動態(tài)口令不能保證網(wǎng)上銀行的安全-資料下載頁
2025-08-04 14:12本頁面
【正文】 且捕捉所有用戶和被攻擊服務(wù)器之間的數(shù)據(jù)，而用戶很難識別這種攻擊。等用戶發(fā)現(xiàn)賬戶資金異常時，大盜早已逃之夭夭。為什么使用一次性口令的方法仍然不能有效地防止攻擊呢？從網(wǎng)銀交易過程來看，動態(tài)口令僅對用戶身份進行認證，而沒有對交易過程進行驗證。待用戶身份確定之后，“中間人”便攔截用戶的轉(zhuǎn)賬操作，篡改數(shù)據(jù)后發(fā)送給服務(wù)器，而服務(wù)器沒有辦法區(qū)分給它發(fā)出轉(zhuǎn)賬指令的是用戶還是木馬，直接執(zhí)行了轉(zhuǎn)賬，“中間人”再把服務(wù)器返回的信息篡改后顯示給用戶。這樣，“中間人”就輕而易舉地繞過動態(tài)口令，獲取用戶的個人認證信息，完全控制了這次交易。而動態(tài)口令也就成為一個“形同虛設(shè)”的“保鏢”，無法真正保護用戶賬戶的安全。而實際發(fā)生的一系列案例，也證明了動態(tài)口令無法鎖牢用戶的賬戶。另外，動態(tài)口令通常使用對稱式密鑰技術(shù)，在銀行服務(wù)器端的認證系統(tǒng)里，可以計算出所有動態(tài)密碼。因此，僅僅使用動態(tài)口令無法支持電子簽名和公鑰計算，也就無法參與到交易過程中進行保護，更談不上實現(xiàn)“不可抵賴性”。真正的“防盜門”中國金融認證中心總經(jīng)理李曉峰先生認為：完成一個安全交易，在應(yīng)用層面上必須保證交易雙方不僅要有身份認證，要有保密、完整、未被篡改的數(shù)據(jù)，還需要保證這個交易是不可抵賴的，一旦與銀行出現(xiàn)交易糾紛，這些都是必需的法律依據(jù)。因此，網(wǎng)銀必須具備真正可靠的法律上認可的電子簽名和證書，這才是問題的最終解決辦法。同樣是使用雙重身份認證技術(shù)，帶有智能卡芯片的USB KEY數(shù)字證書因采用了公鑰體系（PKI），支持電子簽名，它的安全性更高。USB KEY的防范本質(zhì)在于它的數(shù)字證書能夠真正保護交易過程，而不僅僅在于交易開始階段的身份認證。相比動態(tài)口令技術(shù)，單獨存放在USB KEY數(shù)字證書內(nèi)部的密鑰在交易過程中，都會參與交易內(nèi)容的計算，比如加密和簽名等操作。由于USB KEY是單獨的硬件設(shè)備，而新一代的USB KEY還添加了交易認證技術(shù)，使得網(wǎng)絡(luò)釣魚攻擊者也就無法偽造用戶簽名，冒充用戶登錄服務(wù)器，也無法篡改用戶的交易數(shù)據(jù)，從而抵抗類似“交易偽造”或“交易劫持”等針對交易而不是針對身份的攻擊。（國家信息安全工程技術(shù)研究中心）
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1