作者：朱天
宽带业务现状
近年正值互联网宽带用户大发展时期，用户数量猛增的同时，中国电信和中国网通都将发展宽带用户调整为业务的重中之重，都作为考量业务部门的一项重要业务指标，即使是中国移动、中国联通这些移动通信服务提供商同样也开始重视互联网宽带业务。经过宽带这些年的发展，在业务使用方面逐渐出现了宽带账号盗用现象。针对宽带账号盗用现象，公司先后对相关系统进行了安全方面的改进，但仍没有完全解决此问题，联众仍出现多个用户名通过一个IP绑定了多个宽带账号进行恶意消费的情况，甚至在易趣网站上出现了卖宽带账号的现象。
另外，宽带账号存在共用问题，主要有两种形式。一种是一个账号多人同时登录，这种方式在宽带业务支撑系统改造后得到了解决，目前在宽带业务支撑系统上完成宽带账号的唯一性限制工作，也就是在SERVER端完成。随着宽带接入用户的迅速增长，以及宽带业务支撑系统本身负责的功能任务众多，压力负载问题越来越受到关注。另一种是多人错时共用账号的现象，指多人知晓同一宽带账号密码，然后错开时段分别上网，这种做法在宽带不限时包月用户中使用较多，该问题目前的系统无法很好的解决。
1．解决宽带账号盗用的必要性
如何可以有效地解决用户账号的盗用问题，方便用户访问宽带业务平台，从而进一步促进宽带接入业务及增值业务的大力发展，都成为运营商急需解决的问题。
2．细分用户的必要性
如果解决用户名/密码盗用问题，希望宽带账号只能在某一部电话上使用。运营商需要向用户提供多样化服务，对于有移动及安全性要求的宽带用户，还需要提供账号漫游业务，既可以满足用户漫游的需求，又可以最大程度的保证用户网络安全，同时做到细分用户。
3．信息层消费的必要性
目前运营商的信息层计费系统（如中国电信的“互联星空”，中国网通的“宽带中国”）对于用户的支付金额有所限制，因为网上交易时双方互不可见，无法确认用户身份，有可能造成经济纠纷，所以限制支付金额，以期降低交易风险，因此从接入层做到防止盗用功能，也可以很有效的解决信息层的消费盗用。
宽带业务安全解决方案
1．系统建设目标
对宽带接入用户的链路控制，防止用户接入盗用，针对宽带用户进行接入链路绑定，对于需要漫游的用户提供USBKey（USB存储介质）的解决方案，包括端口绑定模块和USBKey漫游模块两部分。
2．总体功能描述
端口绑定模块主要实现的是：针对宽带用户，业务支撑系统在后台完成链路绑定，将宽带账号绑定到其对应的电话链路上，对于端局无法提供准确链路信息的用户，绑定方式采用系统后台根据用户的访问频率进行捆绑，捆绑后用户只能在其对应的链路上接入。
USBKey漫游模块主要实现的是：依靠客户端软件，基于非对称加密机制，以USBKey为载体，利用用户认证信息来取代传统的用户名/密码进行接入认证，即用户可以在不输入甚至不知道认证信息内容的情况下，完全由程序自动实现认证过程。用户只有插上USBKey，拨号客户端才能够拨号上网，如果USBKey被拔下，软件会自动断开网络连接，以此方法实现在客户端进行接入账号唯一性限制。主要完成互联网用户安全认证客户端第一版和USBKey后台支撑管理系统
3．端口绑定解决方案
端口绑定实施方案由业务支撑系统独立完成，基本技术原理如下：
●建立自动统计分析系统，对用户上网认证信息中所携带的NAS-IP、NAS-PORT-ID等逻辑端口属性进行统计和分析。
●按照一定的策略，建立用户账号与这些属性之间的对应关系。
●用户在上网时，认证服务器除匹配用户账号和密码外，同时还匹配账号与逻辑端口属性的对应关系，这二者缺一不可。
（1）新开用户的绑定
参照目前的业务流程，宽带新开用户在97系统中完成业务受理，LANPPPoE新开用户在97平台中完成受理，此两项业务均需要相应的施工流程保障，即相应的工单流程处理，完成施工后用户就可以上网了。
考虑针对新开用户，采用首次上网自动绑定的方式来解决端口绑定业务，即用户首次认证上网所使用的端口就是用户需要进行绑定的端口，系统自动获取端口信息，自动完成绑定操作，绑定完成后，用户此后上网行为就与此次绑定的端口信息相结合了。
针对此业务模式的处理，需要做好相应的准备工作：
●确保做好市场宣传工作；
●相关部门做好用户申告处理及故障应急处理工作；
●针对可能出现的绑定错误，系统需要提供相应的操作界面可以解决用户解除绑定的功能；
●需要完善相应的业务流程，完成相应支撑系统的调整工作。
（2）端口绑定提供的功能
针对端口绑定业务，系统需要进行相应的调整，提供以下功能：
●用户首次上网自动绑定
用户第一次上网，系统根据上网信息自动实现端口绑定功能。
●用户更名功能
如果用户进行更改用户名操作，则该用户已经绑定的链路信息作为该用户的一种用户属性，可以自动携带给新的用户名，并且开通到系统中。
●用户查询功能
对于已经绑定接入链路的用户，当其登入到自服务系统后，可以查询其已经绑定的链路信息。
同时，受理系统提供给操作员查询功能，查询某个用户对应的端口信息。
