金融机构的双因素认证（七）：信任怎么折算

TL;DR

这是《金融机构的双因素认证》系列的第七篇。第 1 篇讲威胁模型时提醒过一个容易犯的错误：把「走专线」直接等同于「已经认证过了」。专线只是网络层的信任加成，不能替代身份认证，但可以合理地折算进整体认证强度的评估。这一篇就是要把这句话具体展开。

专线托管端系统有一类前几篇都没覆盖到的设计空间：网络层信任怎么和身份认证组合，才能既不重复投入、又不留下缺口。这一篇讲证书 + IP白名单 + 会话级认证的组合模式，以及专线断线重连时的策略。

1. 专线信任的边界：它证明了什么，没证明什么

专线（如运营商提供的点对点专用线路（Chen 注：运营商在两个固定端点之间独占分配的物理/逻辑线路（如 DDN、裸光纤、SDH/MSTP 电路），带宽独享、不与其他用户共享，两端点对点直连，不引入中间交换节点。适合两个固定机房间的专用连接。）、MPLS 专线（Chen 注：MPLS（Multi-Protocol Label Switching，多协议标签交换）专线基于运营商的 MPLS 骨干网，通过标签转发在共享网络上划分出逻辑隔离的 VPN。它不是物理独占线路，而是在运营商网络内做隔离，优势是能灵活组多点（多个机房互联）、支持 QoS 分级。与点对点专线的区别：点对点是两端独占直连，MPLS 是共享骨干网上的逻辑隔离、天然支持多点组网。））相比公网，提供的是一条物理或逻辑上隔离的网络路径，不经过公共互联网的路由，中间人窃听、DNS 劫持这类公网常见威胁在专线上基本不成立。

但专线证明的是「这条链路两端是谁」，不是「链路那头在操作的人是谁」。这个区别第 1 篇已经点出过，这里具体展开：

图1：专线证明的是链路两端，不是操作者身份

也就是说，专线解决的是网络层的信任问题，认证要解决的是应用层「操作者是谁」的问题，二者是两个不同层面的问题，不能相互替代，但可以组合。

2. 组合模式：证书 + IP 白名单 + 会话级认证

专线场景常见的实践是把多层控制叠加起来，每一层解决不同层面的问题：

图2：专线场景的分层控制组合

第一层：IP 白名单。专线的一大特点是网络拓扑相对固定，接入的 IP 段是可预期、可枚举的，不像公网服务需要面对任意来源的连接请求。IP 白名单能过滤掉不经过专线正常路径的连接尝试，是最基础的一层过滤，成本很低。

IP 白名单本身不是认证，IP 地址是可以被伪造（IP spoofing（Chen 注：IP 欺骗，指攻击者伪造 IP 数据包的源地址字段，冒充成受信任的 IP 来绕过基于源地址的访问控制。IP 头部的源地址由发送方自行填写、缺乏内建校验，所以单向伪造在技术上很容易。不过要在 TCP 这类需要双向握手的连接里真正利用它并不简单，因为伪造方收不到返回包（回包被路由到真实 IP），无法完成三次握手；真正的威胁多出现在 UDP 反射、同网段旁路或已能截获回包的场景。））的网络层信息，不代表任何身份凭证。它的作用是缩小攻击面，不能单独构成认证因素，必须与后面两层配合使用。

第二层：证书认证。承接第 5 篇的结论：证书 + 私钥不出硬件的方案（USB Key、HSM 托管的系统证书）验证的是「这是已授权的系统或终端」，解决的是设备/系统层面的身份问题。专线场景下，这层证书认证既可以用在系统对系统的连接建立阶段（如建立 TLS 双向认证连接），也可以用在具体操作者的登录环节。

第三层：会话级认证。前两层解决的是「这条链路可信、这个系统可信」，但一次专线连接建立后，可能有多个操作者在不同时间使用同一条链路执行不同操作，会话级认证要解决的是「当前这次具体操作，是哪个人在执行、有没有权限」，通常结合第 3 篇讲的硬件 OTP 令牌或第 5 篇的证书，在每次关键操作（如发起一笔清算指令）时做二次校验，而不仅仅是登录时校验一次。

