账号安全 体系框架

详细介绍一个完整的账号保护体系需要的系统和策略

设计与规划

账号安全体系主要系统 介绍常用的保护系统

登陆 RSA 加密系统登陆验证码系统频率检测系统用户行为限制（冻结）系统常规密保修改系统统一登陆系统敏感数据调用监控系统修改密保修改密码

设备管理系统异常通知系统账号自助服务系统数据调用量监控系统

接下来我们将展示这些系统的具体部署

1 of 6

www.jd.com

账号安全

数据安全数据安全：1. 用户隐私数据2. 支付交易信息3. 账号、密码安全

账号安全 :

1. 用户名2. 密码

账号威胁的 主要来源常见的威胁来源和途径

黑客攻击

1. 钓鱼攻击2. 撞库扫号3. 木马病毒4. 社会工程学5. 物理攻击

黑色产业链促使攻击

产品缺陷

1. 缺乏安全接口2. 敏感信息泄露3. 程序开发漏洞4. 逻辑设计缺陷

产品缺陷导致短板效应

疏于管理

1. 内部窃取2. 客服误判3. 第三方缓存数据4. 业务对敏感数据处理不当5. 未遵守相关流程

缺乏管理规范和监管措施

1 of 6

账号威胁的 主要来源常见的威胁来源和途径

存储传输

1. 中间人劫持2. 证书剥离3. 没有数据分级保护4. 内部泄露5. 物理设备攻击

缺乏有效的保护措施

教育缺失

1. 用户缺乏安全意识2. 企业和员工不重视3. 欺诈4. 用户自己不重视

用户、公司缺乏安全意识

其它

1. 信任短板 : 给信任方过高权限2. 设备丢失3. 身份伪造

上述未涵盖的方面

1 of 6

如何 有效的防御防御系统 列表保护账号必须的系统

以用户名和密码作为观测点，它们从用户输入、网络传输、服务接收、逻辑处理、存储、反馈各个环节都需要相应的保护系统。同时，针对发现的问题，需要配套的辅助系统避免环节中出现短板

1. DOM 篡改监控系统2. 安全控件、客户端程序

用户 输入1. 基于 RSA 非对称加密系统2. 流量劫持预警策略

网络 传输

1. 设备管理系统2. 异常通知系统3. 冻结、解冻系统

辅助 管理系统1. 验证码弹出决策系统2. 双因子验证系统3. 异常行为监控系统

服务器 处理

1 of 6

服务器

冻结、解冻、提醒系统

异常登陆检测

系统

验证码弹出系

统

双因子认证系

统

RSA数据加密传输系统

安全控件

异地登陆高频登陆密码破解设备异常

密码错误次数登陆频率

异于历史数据数据波动

手机短信口令卡OTP

干预

相关系统专利CN103856476ACN103634366ACN103544193ACN102664877A

用户输入环节安全 系统防御数据窃取、中间人攻击等

安全控件 / 篡改检测

如何去做：1. 通过控件或 js 对页面 DOM 计算统计特征2. 和服务器预存特征比对3. 做出报警和修正

功能概述：调用 javascript 或者控件，通过从服务器获取 DOM 统计特征，计算当前页面的统计特征，经过对比做出相应操作，可以有效发现伪运营商劫持、木马篡改页面等攻击

1

2

计算 DOM 统计特征

修正、报警

1 of 6

用户输入环节安全 系统防御数据窃取、中间人攻击等

登陆数据加密系统

如何去做：1.前端工程师实现 RSA函数2.后端服务实现 RSA秘钥对生成和加解密3. 开发定时秘钥更新系统4. 分布式部署

功能概述：调用 javascript 的 RSA函数，通过从服务器获取公钥对即将传输的数据进行加密 (建议的加密强度 128) ，服务器收到数据后，根据存储的私钥进行解密，可以有效防御重放攻击、中间人劫持攻击、心脏滴血漏洞、 SSL 低版本破解

1

2

双向加密 + 锁定 ( 用户 - 秘钥 )

定时更换

1 of 6

服务器环节安全 系统处理异常行为、做出自动惩罚和报警

异地登陆检测系统

如何去做：1. 统计用户历史登陆 IP 和区域特征2. 统计用户登陆时间习惯3. 统计用户区域登陆数量4.根据统计模型发现异常行为

功能概述：记录每一次用户登陆的 IP 、时段、区域、频次特征，出现异常时间、区域、频率时，通知干预惩罚系统

1

2

用户历史数据

对异常高发 IP 进行监控

1 of 6

服务器环节安全 系统处理异常行为、做出自动惩罚和报警

验证码弹出系统

如何去做：1.实时记录个体用户登陆数据2.实时统计区域弹出特征3. 动态提升验证码级别4.注意高并发的同步锁问题5.将登陆行为抽象为简单元操作以提高并发能力

功能概述：记录每一次用户登陆的 IP 、时段、区域、频次特征，同时记录区域、个体出错信息，出现异常时通知干预惩罚系统，同时弹出验证码，可以有效防御撞库、机器人登陆

1

2

实时数据跟踪

监控区域特征可以有效发现撞库

1 of 6

服务器环节安全 系统处理异常行为、做出自动惩罚和报警

双因子验证系统

如何去做：1. 开发基于二维码的种子管理系统2. 开发手机验证码系统3. 开发第三方硬件口令对接系统4.在高危情况下对根据用户的设置或者强制验证用户身份

功能概述：记录每一次用户登陆的 IP 、时段、区域、频次特征，同时记录区域、个体出错信息，出现异常时通知干预惩罚系统，同时弹出验证码

1

2

实时数据跟踪

监控区域特征可以有效发现撞库

1 of 6

服务器环节安全 系统处理异常行为、做出自动惩罚和报警

冻结、通知干预系统

如何去做：1. 开发冻结框架2.框架开放底层控制系统：控制用户请求路径 ( 弹出验证码、强制跳转 )3. 设置不同级别的惩罚措施4. 结合双因素认证和密保，开放解锁（解冻）系统

功能概述：通过开放框架层面的请求流向控制功能，对用户的异常行为进行干预，保证将出现的威胁限制在最小范围，在撞库成功后可以有效补救，提醒、教育用户，可以有效限制盗号后的后续危害行为

1

2

标记用户

系统崩溃、通信超时的时候做好无缝解冻方案

1 of 6

其它辅助系统• 验证码生成服务：生成图片验证码• 钓鱼主动检测系统 : 爬虫 + 相似度计算

• 离线数据分析系统• 密保维护系统• 设备管理系统：用于登陆 session 管理• 账号自助找回：利用历史数据进行机判• 数据调用监控系统：对核心数据调用量监控

管理手段• 产品安全管理培训• 员工安全开发手册• 运营人员参与盗号处理• 登陆入口统一：保证策略的一致性，防止出现短板• 用户安全教育活动• 推行安全开发生命周期 SDL

THANK YOU