中文--使用移動電話進行網(wǎng)上銀行身份驗證-wenkub
2023-05-19 17:39:47 本頁面
【正文】 。我們提供攻擊分析以此顯示這個協(xié)議的優(yōu)點。然而，技術(shù)長期以來一直被認(rèn)為是一把雙刃劍：當(dāng)人們享受由網(wǎng)上銀行帶來的便利的同時，他們的賬戶信息也遭到互聯(lián)網(wǎng)犯罪分子的竊取或篡改。另一方面，安全管理密碼對于大多數(shù)人是相當(dāng)棘手的。此外，新興的網(wǎng)絡(luò)釣魚技術(shù)[3]滋生了大量的釣魚網(wǎng)站誘使受害者親手將自己的密碼泄露。PGT實施的一個很好例子是RSA的SecureID[5]，這需要使用它與客戶的原始密碼一起使用才能登入網(wǎng)上銀行系統(tǒng)。生物識別技術(shù)也是一種網(wǎng)上安全銀行認(rèn)證方法[4]，其中用戶需要通過虹膜或指紋掃描或語音確認(rèn)來驗證自己。以前的一種方法，包括整合客戶的DC到USB閃存驅(qū)動器，它就變成了一個USB令牌[4]。在第三節(jié)中，我們介紹了我們的方法。不嚴(yán)格地說，在線認(rèn)證是通過計算機網(wǎng)絡(luò)來驗證身份。證書中的信息，包括發(fā)行人的名稱，證書有效期，版本號，序列號，主題等[7]。每個客戶的證書使用銀行的公鑰加密，只有銀行能夠?qū)ζ溥M行解密。這兩個因素與原來的密碼方案，即一個人知道的東西，組成了三個傳統(tǒng)的網(wǎng)上認(rèn)證因素[8]。一個利用USB閃存設(shè)備以存儲客戶的數(shù)字證書的網(wǎng)上銀行身份認(rèn)證方案被開發(fā)和使用，特別是在大多數(shù)的中國銀行中得到廣泛使用。此外，該方案通過使用客戶的私鑰給每一個交易加密來提供客戶的數(shù)字簽名，以確保交易是由客戶發(fā)起的?？尚牌脚_模塊（TPM）[14]是一個芯片，能夠安全地存儲認(rèn)證元素如加密密鑰和數(shù)字證書。這很尷尬，因為每當(dāng)用戶想要使用網(wǎng)上銀行時，客戶需要額外的USB閃存驅(qū)動器。交易不知不覺已經(jīng)改變，修改后的交易將有客戶確認(rèn)。 手機在線身份驗證協(xié)議的步驟相關(guān)的符號和協(xié)議的步驟描述如下。2. 在一個銀行的證書驗證成功后，為了用來證明目前的M持有者是真正的C，M顯示一條消息提示C輸入PIN。5. S首先驗證C的證書，然后通過使用PKC解密并比較哈希結(jié)果驗證其簽名。在這點上，成功地完成認(rèn)證過程。如果驗證失敗，認(rèn)證過程將立即終止。為了解決這個問題，交易確認(rèn)提供了一個對策要求客戶使用她的手機確認(rèn)在線交易。3. M檢索T并在它的屏幕上顯示。4. M對P發(fā)送確認(rèn)消息｛H(T，RS1)｝PVC。一個主要原因是，有越來越多的功能已經(jīng)在手機中集成，如互聯(lián)網(wǎng)瀏覽，手機銀行和購物。換句話說，人們現(xiàn)在比以前更多的關(guān)注他們的移動電話，這使得手機比其他人們不打算更多關(guān)心的設(shè)備比較難丟失或被盜，如USB閃存驅(qū)動器。如今，手機類似于一個小型的個人電腦，通常擁有一個鍵盤和一個操作系統(tǒng)。如果用戶允許他的手機接收這條消息，該蠕蟲就會在用戶手機上安裝。盡管它具有可怕的傳播能力，Cabir病毒在其主機上相當(dāng)薄弱的影響：它只是耗盡電池或阻礙使用藍牙[18]。 協(xié)議的攻擊分析在本節(jié)中將徹底描述和分析可以應(yīng)用于該協(xié)議的攻擊。由于我們的身份驗證協(xié)議的用戶不需要提供其密碼，不應(yīng)該接受這種類型的攻擊。l 會話劫持：巧妙的在客戶和銀行服務(wù)器之間進行人為的中間攻擊可能操縱通信，試圖被客戶接收的信息將到達攻擊者。2) 本地攻擊：與遠(yuǎn)程攻擊相比，當(dāng)本地攻擊發(fā)生時攻擊者已獲得客戶的手機。竊取移動電話而不被它的主人所注意到，這似乎很難做到，但是當(dāng)他們都在很多人擁擠的情況下，像在地鐵或電梯上，那這就對于攻擊者竊取手機就有點容易了。除此之外，當(dāng)客戶發(fā)現(xiàn)他的手機丟失了，客戶可以調(diào)用銀行的幫助臺立即停用他的數(shù)字證書。另一種攻擊者接近手機的方法是當(dāng)手機在它的主人視線外悄悄的使用它而非竊取它。如果攻擊者是熟人這是比較危險的。我們描述了手機的安全性和對該協(xié)議潛在的攻擊。在這種情況下，在我們今后的工作中降低這種風(fēng)險是值得的。對于本地的攻擊，由于協(xié)議固有的和整體的挑戰(zhàn)，攻擊者實現(xiàn)成功攻擊的可能性很低。五、 總結(jié)本文介紹了一種網(wǎng)上銀行身份驗證協(xié)議，涉及到使用手機以安全存儲客戶的數(shù)字證書。一個背后偷窺的攻擊[16]，足以讓他觀察到PIN碼的組合。l 攻擊者是熟人。通常第三個挑戰(zhàn)跟猜測PIN碼是一個互鎖的會話。l 攻擊者是個陌生人。l 遠(yuǎn)程左面攻擊：攻擊者可以通過用戶的PC修改交易。在他可以收到客戶的DC之前，他必須提供一個假的欺騙客戶，這是不可行的。1) 遠(yuǎn)程攻擊：遠(yuǎn)程攻擊表示沒有可能獲得客戶手機的攻擊者，通過網(wǎng)絡(luò)釣魚、域欺騙、會話劫持或遠(yuǎn)程桌面攻擊[16]。此外，基于沒有任何破環(huán)性事件由于手機惡意軟件而發(fā)生這一事實，我們相信，手機仍然是一個相對于PC的外設(shè)更安全的環(huán)境。除了Cabir病毒，手機木馬程序Skulls[19] 用骷髏圖像
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1