中文--使用移動(dòng)電話進(jìn)行網(wǎng)上銀行身份驗(yàn)證(參考版)
2025-05-17 17:39本頁(yè)面
【正文】 在這種情況下，在我們今后的工作中降低這種風(fēng)險(xiǎn)是值得的。對(duì)于本地的攻擊，由于協(xié)議固有的和整體的挑戰(zhàn)，攻擊者實(shí)現(xiàn)成功攻擊的可能性很低。我們描述了手機(jī)的安全性和對(duì)該協(xié)議潛在的攻擊。五、 總結(jié)本文介紹了一種網(wǎng)上銀行身份驗(yàn)證協(xié)議，涉及到使用手機(jī)以安全存儲(chǔ)客戶(hù)的數(shù)字證書(shū)。如果攻擊者是熟人這是比較危險(xiǎn)的。一個(gè)背后偷窺的攻擊[16]，足以讓他觀察到PIN碼的組合。另一種攻擊者接近手機(jī)的方法是當(dāng)手機(jī)在它的主人視線外悄悄的使用它而非竊取它。l 攻擊者是熟人。除此之外，當(dāng)客戶(hù)發(fā)現(xiàn)他的手機(jī)丟失了，客戶(hù)可以調(diào)用銀行的幫助臺(tái)立即停用他的數(shù)字證書(shū)。通常第三個(gè)挑戰(zhàn)跟猜測(cè)PIN碼是一個(gè)互鎖的會(huì)話。竊取移動(dòng)電話而不被它的主人所注意到，這似乎很難做到，但是當(dāng)他們都在很多人擁擠的情況下，像在地鐵或電梯上，那這就對(duì)于攻擊者竊取手機(jī)就有點(diǎn)容易了。l 攻擊者是個(gè)陌生人。2) 本地攻擊：與遠(yuǎn)程攻擊相比，當(dāng)本地攻擊發(fā)生時(shí)攻擊者已獲得客戶(hù)的手機(jī)。l 遠(yuǎn)程左面攻擊：攻擊者可以通過(guò)用戶(hù)的PC修改交易。l 會(huì)話劫持：巧妙的在客戶(hù)和銀行服務(wù)器之間進(jìn)行人為的中間攻擊可能操縱通信，試圖被客戶(hù)接收的信息將到達(dá)攻擊者。在他可以收到客戶(hù)的DC之前，他必須提供一個(gè)假的欺騙客戶(hù)，這是不可行的。由于我們的身份驗(yàn)證協(xié)議的用戶(hù)不需要提供其密碼，不應(yīng)該接受這種類(lèi)型的攻擊。1) 遠(yuǎn)程攻擊：遠(yuǎn)程攻擊表示沒(méi)有可能獲得客戶(hù)手機(jī)的攻擊者，通過(guò)網(wǎng)絡(luò)釣魚(yú)、域欺騙、會(huì)話劫持或遠(yuǎn)程桌面攻擊[16]。 協(xié)議的攻擊分析在本節(jié)中將徹底描述和分析可以應(yīng)用于該協(xié)議的攻擊。此外，基于沒(méi)有任何破環(huán)性事件由于手機(jī)惡意軟件而發(fā)生這一事實(shí)，我們相信，手機(jī)仍然是一個(gè)相對(duì)于PC的外設(shè)更安全的環(huán)境。盡管它具有可怕的傳播能力，Cabir病毒在其主機(jī)上相當(dāng)薄弱的影響：它只是耗盡電池或阻礙使用藍(lán)牙[18]。除了Cabir病毒，手機(jī)木馬程序Skulls[19] 用骷髏圖像取代應(yīng)用程序圖標(biāo)以及使很多應(yīng)用癱瘓來(lái)感染受害者的手機(jī)。如果用戶(hù)允許他的手機(jī)接收這條消息，該蠕蟲(chóng)就會(huì)在用戶(hù)手機(jī)上安裝。Cabir[17]，一種藍(lán)牙蠕蟲(chóng)病毒，利用藍(lán)牙渠道當(dāng)手機(jī)運(yùn)行Symbian系統(tǒng)時(shí)本身將傳播到其他移動(dòng)電話。如今，手機(jī)類(lèi)似于一個(gè)小型的個(gè)人電腦，通常擁有一個(gè)鍵盤(pán)和一個(gè)操作系統(tǒng)。