基于 RSA 的 VPN 是一种使用一次性密码 (OTP) 来实现高安全性的企业身份验证方法。
许多公司正在使用它来增强远程访问VPN的安全性，因为它可以显着降低仅使用常规ID和密码无法防止的“未经授权登录”和“密码泄露”等风险。
在本文中，我们将以易于理解的方式解释基于 RSA 的 VPN 的工作原理、为什么它们是安全的、引入它们的好处以及注意事项。
此内容对于那些正在考虑在公司中引入 VPN 的人以及想要提高在家工作时的安全性的信息系统人员也很有用。
基于RSA的VPN是一种使用一次性密码（OTP）来加强用户身份验证的VPN方法。
它使用 RSA Security 的机制，其特点是使用特殊令牌或由智能手机应用程序 (RSA SecurID) 生成并定期更改的一次性密码登录。
使用普通 VPN 时，您可以使用“ID + 密码”登录，但使用 RSA 方法时，会在其中添加一次性密码，因此
- 重复使用密码
- 密码泄露
- 登录失败
风险可以显着降低。
一种广泛应用于企业远程访问VPN和零信任环境的高度安全的身份验证方法。
基于 RSA 的 VPN 安全性如何工作？
从这里开始，我们将解释基于RSA的VPN的安全机制。
1. 先进的一次性密码（OTP）机制
在 RSA 方法中，用户使用的物理令牌或智能手机应用程序 (RSA SecurID) 每 30 到 60 秒生成一个新的数字代码。
OTP 是根据以下信息生成的：
- 代币内的“种子值（相当于私钥）”
- 设备当前时间
- RSA专有的加密算法
这些共同创造了一种完全不可预测的独一无二的 OTP。
相同的种子值也注册在公司的身份验证服务器上，只有在两个系统同步时匹配的代码才会被识别为“正确登录”。
→ 即使OTP被盗，它也是安全的，因为下一刻它就无法使用了。
2. PIN+OTP多重身份验证，强力防止未经授权的登录
RSA 方法结合了两条信息：
- PIN（知识信息）只有用户自己知道
- 设备生成的OTP（占有信息）
这种组合是双因素身份验证 (2FA) 的强大形式。
例）ID/密码泄露→仅此无法登录。
示例）RSA 令牌被盗 → 由于 PIN 未知而无法登录
因此，即使一侧漏水，其结构也不会破裂。
3. OTP极难篡改或复制。
RSA 令牌被认为是安全的原因是种子值（秘密信息）不暴露于外部。
- 令牌种子值无法从外部读取
- 得益于 RSA 的专利技术，几乎无法复制
- 就算分析出来，也不可能及时突破
即使攻击者打开令牌并分析芯片，也几乎不可能检索到种子值，因为它是加密存储的。
4. 抗重放攻击的能力
重放攻击：重复使用先前窃取的密码进行登录的攻击。
在RSA方法中，OTP随时间变化，因此
- 该代码将在几秒钟后失效。
- 所有旧代码将被拒绝
这从根本上防止了攻击。
5. 暴力攻击不起作用
OTP 由 6 或 8 位数字组成，
- 有效时间约为30秒
- 结合 PIN 进行身份验证
- 如果身份验证仍然失败，帐户将被锁定
因此，暴力攻击是行不通的。
6、公司方面可以严格控制
RSA 方法由“RSA 身份验证管理器”管理，该管理器是公司的安全基础设施。
你能做什么
- 自动检测可疑登录
- 阻止高风险区域的进入
- token丢失后立即失效
- 每个设备的访问控制
它的主要优点是在管理方面极其优越，并且具有很高的防守性能。
7. 被金融机构和政府部门采用的原因
基于 RSA 的 VPN 用于恶劣环境，例如：
- 银行/证券公司
- 政府机关/市政府
- 大型公司（制造、能源、通信）
- 医疗机构
由于信息泄露在这些站点可能是严重事件，因此需要最可靠的身份验证方法，而 RSA 方法因其满足此要求而被广泛使用。
基于RSA的VPN介绍要点
介绍基于RSA的VPN的要点如下。
