AD域双因子身份认证（2FA）_深圳市纹宁信息技术有限公司新闻资讯

应用背景

Microsoft 在Windows 2000推出的时候就向世人展示了Active Directory，Active Directory主要是验证登录用户，对用户和计算机应用组策略并协助其找到所需打印机。后来，微软在发布的Windows Server 2003这一重要版本中，Active Directory得到了极大的改进。Active Directory不再是一种特定的技术，现在已经成为一种品牌，代表一系列Windows身份和访问控制服务。
也正因如此，Active Directory得到许多大中型企业用户的全力支持并部署使用，随着这些大中型企业在实际的应用部署过程中的不断深入推进，在身份和访问控制服务管理使用过程中面临越来越严峻的挑战：

员工之间存在密码共用、借用、盗用现象
员工密码经常容易遗忘
管理员运维压力与日俱增

因此，对于企业提出的AD域控管理需求，我们专为企业定制一套基于指纹身份识别的AD域双因子认证（2FA）管理解决方案。

方案阐述

一、方案特点

特点	描述
安全性	平台化、网络化的指纹身份认证技术，有别于传统客户端认证模式、安全可靠，并且可能根据安全需要实现多因子身份安全认证
三员分离	系统针对涉密系统的安全管理“三员分离”原则，进行系统功能设计，使系统更贴合现实管理需要，使安全策略更加健壮
分布式网络部署架构	AD域服务器、指纹认证服务器、应用服务器可分别部署于不同服务器中，减少因系统过度紧密结合引发服务器系统不稳定的可能，采用安全备份策略，确保指纹存储安全，采用WebService技术，零障碍穿透防火墙
易用性	采用JAVA技术的B/S架构AD域用户身份管理方式，可随时随地对域用户进行集中的管理
多设备支持	可支持国际主流的数十款指纹采集设备，可实现交叉比对应用，统一标准的软硬件应用界面，满足B/S C/S架构应用系统的二次集成
防指纹数据库泄漏	用于管理指纹数据库的Key进行特别加密，只有系统管理员知道，即使数据库被攻破，没有Key解密，指纹特征模板仍然无效
存储安全	系统不保存指纹特征值模板，而是保存经过指纹特征值处理加密后的密钥范本，由用户通过指纹识别激活加密密钥，不再由任何第三方掌握加密系统的核心权限，基于指纹读取的随机性，确保生成的密钥也随机且一次有效，显著提高密钥安全级别，实现安全的指纹识别身份认证
身份认证多样性	使用者可根据不同密级设置单指/多指/多人认证，确保各密级信息的安全性
动态密码策略	密码动态更新，军工级密码规则

二、方案设计

指纹验证安全性高，识别速度快、识别正确率高；未登记和非法指纹均无法通过验证，即无法实现指纹登录操作系统；可以实现跨地域安全登录Windows客户端，登录日志记录实时查询；同时兼容离线指纹登录，不受网络状况影响。

图一：指纹AD域管理系统示意图

图二：Windows客户端双因子认证（2FA）界面

指纹AD域管理身份认证解决方案由以下部分组成：
（一）、Windows AD域控服务器；
（二）、指纹AD域管理系统；
（三）、指纹统一身份认证系统；
（四）、Windows 指纹安全系统客户端软件；
（五）、指纹采集终端；

操作系统支持：
（一）、Windows AD域控服务器----Windows2003/Windows2003 R2/Windows2008/Windows2008 R2/Windwos2012 32位/64位；
（二）、Windows AD域客户端登录软件----WindowsXP/WindowsVista/Windows7/Windows8/Win10 32位/64位；

三、指纹采集终端选型

产品图片及型号	产品描述
WMR06指纹仪	活体检测技术，成像质量卓越，比对性能优越小巧，便于携带按压式采集适合个人、企业用户使用
WMR08指纹采集仪	适合公众场合摆放，大方、端庄按压式采集，采集速度快，360°旋转采集指纹成像质量卓越，图像精度高，比对性能优越
WMFV11指静脉采集仪	指静脉活体识别，杜绝假手指按压式采集，红外光感应静脉成像生物识别识别率100% 指静脉成像质量卓越，图像精度高，比对性能优越

四、方案价值

严格身份权限控制，基于指纹认证机制，实现访问权限及授权的精确控制，保护数据安全使用
简化登陆认证环节，省去键盘输入密码的麻烦，优化使用者验证体验
降低IT维护成本，完全免去密码重置工作，解放IT维护生产力
提升网络内控效益，基于指纹认证，确保身份、权限部署与实际安全策略全面一致，解决安全管理问题
统一集中管理域系统中大批量用户身份的可信审计、系统登陆、权限访问
Web化的域管理，AD域与指纹服务器可实现同步信息传输、信息协调管理
支持服务器远程桌面指纹登录、支持桌面虚拟化指纹登录、支持VPN指纹登录、支持文件指纹授权加解密扩展应用
开放性的接入设计，支持不同终端设备验证

五、指纹AD域双因子认证（2FA）方案体验

如有意试用指纹AD域双因子认证（2FA）管理系统请致电0755-27920930或Email:services@winuim.com ，我们将安排技术工程师现场搭建试用环境供用户体验。