佰倬数安身份认证密码模块

1 背景与挑战

随着数字化转型的持续推进，组织信息系统规模不断扩大，业务系统数量快速增长，访问入口日益多样化。用户、设备与系统之间的访问关系愈加复杂，身份认证逐渐成为信息安全体系中的关键基础能力。

与此同时，国家商用密码应用规范不断完善。GB/T 39786—2021《信息安全技术 信息系统密码应用基本要求》等标准明确提出，在涉及重要数据和关键业务的系统中，应采用符合国家标准的密码技术对身份进行有效鉴别。身份认证能力逐步从安全增强措施转变为合规性要求的重要组成部分。

在此背景下，组织不仅需要提升身份鉴别的安全等级，还需要在复杂系统环境中实现密码技术的工程化落地。在实际工程环境中，组织在推进密码身份认证能力建设时，往往面临来自既有系统结构、安全风险控制以及运行管理等多方面的约束。这些约束并非源于单一技术问题，而是由信息系统长期运行所形成的既有架构与运行方式共同决定。

首先，多数组织信息系统已经稳定运行并承载关键业务功能，其登录机制与认证流程深度嵌入现有系统之中。若身份认证能力的增强依赖于修改业务系统代码或重构既有登录流程，将增加实施复杂度，并引入上线风险与后续维护负担。在多系统并行运行的环境中，如何在不改变既有系统结构的前提下完成身份认证能力升级，成为密码技术落地的首要工程挑战。

其次，组合环境通常包含应用信息系统、操作系统账户体系、数据库访问体系以及各类业务平台入口。由于不同系统的认证机制与技术栈存在差异，身份认证能力往往呈现分散部署状态。这种分散模式不仅增加运维与策略管理复杂度，也使认证审计难以形成统一链条，整体身份认证体系缺乏一致性与可控性。

与此同时，传统身份认证方式通常依赖静态凭据或长期存在于终端环境中的密钥材料。一旦终端遭受攻击或凭据泄露，攻击者可能直接利用已获取凭据完成身份冒用。因此，组织需要构建具备更高抗窃取与抗冒用能力的身份鉴别机制，使身份认证能够在复杂终端环境下保持可信。此外，身份认证能力的增强若显著改变用户操作路径或增加使用负担，将影响系统可用性并增加推广阻力。组织在提升身份安全性的同时，还需要确保既有业务流程保持稳定，使安全机制能够自然融入实际运行环境。

综上所述，组织在推进密码身份认证能力建设时，既需要解决既有系统环境下的集成复杂性问题，又需要构建统一且可信的身份鉴别体系，并在安全性、可用性与工程可实施性之间取得平衡。这些现实挑战决定了身份认证能力必须以工程可落地的方式融入既有系统环境，而非依赖源代码改造。

在上述挑战背景下，身份认证已不再是单一系统内部的功能升级问题，而是组织整体安全架构中的基础能力建设问题。组织所需要的，不是针对某一系统的临时性源代码改造方案，而是一种能够在既有系统环境中稳定接入、在多类系统之间保持结构一致、同时满足密码合规要求并支撑长期扩展与运维管理的身份认证建设路径。因此，在复杂信息系统环境中，如何在不破坏既有系统结构的前提下实现密码身份鉴别能力的有效融入，成为组织在数字化与合规双重驱动下必须面对的核心问题。这一问题的解决，既需要技术机制的创新，也需要接入方式与架构思路的调整。

2 核心设计理念：生态自适应

在身份认证能力建设领域，佰倬数安身份认证密码模块提出了一种不同于传统密码产品实施方式的设计思路。该思路的核心并不在于增加新的认证入口，而在于通过对既有目标系统环境的主动适配，使密码级身份鉴别能力能够参与原有登录过程的执行，从而在不改变系统结构的前提下实现安全能力的增强。

长期以来，密码产品的落地多采用"以密码为中心"的建设模式。业务系统需要围绕密码能力进行接口对接、源代码改造或流程重构，才能完成身份认证升级。这种方式在工程实践中往往涉及系统的源代码改造、版本调整与联调测试，实施周期较长，对既有系统稳定性也带来一定影响。在多系统并存的环境下，这种源代码改造型建设方式难以规模复制。