这三层解决的是三个不同粒度的问题：IP 白名单管「连接从哪来」，证书认证管「这是不是已授权的系统/终端」，会话级认证管「当下这个操作是谁发起的、有没有权限」。三层缺一，都会留下对应粒度上的缺口。

3. 网络层信任如何「折算」进整体强度

回到本篇开头的问题：专线信任能不能折算进整体认证强度？答案是能，但只能折算进「降低某些攻击的可行性」，不能折算进「提升认证因素本身的强度等级」。

具体来说：

可以合理简化的：因为专线的接入方相对固定，某些在公网场景下必须做的额外校验（如频繁的异常登录地检测、复杂的设备指纹校验）在专线场景下的边际价值降低，可以适度简化，把资源集中投入到前面讲的分层组合上
不能替代的：第 1 篇建立的强度分级尺（L1/L2/L3）衡量的是认证因素本身的抗攻击能力，专线信任不改变这个等级。一个 L1 级别的方案（如短信验证码）配上专线，依然是 L1，因为短信验证码的固有弱点（依赖外部运营商流程）和专线与否没有关系

一个简单的判断标准：专线信任能够降低「链路层面」的攻击可行性（如中间人窃听），但完全不影响「应用层」的认证强度判断。评估一个专线场景的整体安全水位时，要把这两层分开算，不能把网络层的加成直接叠加到认证强度的等级上。

4. 专线断线重连时的重新认证策略

专线场景还有一个前面几篇都没涉及的实际问题：专线连接本身会因为各种原因短暂中断（运营商侧维护、物理线路故障），重新建立连接后，之前建立的信任状态要不要重新验证？

常见的策略选择：

完全重新认证：断线重连后，要求走完整的认证流程（包括会话级认证），安全性最高，但如果专线不稳定、频繁抖动，会带来明显的可用性问题
基于时间窗口的宽松重连：短时间内（如几分钟）的断线重连，只做轻量校验（如重新验证证书有效性，不要求重新输入 OTP），超过时间窗口才要求完全重新认证，这是更常见的折中方案
区分连接层和会话层：网络连接（专线本身）的重建和应用层会话的保持解耦，专线断开不代表应用层会话立即失效，会话本身有独立的超时和续期机制,与底层网络连接的稳定性脱钩

这里最容易踩的坑是把「网络层连接短暂中断」和「应用层会话应该失效」混为一谈，导致要么频繁重新认证影响可用性，要么反过来对断线重连不做任何校验、给攻击者在专线抖动窗口期内冒充合法连接的机会。合理的设计是让两层的超时策略独立配置，根据机构自身的风险容忍度选取合适的时间窗口。

5. 为什么这些方案是专线场景独有的

内部落地系统用不上这套组合，原因很直接：内部落地系统的网络本身就是机构自己的内网，不存在「专线两端是不同信任主体」这个前提，IP 白名单、证书认证这些控制手段当然也会用，但不存在「专线信任要不要折算进整体强度」这个问题，因为压根没有一条跨越两个机构信任边界的专线需要被评估。这正是第 1 篇就提到的：专线托管端系统的信任边界横跨两个机构，这个特性是内部落地系统天然不具备的,所以这套设计空间是专线场景独有的。

6. 小结

专线场景的核心设计原则是分层：网络层信任（IP白名单）、系统/终端身份（证书）、操作者身份（会话级认证）解决三个不同粒度的问题，专线信任可以简化某些公网场景下的额外校验，但不能替代任何一层，也不能提升认证因素本身的强度等级。断线重连时的策略，需要把网络连接层和应用会话层的超时机制解耦，才能兼顾安全性和可用性。

下一篇（收尾）汇总前七篇每个方案在强度尺上的定位，给出一张「什么场景该配什么方案」的决策矩阵，收束整个系列。

评论