA动态密码认证处理方案
一、 面临挑战
OWA是微软Outlook Web Access简称。经过访问Outlook Web Access页面, 邮箱用户可直接使用Web浏览器收发邮件, 而不需要安装Outlook用户端软件。
在单一静态密码验证机制下, 登录密码是OWA安全唯一防线。一旦被非正当用户窃听到OWA登录密码, 就意味着这个人能使用该密码查看到全部邮件、 地址簿等关键信息, 可能带来巨大安全威胁。
在OWA登录步骤实现双原因认证, 可双重保障邮箱账号安全, 预防密码共享、 密码泄露, 一旦发生安全事件, 也可追责到个人, 有效控制信息安全威胁, 所以不失为一个良策。

二、 处理方案
1. 宁盾OWA双原因认证处理方案概述
静态密码只能对OWA用户身份真实性进行低级认证。宁盾双原因认证在OWA原有静态密码认证基础上增加第二重保护, 经过提供手机令牌、 短信令牌、 硬件令牌等三种动态密码形式, 实现双原因认证, 提升账号安全, 加强用户登录认证审计。
宁盾双原因认证服务器负责动态密码生成及验证, 可同时无缝支持AD/LDAP/ACS等帐号源, 接管OWA帐号静态密码认证工作。经过在OWA配置第三方RADIUS认证, 指向宁盾双原因认证服务器（内置RADIUS SERVER）。打开OWA进行用户名+静态密码认证, 认证经过以后获取动态密码（令牌产生/短信接收方法）, 从而进行动态密码验证, 经过以后方可放行。

2. 宁盾动态密码形式
短信令牌
基于短信发送动态密码形式。在用户完成OWA帐号密码认证以后, 宁盾双原因认证服务器会生成一个一次性密码并经过短信网关发送到绑定用户手机上, 用户输入该短信密码并提交验证经过后才能完成登录认证。密码是一次性使用, 她人即使盗用了, 也无法再次使用, 从而能确保账号和信息安全。

手机令牌
基于时间动态密码, 由手机APP生成。基于时间同时技术, 宁盾令牌APP每60秒生成一个独一无二动态验证码, 宁盾认证服务器能够验证这个改变密码是否有效。

硬件令牌
基于时间动态密码, 由硬件生成。硬件令牌每60秒产生一个6位密码, 使用寿命3年。需要IT运维人员为OWA用户分发一枚宁盾硬件令牌, 用户登录时输入静态密码+硬件令牌上显示动态密码, 验证经过即可完成登录。

3. OWA双原因认证步骤

① 打开OWA登录页面;
② 输入用户名及密码, 提交认证;
③ 用户名密码认证经过, 在新窗口中输入宁盾动态密码, 提交进行第二次认证。认证经过, OWA登录成功。

三、 方案价值
①账号双重保护: 宁盾双原因认证在OWA原有账号密码认证基础之上增加一层动态密码认证, 以此提升OWA用户接入认证安全, 处理弱身份判别可能引发信息泄漏隐患;
②多个认证方法: 短信令牌、 手机令牌、 硬件令牌, 三种动态密码形式各有优势, 用户依据需求自由选择, 也能够多个组合;
③与现有系统无缝集成: 内置Radius认证模块, 可与AD、 LDAP等标准账号源结合, 同时也支持与其她企业当地应用、 私有云应用以及SAAS等对接, 提供OWA双原因认证服务;
④实名追溯: 详尽登录日志, 发生安全事件时可定位到个人, 做到用户认证可审计, 满足了等保要求;
⑤简化管理: 降低OWA静态密码定时强制更改, 给用户及IT运维人员带来麻烦, 同时节省OWA账号管理成本;
⑥体验优化: 经过简化移动安全接入, 优化用户体验, 在为用户登录OWA提供安全认证同时, 提升了使用便捷性, 助力移动化转型。