佰倬数安身份认证密码模块从设计理念上改变了这一逻辑，产品不要求目标系统围绕密码能力进行结构调整和源代码改造，而是由产品侧承担改造工作，使密码身份鉴别能力能够在既有登录过程内自然融入。原系统的认证主体、权限模型与登录路径保持不变，用户仍通过原有入口完成登录操作，密码鉴别结果则成为原系统认证决策的一部分。

在这一理念框架下，密码身份认证不再是一次性的源代码改造任务，而是一种可标准化部署的基础能力。组织无需关注底层密码算法实现与密钥管理细节，仅需完成产品部署与配置，即可在既有系统环境中实现符合商用密码标准的身份鉴别增强。

"生态自适应"的实质是在目标系统关键控制点部署自集成组件，通过深度集成使身份认证密码模块与目标系统成为一个整体。这不是外层代理，而是路径级的深层嵌入；不是独立运行，而是有机融合。通过这种方式，密码身份认证能力能够在复杂、多样化的信息系统环境中稳定落地，并为组织构建长期可持续的身份认证基础架构。

需要明确的是，"生态自适应"的工程实现需要对目标系统进行改造，但这种改造区别于传统密改方式。传统密改通常需要修改应用系统源代码、调整业务逻辑，实施周期长、风险高。佰倬数安身份认证密码模块采用的是在目标系统关键核心位置部署自集成组件的技术路线，通过在操作系统内核、登录认证节点、网络接入控制点等关键位置嵌入登录集成控制器组件，实现密码能力的注入。这种改造方式的核心特点是：改造目标系统的认证执行路径，但不修改目标系统源代码；改造认证控制机制，但不改变业务逻辑结构。

市场上存在一种认知误区，认为密码应用改造必须修改目标系统源代码才算真正的密改。这种观点实际上混淆了密改的目标与手段。密改的本质目标是在信息系统中实现符合商用密码标准的安全防护能力，而实现这一目标的技术手段可以多样化。佰倬数安身份认证密码模块通过在关键控制点部署自集成组件的方式，在不修改源代码的前提下实现了对目标系统认证机制的深层改造。这种"产品侧主动密改，用户侧无感接入"的技术路线，既满足了密码应用改造的合规要求，又大幅降低了实施风险与成本，是密改工程实践的一种有效创新。

3 产品概述

在上述设计理念基础上，密码身份鉴别能力通过登录集成控制器深度嵌入目标系统的认证执行路径。登录集成控制器部署在目标系统的关键控制点（操作系统内核、登录认证节点、网络接入控制点等），与身份认证密码模块服务端、身份认证密码模块移动客户端等组件协同工作，共同构成一个有机整体。由此，身份认证能力不再是外挂组件，而是目标系统认证流程的有机组成部分。

3.1 产品组成

佰倬数安身份认证密码模块围绕"在既有登录过程内引入密码级身份鉴别能力"的设计目标，构建了完整的认证基础结构，本产品由身份认证密码模块服务端、身份认证密码模块移动客户端组成。

佰倬身份鉴别解决方案由佰倬数安身份认证密码模块以及登录集成控制器等核心组件构成，登录集成控制器部署在目标系统内参与目标系统的既有登录过程。佰倬数安身份认证密码模块产品框架图如图1所示：

从结构上看，佰倬数安身份认证密码模块通过登录集成控制器与目标系统深度集成，使身份认证密码模块与目标系统成为一个整体。登录集成控制器组件嵌入目标系统既有登录过程内部，与身份认证密码模块服务端、身份认证密码模块移动客户端协同工作，共同构建符合商用密码要求的身份鉴别能力。这种深度集成的架构确保了密码身份鉴别能力能够在不改变目标系统认证结构的前提下，成为系统认证流程的有机组成部分。

身份认证密码模块服务端是系统的认证控制中心，负责身份认证过程的统一调度与验证处理。在认证过程中，身份认证密码模块服务端接收来自登录集成控制器发起的认证请求，根据认证策略生成挑战信息，并对身份认证密码模块移动客户端返回的认证响应进行密码学验证，最终形成身份鉴别结果并返回目标系统。身份认证密码模块服务端承担的是身份鉴别结果的生成职能，而不替代目标系统本身的登录决策功能。