1. 准备一个系统，使用“PIN + OTP”两种因素统一身份验证方法
RSA 方法基于双因素身份验证：“PIN（知识信息）”+“一次性密码（拥有信息）”。
安装前必须准备以下内容。
- 告知员工 PIN 管理规则
- 建立代币丢失/补发程序
- 标准化登录流程
根据安全策略设计操作非常重要。
2. 物理代币或软代币的选择
RSA SecurID 有两种类型。
- 物理令牌（类似钥匙串的设备）
- 软令牌（智能手机应用程序）
选择要点如下。
| 项目 | 物理令牌 | 软令牌 |
|---|---|---|
| 安全 | ◎（复制困难） | ○（智能手机依赖性） |
| 成本 | △（单价高） | ◎（便宜） |
| 管理 | △（损失风险） | ○（易于分发） |
| 运用 | △（需携带） | ◎（可在智能手机和个人电脑上使用） |
比较成本、可管理性和用户负载，然后根据公司规模选择一种。
3. RSA Authentication Manager构建及运行体系
RSA方式VPN主要由认证服务器“RSA认证管理器”进行管理。
安装前检查以下内容。
- 认证服务器冗余（HA配置）
- 与活动目录集成？
- 操作人员账户管理权限
- 发生故障时记录调查流程
尤其是对于大公司来说，有日志审计和账户管理的规则是必不可少的。
4. 检查与您的 VPN 设备的兼容性
RSA 方法 OTP 与许多 VPN 产品兼容，但您需要提前检查以下内容。
- 您计划使用的 VPN 设备是否支持 RSA 身份验证？
- RADIUS 可以合作吗？
- OTP输入法（一次性密码或推送通知）
Cisco、Fortinet、Palo Alto等主流产品都兼容，但部分中小型VPN产品不兼容。
5. 准备用户教育和支持系统
由于RSA VPN是一般员工使用的，因此以下准备工作是必不可少的。
- 首次注册方法手册
- 忘记 PIN/丢失令牌时的响应流程
- 设立支持台
- 基于使用日志的监控
如果支撑系统薄弱，开始运行后会频繁出现问题，所以要小心。
6. 检查与安全策略的一致性
安装前请务必检查以下内容。
- 密码管理规定
- 多重身份验证 (MFA) 要求
- 离职时的账户暂停规则
- BYOD（个人智能手机）的处理
RSA 方法必须以符合公司信息安全政策的方式纳入其中。
7. 了解成本（初始成本+年度成本）
实施 RSA 方法需要以下内容。
- 认证服务器许可证
- 代币成本（物理或软件）
- 年度支持费用
- 操作人员的人员成本
特别是实体代币每3到5年需要更新一次，因此也需要更新计划。
8. 应对未来的零信任
RSA 方法是一种强大的 VPN 身份验证机制，但未来越来越多的公司转向零信任模型 (ZTA)。
- 计划迁移到云身份验证，例如 SAML/OAuth
- 针对远程工作负担增加的对策
- 身份管理 (IAM) 集成
当从以 VPN 为中心的访问转向零信任操作时，RSA 身份验证可以继续用作多重身份验证。
概括
基于 RSA 的 VPN 是一种高度安全的身份验证方法，它结合了公钥加密 (RSA) 和一次性密码 (OTP)，为对企业网络的远程访问提供强有力的保护。
双因素身份验证结合了 PIN 和一次性密码，可以显着减少因身份盗用或密码泄漏而导致的未经授权的访问。
至于安全机制，
- 使用公钥加密技术进行安全密钥交换
- 在一定时间内更改的一次性密码
- 认证服务器检测未授权访问
它的特点是多层防御。
引入时，选择令牌方法（物理或软件）、与认证服务器链接、检查与 VPN 设备的兼容性以及准备用户教育和支持系统非常重要。
您可以通过了解成本和运营负载并根据公司的安全策略实施来构建更安全的远程访问基础设施。
对于准备远程工作环境的公司和需要高安全级别的组织来说，RSA 式 VPN 可以说是非常有效的选择。