c# - 为 RSA SecurID 开发的困难

Question

我是产品经理，不是开发人员，所以如果我的问题很愚蠢，请多多包涵。

我目前正在尝试根据客户要求(实际上是 20 个)将我们的软件与 RSA SecurID 集成。郑重声明，我不想，而且根据我的研究，那里有更好、更便宜的解决方案，但我离题了。

我们可以解决的问题之一是您无法直接与他们的身份验证管理器(“AM”)通信。相反，您必须使用此 RSA 代理并将调用发送到与 AM 通信的代理。当您调用代理时，您还为它提供了它需要的特定文件的文件路径，这些文件包含它需要与 AM 通信的内容(证书、地址、AM 的最后状态等)。我们的软件是共享 SaaS，我们不能将所有这些客户文件都转储到服务器硬盘上。理想情况下，它们需要在数据库中，但代理不会接受要发送给它的文件，就像在对象中一样，它希望它们位于物理文件路径中。

所以我的问题是:

• 有没有其他人开发过针对 RSA 的 SecurID 解决方案？
• 您是如何处理存储 sdreq、nodesecret 等的？
• 一般来说，当文件驻留在数据库 (.NET) 中时，您会如何处理需要提供程序文件路径的情况？

Answer 1

实现 SDTI 协议(protocol)并不难，只要您使用 SDK。您将需要 RSA 的一些帮助。例如，you need a valid licence just to download the SDK ，当你购买服务器进行测试时，你会得到。

支持 token 也意味着支持一些失败模式，比如:

• 具有时钟偏差的 token (重新同步 token )
• 没有 PIN 的 token (您必须提示输入一个)
• 如果用户未提供有效信息(例如:新 pin 不符合复杂性要求)，则所有来回

我建议您实现 Radius 协议(protocol)作为中间解决方案。我所知道的所有版本的 Authentication Manager 都实现了 Radius 协议(protocol)。它是标准化的，并且有机会与 SecurID 以外的其他解决方案一起使用。它可以让您更快、更便宜地启动和运行。 Radius 在网络加密保护方面稍弱一些，但您不必处理节点 secret 。

另一方面，您可能需要做更多的工作来支持高可用性，具体取决于您选择的 Radius 客户端。

那里有一些 Radius .Net 客户端库，并且 this SO question is a good start .

您的测试设置将包括 NTRadPing和(我假设)具有网络策略角色的 Server 2008 R2 作为测试服务器。