身份认证密码模块服务端含注册中心服务，负责身份凭证的生成与管理，是系统身份鉴别能力的凭证基础组件。该服务生成基于动态密钥派生机制的密码图卡，并管理身份凭证的生命周期与绑定关系，为身份认证密码模块移动客户端执行身份鉴别提供基础凭证支持，使身份认证过程能够在无需长期存储完整密钥的前提下完成。

身份认证密码模块移动客户端部署于用户终端环境中，包括手机端或桌面端组件，用于执行认证过程中的密码学计算与身份确认操作。在认证过程中，身份认证密码模块移动客户端接收身份认证密码模块服务端发起的挑战信息，在本地安全环境中生成认证响应，并返回身份认证密码模块服务端完成验证。身份认证密码模块移动客户端不参与目标系统的登录控制，而是作为身份鉴别执行实体，与身份认证密码模块服务端协同完成密码学身份认证过程。

登录集成控制器是密码身份鉴别能力与目标系统深度融合的关键组件。其部署位置位于目标系统既有登录过程内部，嵌入认证执行路径的关键控制点，成为目标系统认证流程的有机组成部分。当用户通过目标系统发起登录时，登录集成控制器在既有登录路径中触发认证请求，并与身份认证密码模块服务端协同完成密码学验证。身份认证密码模块服务端返回的身份鉴别结果通过登录集成控制器参与目标系统既有登录决策过程，使密码身份鉴别能力成为既有认证机制的一部分，而非替代既有认证机制。登录集成控制器不是独立于目标系统之外的代理组件，而是深度嵌入目标系统内部的认证增强模块。

如图1所示，目标系统包括应用信息系统、Windows系统、Linux类系统（Linux或国产操作系统）及数据库系统等各类业务环境。佰倬数安身份认证密码模块通过登录集成控制器深度嵌入这些系统的认证执行路径，与身份认证密码模块服务端、身份认证密码模块移动客户端协同工作，形成一个有机整体。在这个整体中，目标系统保持自身认证主体与登录结构不变，登录集成控制器作为认证流程的有机环节嵌入其中，密码身份鉴别能力如同血液一样在整个系统中流动，使目标系统获得符合商用密码要求的身份鉴别能力增强，实现身份认证可信度的实质性提升。

3.2 工作机制

为说明如何在目标系统既有登录过程内实现密码身份鉴别能力的增强，本节依次介绍信息系统登录过程、认证扩展机制以及佰倬数安身份认证密码模块的密码身份认证执行流程。

3.2.1 信息系统登录过程

通常信息系统登录过程如图2示。该图展示了目标系统通常的既有登录过程，该过程由登录入口、身份认证/鉴别和登录授权三个关键环节构成。

用户首先通过系统提供的登录入口发起登录请求，登录入口负责接收用户输入的账户标识及相关登录信息，并将该请求传递至系统内部的认证执行路径。随后，对登录账户执行身份认证/鉴别，即验证登录请求所对应账户身份的真实性，确认"登录者是否为所声明的用户"。在身份认证完成后，信息系统根据认证结果及访问控制策略执行登录授权，决定是否允许该用户登录系统。

只有在身份认证通过且授权允许的情况下，系统才会为用户建立会话，登录过程最终完成。由此，登录入口负责接收登录请求，身份认证负责确认用户身份真实性，而登录授权负责最终决定是否允许用户进入系统。

3.2.2 认证扩展机制

不同类型的目标系统通常在其认证执行路径中提供用于扩展认证能力的认证扩展点，使认证流程能够在执行过程中调用外部认证构件参与身份鉴别。佰倬数安身份认证密码模块通过登录集成控制器组件接入这些认证扩展点，使密码身份鉴别能力成为既有认证执行路径中的一个鉴别环节。由于应用信息系统、操作系统、及数据库系统在认证架构上的实现方式不同，其认证扩展点的工程实现形式亦存在差异，但在架构层面均体现为认证执行路径中的扩展节点。不同目标系统的认证扩展点范式如下表所示。

