20112000年的互联网密码泄露事件刚刚过去。最近，根据一个网站在微博上发布的头条新闻：怀疑数万个服务器账户泄露-一些中国开源远程服务器管理软件Putty、WinSCP、SSH Secure等内置后门爆炸，到目前为止PuTTY后门服务器已泄露数万个账户，管理员手中的大量数据面临重大安全危机。
修改密码，亡羊补牢
每次面对密码泄露事件后，大多数建议都是如建议尽快修改密码、战略加固等，以避免密码泄露在短时间内重复，是弥补方案，不能解决密码认证本身的静态属性，只要有盗窃，静态密码认证机制就面临其固有的风险。由于各种盗窃技术，管理员无法控制服务器登录密码被盗。
有没有办法让非法用户在获得账号密码后仍然无法成功访问我们管理的服务器资源？
试着考虑一次性密码技术
一次性密码技术绝对不是一个新概念。简而言之，根据特定算法计算即时变化的密码，一次性使用是有效的。目前，基于时间型的密码每60/30秒变化一次。然而，它确实是服务器登录认证场景中最合适的。
你为什么这么说？目前，服务器的一次性密码认证解决方案是在账户密码认证技术上增加一层一次性密码认证，形成双因子认证和后门Putty/ WinSCP/SSH Secure非法用户通过植入木马获取用户账户、密码、一次性密码信息并上传到其服务器，使用盗窃账户、密码和一次性密码进行非授权访问。由于一次性密码使用失败，他们仍然成功地访问了服务器。
尤其像IDC、电信运营商、网络游戏、大型企业、政府、互联网企业等，其服务器数量非常大，传统的定期服务器修改高强度密码方案可以减少非授权访问的猜测，但仍不能解决盗窃引起的非法登录，另一方面处理修改、遗忘和重置密码相关IT随着管理成本的增加，使用一次性密码不仅可以提高服务器认证的安全性，还可以减少上述费用。
在服务器管理方面，硬件令牌通常用作一次性密码生成器，适合远程访问服务器，因为密码不需要与服务器接触。
借助一次性密码认证Linux/UNIX内置的PAM认证可参考宁盾的《使用》PAM结合动态密码提升Linux服务器访问安全》中提及的方案，需要增加的就是认证服务器软件，然后配置PAM同时，它可以与服务器证书机制共存，进一步提高访问安全性。越来越多的企业在服务器管理中采用了一次性密码方案。
以上是笔者实施多家企业服务器一次性密码认证的浅薄经验。欢迎批评和纠正。