因此，對(duì)于可以對(duì)我們身份驗(yàn)證協(xié)議產(chǎn)生最嚴(yán)重威脅的手機(jī)惡意軟件進(jìn)行深入檢查，這是可取的。換句話說(shuō)，人們現(xiàn)在比以前更多的關(guān)注他們的移動(dòng)電話，這使得手機(jī)比其他人們不打算更多關(guān)心的設(shè)備比較難丟失或被盜，如USB閃存驅(qū)動(dòng)器。甚至開(kāi)會(huì)。一個(gè)主要原因是，有越來(lái)越多的功能已經(jīng)在手機(jī)中集成，如互聯(lián)網(wǎng)瀏覽，手機(jī)銀行和購(gòu)物。四、 安全與攻擊分析在本節(jié)中，我們將對(duì)手機(jī)進(jìn)行安全分析，然后再對(duì)協(xié)議進(jìn)行現(xiàn)在的攻擊進(jìn)行分析。4. M對(duì)P發(fā)送確認(rèn)消息｛H(T，RS1)｝PVC。如果內(nèi)容匹配，C要通過(guò)點(diǎn)擊M上的接受按鈕來(lái)確認(rèn)T。3. M檢索T并在它的屏幕上顯示。圖2 交易確認(rèn)協(xié)議1. 由于交易需要得到證實(shí)，S發(fā)送以下消息到P：｛T，｛T，RS1｝PKC｝SK,其中T代表交易信息，RS1是S另外一個(gè)隨機(jī)生成的數(shù)字。為了解決這個(gè)問(wèn)題，交易確認(rèn)提供了一個(gè)對(duì)策要求客戶(hù)使用她的手機(jī)確認(rèn)在線交易。然而，無(wú)處不在的惡意軟件，如特洛伊木馬和后門(mén)，聯(lián)接到Internet的計(jì)算機(jī)容易受到黑客甚至腳本的操縱。如果驗(yàn)證失敗，認(rèn)證過(guò)程將立即終止。而客戶(hù)端的公鑰私鑰對(duì)能在她的手機(jī)由TPM產(chǎn)生。在這點(diǎn)上，成功地完成認(rèn)證過(guò)程。SK的生成是基于了解了RC、RS和前主片的。5. S首先驗(yàn)證C的證書(shū)，然后通過(guò)使用PKC解密并比較哈希結(jié)果驗(yàn)證其簽名。4. C的證書(shū)與PKC、C的簽名和前主片相結(jié)合，當(dāng)正確的PIN給出后由PKB加密后發(fā)送到S 。2. 在一個(gè)銀行的證書(shū)驗(yàn)證成功后，為了用來(lái)證明目前的M持有者是真正的C，M顯示一條消息提示C輸入PIN。HTTPS連接的詳細(xì)描述如下：(1) P向S說(shuō)“你好”：為開(kāi)端的第一步，記錄了在P上可用的加密算法的密碼配置以及隨機(jī)生成的數(shù)字RC發(fā)送到S。 手機(jī)在線身份驗(yàn)證協(xié)議的步驟相關(guān)的符號(hào)和協(xié)議的步驟描述如下。三、 方法 在本節(jié)中，我們將分別描述認(rèn)證協(xié)議和交易確定協(xié)議的細(xì)節(jié)。交易不知不覺(jué)已經(jīng)改變，修改后的交易將有客戶(hù)確認(rèn)。更嚴(yán)重的缺陷是，該計(jì)劃不能防止假交易被簽署。這很尷尬，因?yàn)槊慨?dāng)用戶(hù)想要使用網(wǎng)上銀行時(shí)，客戶(hù)需要額外的USB閃存驅(qū)動(dòng)器。除此之外，在手機(jī)上運(yùn)行非對(duì)稱(chēng)加密/解密和安全散列算法同樣使T
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1