目标系统类型	认证扩展点范式	登录集成控制器在流程中的位置
Linux类系统（Linux或国产操作系统）用户登录	Linux类系统提供的"认证模块链/回调点"	作为Linux认证模块链中的一环，在身份认证阶段触发密码鉴别
Windows系统用户登录	Windows系统提供的"认证模块链/回调点"	作为Windows认证模块链中的一环，在身份认证阶段触发密码鉴别
应用信息系统用户登录	应用认证组件/中间件提供的"登录处理点/认证过滤链/认证提供者接口"	在解析出登录账号后、形成最终认证结论前触发密码鉴别
数据库用户登录	数据库提供的"外部认证接口"	在数据库认证层对账号进行鉴别时触发密码鉴别

需要说明的是，图2中所示的"登录集成控制器"为认证扩展机制的统一抽象表示。在实际部署中，该组件依据不同目标系统的认证架构分别实现为对应的认证集成组件，例如应用信息系统、Windows系统、Linux类系统、及数据库系统中的相应认证扩展模块，分别称作登录集成控制器（应用信息系统）、登录集成控制器（Windows）、登录集成控制器(Linux/国产)、登录集成控制器（数据库），帮助在各类目标系统的既有认证执行路径中实现密码身份鉴别能力的集成。

3.2.3 身份鉴别机制基础

佰倬数安身份认证密码模块基于国标的密码学实体鉴别协议实现登录用户身份确认，其认证过程建立在对称密码算法基础之上，并通过动态密钥派生机制完成认证计算。

在认证过程中，身份认证密码模块服务端与身份认证密码模块移动客户端分别持有与用户身份及身份认证密码模块移动客户端实体关联的密钥材料。在认证执行时，身份认证密码模块服务端生成认证挑战信息，身份认证密码模块移动客户端基于本地密钥材料及挑战信息，通过动态密钥派生过程计算认证响应并返回身份认证密码模块服务端。身份认证密码模块服务端基于对应的密钥派生规则完成验证，并形成身份鉴别结果。

该认证过程同时涉及两个实体：一是目标系统中的登录用户身份，二是执行认证计算的身份认证密码模块移动客户端设备实体。认证响应由身份认证密码模块移动客户端在本地生成，并与对应的用户身份关联，使认证结果能够同时确认登录用户身份及参与认证的设备实体，从而形成与登录用户身份一一对应的实体鉴别关系。

身份认证密码模块服务端输出的身份鉴别结果随后返回登录集成控制器，并作为目标系统既有认证执行路径中的鉴别依据之一参与登录决策过程。在此过程中，目标系统始终作为登录主体与授权决策主体，而密码身份鉴别机制作为认证执行路径中的组成环节参与身份认证的执行。

通过上述机制，佰倬数安身份认证密码模块在目标系统既有登录过程中实现了基于对称密码算法、动态密钥派生及用户实体与设备实体双重参与的密码学身份鉴别过程。

3.2.4 密码身份认证执行流程

佰倬数安身份认证密码模块通过登录集成控制器组件，将密码身份鉴别能力引入目标系统的既有登录过程，使其身份认证能力得到增强。佰倬数安身份认证密码模块的密码身份认证流程如图3所示。

当用户访问目标系统并发起登录请求时，登录行为首先进入目标系统既有的登录处理路径。在此过程中，登录集成控制器作为目标系统登录流程的一部分被触发，获取当前的身份认证请求并发送至身份认证密码模块服务端。

身份认证密码模块服务端根据认证策略生成挑战信息，并通过身份认证密码模块移动客户端与用户建立交互。用户在身份认证密码模块移动客户端完成身份确认后，身份认证密码模块移动客户端生成认证响应并返回身份认证密码模块服务端。身份认证密码模块服务端完成密码学验证后，生成明确的身份鉴别结果，并将该结果返回至登录集成控制器。

如图3所示，登录集成控制器位于目标系统的登录路径内部，其接收身份认证密码模块服务端返回的认证结果，并将其作为目标系统登录流程中的决策依据之一，参与既有登录决策过程。最终，目标系统依据自身授权逻辑，譬如联合考虑登录时间，源IP等因素，做出登录授权决策。

在这一过程中：

• 用户始终通过目标系统发起登录；
• 目标系统始终是登录行为的执行主体与授权决策主体；
• 登录集成控制器作为登录过程的一部分参与用户身份鉴别/认证；
• 身份认证密码模块服务端与身份认证密码模块移动客户端协同完成登录用户的密码学身份鉴别；
• 密码身份鉴别能力通过登录集成控制器嵌入既有登录过程内部，成为认证流程的有机环节，而不是通过外部系统替代或接管登录过程。