●解除绑定功能
对于绑定错误的用户，需要在受理系统中提供相应的解除绑定的操作界面，由操作员完成绑定功能的解除工作，对于解除绑定后的用户账号，系统视同于新开用户，即解除绑定后，此用户第一次上网，系统对用户首次认证上网所使用的端口进行绑定。
●批量解绑功能
由于设备原因，可能需要进行维护、更换等工作，由于用户账号与端口实现了绑定，因此这种工作会影响到用户的上网，因此在设备维护、更换前需要对相应用户进行解绑，因此需要在受理系统中提供相应的批量解绑的操作界面，需要解绑的用户可以以文件方式输入，系统自动完成批量解绑操作；对于批量解绑后的用户账号，系统视同于新开用户，即解除绑定后，此用户第一次上网，系统对用户首次认证上网所使用的端口进行绑定。
由于此功能会影响较大数量的用户使用，因此需要建立相应的操作规范和设备维护相关业务流程。
4．漫游业务方案
（1）接入认证过程分析
为了在端口绑定实施前，能够确保为用户提供漫游的服务，满足不同用户的使用需要，需要提供基于USB-Key的漫游业务；在提供漫游业务前，我们首先需要分析安全问题可能出现的环节。
图1 接入认证过程分析
如图1所示，用户端PC在拨号过程中，用户账号最容易在用户PC端，即拨号出口处被盗用，例如：通过木马程序截获使用者拨号使用的账号、密码，在用户上网时直接发送到指定地点。
因此，仅仅简单的对用户密码加密，而不更换加密密钥的话，同样存在问题，即盗用者并不截获明文，而只是截获密文的码流，在盗用时只需要将密文码流原样发送给认证就可以完成上网认证过程。
需要考虑采用一种方式在用户拨号时使用的加密密钥在本次上网后就失效了，下次上网即采用新的密钥，这样即使盗用者盗取密文码流也无法使用，如果盗用明文密码，而没有获得加密算法和本次的加密密钥的话通用无法使用，起到很好的安全作用。
（2）接入认证过程安全分析
如图1所示，用户端PC在拨号过程中，用户PC端，仅可以与BRAS设备通信，在完成认证前，用户PC端无法直接与业务系统通信，因此需要考虑通过其他手段解决密钥更换的问题。
图2 接入谁过程安全分析
如图2所示，用户端PC在拨号过程中，用户PC端，仅可以与BRAS设备通信，在完成认证前，用户PC端无法直接与Radius通信，因此需要考虑通过其他手段解决密钥更换的问题。即考虑用户拨号端与认证端进行密钥的同步更远，因此考虑采用递推方式，从密钥1产生密钥2，然后递推产生后续密钥，采用对称密钥方式，即密钥可对加密对象加解密，这样只需要用户端与认证端保持密钥同步就可以实现密钥更换。
这里需要明确的是，通过密钥加密不是为了传输过程中的绝对不可读性，而是通过密钥生成方式实现用户每次认证完成后，其本次使用的密钥就失效了，使得用户接入认证信息即使被盗用者截获甚至被破解，而由于盗用者无法预知下次认证的密钥，也无法使用盗用的信息，以此达到整个认证过程的最大安全性。因此基于这种考虑，在认证过程的加密算法并不是认证安全的关键因素，而是密钥产生的随机性以及衍生关系是认证安全性的以来，而这种衍生关系是通过程序函数来实现的，盗用者除非能够拿到程序源码或设计思路，否则几乎无法破译。
结束语
从未来业务发展来看，宽带接入是接入业务发展的重要趋势，而信息层消费业务的扩展，也是推进宽带业务发展的重要手段，宽带接入业务的增长也会增加信息层消费业务的业务量，因此这两种业务间是相辅相成的。而随着业务的发展，和用户业务使用的不断深入，业务模型中的缺陷也逐渐展现出来，我们迫切需要及时调整业务策略，修改相应的系统，以适应业务发展的需要：
（1）宽带包月用户的错时使用问题
目前我们所有的宽带用户账号均与接入链路之间没有建立对应的逻辑关系。因此一个账号可以被多个人错时使用，即一个人使用完账号后，第二个人可以使用这个账号继续上网。如果这个公用账号是包月账号，则这种使用过程不需要任何费用,是对网通资源的无偿消耗。
（2）宽带接入及信息层消费盗号问题
计算机黑客病毒软件目前变得越来越智能，有时即便用户在上网过程中采取了相对较为完备的安全措施，用户的上网账号也有可能被盗用。由于现有信息层消费采用接入账号验证等方式，因此当用户接入层账号被盗用后，盗用者不仅可以使用被盗用者账号上网，还可以通过信息层平台进行各种消费活动。这就会导致用户更为强烈的投诉。
（3）增值应用业务发展缺乏必要的信誉体系
上述的情况表明，目前我们的宽带接入账号大量处于漫游状态，并存在许多不安全的因素。造成了用户账号并不能够真正代表用户本人的消费行为。众所周知，任何消费活动的发展都离不开用户信誉体系的建立，互连网增值应用业务发展也遵循同样的规律。因此确定向综合信息服务企业转型战略的要求下，如何在宽带网络中建立有效的用户信誉体系，就变得越来越重要了。
随着采用这种用户接入信息控制的安全措施，基本解决了用户盗号的情况，运营商的服务质量也逐步得以提升，并且渐渐实现对用户群体的细分，降低了对运营商网络资源的占用，对最终用户和运营商都很大的益处。（耿文欣编辑）