因此，本系统实现的是对既有身份认证能力的密码学增强，而非对登录过程的接管或重构。系统不改变目标系统的账户体系与登录结构，而是通过融入既有登录路径，使密码身份鉴别能力成为既有登录过程的组成部分，从而在保持系统结构稳定的前提下，实现身份认证可信度的实质性提升。

3.3 产品运行环境

佰倬数安身份认证密码模块采用模块化组件架构。身份认证密码模块服务端、客户端可按需部署，登录集成控制器则深度嵌入目标系统内部，成为目标系统认证流程的有机组成部分。各组件协同工作，与目标系统形成一个整体，共同实现符合商用密码要求的身份鉴别能力。

身份认证密码模块服务端独立部署于服务器环境中，支持运行于国产操作系统或其他主流Linux操作系统之上，负责身份认证过程的控制、验证处理及身份凭证管理。可根据实际部署规模，采用集中部署或分布式部署方式，以满足不同规模环境的运行需求。

登录集成控制器部署于目标系统运行环境内部，参与目标系统的既有登录过程。该模块的相应组件可分别运行于应用信息系统环境、Windows系统环境、Linux类系统环境或数据库系统的运行环境中，使密码身份鉴别能力能够在目标系统的既有系统结构下完成接入。

身份认证密码模块移动客户端运行于用户终端环境中，支持手机终端或桌面系统形式。身份认证密码模块移动客户端与身份认证密码模块服务端基于安全通信机制完成认证交互。

4 四大创新：从可信机制到落地路径的系统化突破

为使密码身份鉴别能力能够在目标系统的既有环境中稳定运行并形成可持续的工程能力，佰倬数安身份认证密码模块在身份鉴别机制、接入方式以及认证体系结构等方面进行了针对性设计，使密码认证能够在不改变既有系统运行方式的前提下完成落地。

4.1 技术创新：机制层可信

在传统身份认证方案中，鉴别密钥或关键凭据往往需要在客户端长期存储。一旦终端环境遭受攻击，密钥材料可能被复制、窃取或滥用，从而削弱整个身份认证体系的安全性。

佰倬数安身份认证密码模块采用动态密钥派生机制，将鉴别密钥材料分散存储于服务端与移动客户端两端，仅在实际认证过程中按需动态生成完整密钥。认证完成后，完整密钥立即失效，不在任何一侧长期保留。

通过这种机制，佰倬数安身份认证密码模块改变了传统静态凭据长期存在的模式，使身份认证过程从"依赖固定密钥材料的验证机制"转变为"基于动态派生与即时计算的鉴别机制"。即使终端环境受到攻击，也难以通过单点获取完整密钥材料，从而显著降低凭据泄露与滥用风险。结合硬件安全模块的保护能力，该机制为身份鉴别提供了更稳健的密码学支撑，使身份认证能力在工程实践中具备更高的安全可信度，并满足高等级商用密码应用场景下的技术要求。

4.2 架构创新：工程层可落地

在身份认证能力建设中，真正的难点往往不在于密码算法本身，而在于如何在不同类型的系统环境中，以稳定、合规且可复制的方式完成工程接入。

佰倬数安身份认证密码模块在架构层面的创新，体现在认证机制与目标系统深度集成。不替代目标系统的既有登录流程，而是通过登录集成控制器嵌入目标系统认证执行路径，使密码身份鉴别能力作为认证流程的有机环节参与既有登录过程的执行。

在实际运行中，用户仍沿用目标系统的标准登录路径，系统既有的身份认证主体与安全模型保持不变，登录决策仍由原系统完成。密码身份鉴别作为认证流程中的一个组成部分参与执行，其结果直接进入原目标系统的登录授权逻辑，而非由外部组件独立生成登录结论。

佰倬数安身份认证密码模块始终遵循一个核心原则：密码能力嵌入目标系统的既有登录流程，而非替代既有登录管理流程。认证行为与原系统真实登录用户一一对应，认证结果成为原系统登录决策过程的一部分。在工程实现层面，该架构具备明确特征。系统接入不改变原有登录过程，不绕过原系统认证机制，不以代理方式执行登录控制，同时不要求修改业务系统源代码。

因此，本系统实现的是对目标系统的既有身份认证能力的密码学升级，而非对其登录流程的接管或重构。其创新之处不在于增加独立认证入口，而在于在既有登录框架内完成针对身份鉴别的密码合规属性的增强，使身份鉴别能力能够在多类系统环境中稳定落地，密码鉴别结果直接进入原目标系统的登录授权逻辑，使得密码学身份认证成为目标系统的用户登录过程中的自然组成部分。

4.3 应用创新：场景层可覆盖

组织信息系统通常由多类运行环境构成，包括应用信息系统、操作系统账户体系以及数据库访问体系等。不同系统类型在认证机制、技术栈与运行模式上存在差异，若分别部署独立认证方案，往往形成分散建设与分散管理的局面，增加运维复杂度与策略割裂风险。

佰倬数安身份认证密码模块在应用层面的创新体现在统一认证平台架构之上，围绕不同类型系统的登录与访问特征，提供相应的登录集成控制器组件，使密码身份鉴别能力能够在各类入口环境中参与原有登录过程的执行。通过这种方式，应用信息系统登录、操作系统账户登录以及数据库访问认证等场景均可纳入同一认证体系之下。

在实际部署中，各类系统的身份认证能力由统一平台进行管理与配置。认证策略不再依赖于各系统分别实现，而是在统一框架下集中维护。用户在不同系统中的认证方式保持一致，运维人员亦可在同一管理体系内完成策略调整与状态监控。

通过这一应用层创新，组织身份认证能力由单点强化转变为整体覆盖，使不同系统入口在同一密码身份认证框架下运行，从而减少重复建设带来的管理负担，并为组织建立结构一致、策略统一的身份认证体系。

4.4 体系创新：安全层可闭环

在复杂终端环境与多样化攻击场景下，单纯验证"用户身份"已难以满足高安全等级要求。仅依赖口令或一次性验证码等单一要素，无法有效区分"合法用户操作"与"被攻破设备代替用户发起的操作"，从而在身份认证密码模块移动客户端的设备层面形成安全盲区。

针对这一问题，本产品构建了设备与用户相结合的双重身份鉴别体系。认证过程中，身份认证密码模块移动客户端与认证服务器首先通过设备鉴别密钥完成双向实体鉴别，用以确认接入设备的合法性与完整性。在身份认证密码模块移动客户端的设备身份得到确认后，再通过用户鉴别密钥完成用户身份认证，使登录行为同时具备"设备可信"与"用户合法"两个前提条件。

这种分层验证机制，将身份认证从单一用户要素校验扩展为包含终端环境在内的端到端验证过程。即使攻击者获取了用户凭据，若无法通过设备层鉴别，仍难以完成完整认证链路；同样，设备本身的合法性也无法替代用户身份的独立确认。

通过将设备鉴别与用户鉴别纳入同一认证体系的机制，在工程层面形成覆盖终端设备环境与账户身份的双重验证结构，使身份认证能力能够更有效地应对凭据盗用、设备冒用等现实攻击场景，并为目标系统提供更为稳健的身份安全基础。

通过在密钥机制、接入架构、场景覆盖与双重鉴别体系四个层面的系统化设计，佰倬数安身份认证密码模块构建了一套可工程化落地的密码身份鉴别框架。该框架的核心不在于新增独立认证入口，而在于在目标系统的既有登录过程内引入符合商用密码标准的身份鉴别能力，使密码认证结果直接参与原系统的认证决策。该框架既不替代原有认证主体，也不改变既有权限判定逻辑，而是在保持目标系统结构稳定的前提下，实现其身份鉴别能力的密码化增强。

5 产品价值与应用成效

前文从合规背景、核心理念与技术创新层面阐述了佰倬数安身份认证密码模块的设计和实现。本章从组织建设与落地应用角度，说明佰倬数安身份认证密码模块在实施效率、安全效果、覆盖范围、使用体验与合规支撑方面所形成的综合价值。

5.1 实施效率提升：从源代码改造转向能力部署

在组织信息系统环境中，身份认证升级往往涉及多系统并行运行、跨部门协作与上线窗口协调等复杂因素。若身份认证能力的引入依赖于业务系统代码改造或登录逻辑重构，项目周期、资源投入与实施风险通常难以稳定控制。

本产品通过在目标系统的既有认证流程中融入密码学身份认证，使身份认证升级在多数场景下能够以"部署与配置"的方式推进，而无需进入源代码改造阶段。身份认证能力由产品侧完成改造与集成，业务系统无需承担额外的源代码开发任务。

在这一模式下，组织可减少对目标系统研发资源的占用，缩短从方案评估到上线运行的整体周期，并降低因系统源代码改造引发的稳定性风险。同时，在多系统环境中采用统一的接入方式，有助于提升推广过程的可复制性与实施节奏的可预期性。

通过从"源代码改造"向"能力部署"的转变，组织能够在结构稳定的前提下推进身份认证体系升级，使实施过程更加可控。

5.2 安全效果提升：构建更高可信的身份鉴别能力

身份认证的核心目标在于确认登录行为对应的账户身份真实可靠，并在工程层面降低凭据泄露、身份冒用以及高权限账户被滥用的风险。

本产品通过动态密钥派生机制、硬件安全保护以及设备与用户双重身份鉴别结构的叠加设计，将身份鉴别能力从依赖静态凭据的单一验证模式，提升为基于密码学计算与实体确认的验证模式。完整密钥不长期存在于单一环境中，认证链路同时覆盖终端与账户两个维度，从结构上减少单点凭据泄露导致整体失效的风险。

在实际运行中，该机制能够降低静态凭据长期暴露带来的攻击面，强化对登录用户身份真实性的确认，并使认证过程具备明确的技术执行路径与可审计基础。在既有系统架构保持不变的前提下，组织能够建立符合商用密码要求的身份鉴别能力，而无需对登录决策主体进行替换。通过多层机制协同作用，系统所形成的身份认证能力不再仅停留于流程增强层面，而是能够在面对凭据盗用、设备冒用等现实攻击场景时提供更具针对性的防护支撑。

5.3 覆盖范围扩展：统一支撑多类系统入口

组织实际运行环境中往往存在多类系统入口并行运行，包括应用信息系统入口、主机与操作系统登录入口、数据库访问入口以及各类基础平台入口。不同系统在技术实现与认证方式上的差异，使身份认证能力容易形成分散建设的局面。若各入口分别采用独立认证方案，策略配置将分布在不同系统之中，运维管理复杂度随之增加，审计记录也难以形成完整链条。

本产品通过统一的认证平台与目标系统深度集成，使不同类型系统在同一身份认证框架下运行。各类入口的认证策略在统一平台进行配置与管理，认证能力不再依赖各系统分别实现，而是在统一结构下完成执行。运维与配置工作由分散管理转为集中管理，不同系统环境中的认证逻辑保持结构一致，审计与核查过程也能够在同一体系内进行关联与分析。

通过这种方式，组织身份认证建设由多点强化转变为体系化构建。不同系统入口在统一认证结构下运行，避免多套方案并行带来的长期维护压力与管理负担，为后续扩展与规模推广奠定基础。

5.4 使用体验保持：安全增强不改变业务习惯

在组织实际部署过程中，若身份认证机制显著改变用户操作路径或业务流程，往往会带来推广阻力，甚至导致用户绕行使用，从而削弱安全措施的实际效果。

本产品在既有登录流程框架内完成密码身份鉴别能力的增强。用户仍沿用原系统的登录入口与操作习惯，认证行为在既有流程中自然执行，不引入额外的独立登录路径或复杂操作步骤。原系统的交互结构保持稳定，业务流程不因安全能力增强而被重构。

在这一模式下，安全能力的引入对业务运行的影响保持在可控范围内，有助于在组织内部实现平稳推广与持续运行。通过在强化身份可信度的同时维持流程顺畅，系统能够在真实业务环境中长期稳定运行，而不成为额外负担。

5.5 合规支撑内建：降低审计与整改的不确定性

随着商用密码相关标准与等级保护要求的不断强化，身份鉴别已成为合规审查中的重点内容。组织在建设身份认证能力时，关注的不仅是技术功能是否具备，更在于该能力是否能够在审计过程中被明确识别、被验证，并能够持续满足合规要求。

本系统在设计阶段即围绕国密标准与等级保护相关要求构建身份鉴别机制，使密码身份认证能力成为体系内在组成部分。认证机制的实现路径、密钥管理方式以及鉴别流程均具备清晰的技术结构与执行逻辑，有助于在审计过程中形成明确的支撑依据。

在这一框架下，组织无需在项目末期通过临时源代码改造或补救措施应对检查要求，而能够在既有系统环境中保持持续运行的合规状态。身份认证能力的建设由阶段性整改行为转变为长期可维持的体系能力，从而降低合规整改过程中的不确定性与额外成本压力。

6 典型部署案例

佰倬数安身份认证密码模块适用于多类需要在既有系统环境中增强身份鉴别能力的场景，尤其适合系统结构复杂、运行环境多样且合规要求明确的建设项目。

如上图（图4）所示：

1. 在业务系统服务器区旁路部署佰倬身份认证密码模块服务端，用于身份凭证管理、客户端下载及注册管理、应用及账号管理，以及身份认证过程的控制；
2. 在应用服务器部署登录集成控制器，用于自适应开启应用系统登录的第二因子身份认证及应用服务器设备层登录的第二因子身份认证；在数据库服务器部署登录集成控制器，用于自适应开启数据库登录的第二因子身份认证及数据库服务器设备层登录的第二因子身份认证；
3. 在业务人员及运维人员手机部署身份认证密码模块移动客户端，用于配合服务端完成第二因子身份认证过程。

7 密码合规与产品资质

佰倬数安身份认证密码模块通过在目标系统既有登录过程中引入密码学实体鉴别机制，使信息系统身份认证行为具备符合国家密码标准的技术基础，为密码应用合规与等级保护建设提供支撑。

佰倬数安身份认证密码模块的身份鉴别机制基于国家实体鉴别标准体系设计，认证过程符合GB/T 15843.2—2024《网络安全技术 实体鉴别 第2部分：采用鉴别式加密的机制》及GB/T 15843.3—2023《信息技术 安全技术 实体鉴别 第3部分：采用数字签名技术的机制》的技术要求，使认证过程具备密码学可验证的实体鉴别能力。

佰倬数安身份认证密码模块密码模块采用SM2、SM3、SM4等国家商用密码算法实现身份鉴别相关密码运算，并按照GM/T 0028《密码模块安全技术要求》及GB/T 37092《密码模块安全要求》进行设计与实现，确保密码运算过程符合国家密码安全规范。

佰倬数安身份认证密码模块已通过商用密码检测认证中心检测认证，并取得《商用密码产品认证证书》，可用于支撑组织信息系统的密码应用建设。

佰倬数安身份认证密码模块支撑GB/T 39786—2021《信息安全技术 信息系统密码应用基本要求》中关于身份鉴别测评单元的相关要求，并为GB/T 43206—2023《信息安全技术 信息系统密码应用测评要求》中的身份鉴别控制提供密码技术支撑。

8 结语

随着数字化与合规要求的不断深化，身份认证已从单一系统内部的安全机制，转变为组织整体安全架构中的基础能力。如何在既有系统环境保持稳定运行的前提下，引入符合商用密码要求的身份鉴别能力，成为身份认证建设中的关键问题。

佰倬数安身份认证密码模块围绕这一问题，从密钥机制、接入架构、场景覆盖与身份鉴别体系等多个层面构建了完整的技术框架。不替代既有登录主体，不改变原有登录入口，而是在既有登录过程内引入针对既有登录用户的密码级身份鉴别能力，使得密码学身份认证成为目标系统的既有用户登录过程中的自然组成部分。

通过与目标系统深度集成的统一认证平台架构，身份认证能力能够在多类系统环境中稳定部署，并保持结构一致的运行方式。组织无需对既有系统进行源代码改造，即可在现有环境中建立符合商用密码要求的身份鉴别能力，使身份认证建设由阶段性源代码改造转变为可持续运行的基础设施能力。

在这一架构下，密码身份认证不再是孤立的技术组件，而成为可工程化部署、可统一管理并能够长期支撑组织安全与合规建设的基础能力，为组织信息系统建立可持续运行的密码身份鉴别基础能力。