基于双向认证的网络钓鱼攻击防范技术.pdfVIP

物；i；i平台 -叶涛张生福 青海民族学院计算机科学与技术系 【摘要】目前“网络钓鱼”攻击已成为继电脑病毒之后的最大的网络安全隐患之一。本文提出了一种基于双向认证机 制防范“网络钓鱼”攻击的解决方案。 【关键词】双向认证网络钓鱼 口令认证 ”网络钓鱼”(Phishing)泛指在网络上盗窃他人身份的一种形否则认为A的身份是不真实的。 式．其本质就是犯罪分子利用网络，通过各种非法途径获取用户 2基于双向认证的防范”网络钓鱼”攻击方案。本文根据双 信用卡号．注册用户名、密码和社会保障号码等个人财务信息， 向认证机制的原理提出防范网络钓鱼攻击的方案，方案分为申请 进而利用窃取的他人信息进行诈骗活动．获取经济利益，受攻击 注册与登录验证两个部分。 的目标主要集中在如保险，信用卡、支付系统．ATM网络。 (1)申请注册。客户向网站服务器提出注册申请．并提交个人 一、攻击方法 信息：用户lD。与用户口令P。。网站服务器接受申请，利用HMAC 1“钓鱼”之一：电子邮件 函数和服务器的种子密钥K对用户信息(ID。．P。}与时间戳T进 诈骗分子发送以中奖、顾问、对帐为内容的邮件引诱用户在 邮件中填入金融账号和密码，或是以各种紧迫的理由要求收件人 存{ID。，P。、P。)．并将P。发送给该客户。客户接受并保存服务器 登录某网页提交用户名、密码、身份证号、信用卡号等信息．继 验证口令P。：网站服务器端保存了用户ID。、用户1：3令P。与服务器 而盗取用户资金。 的ILl令P。；同样客户端保存了网站服务器的口令P。，客户的个人信 2“钓鱼”之二：盗号木马。犯罪分子通过发送邮件或在网站 息用户ID。、用户13令P。。 中隐藏木马等方式大肆传播木马程序。当感染木马的用户进行网 (2)登录验证。登录验证流程(如图1所示)：客户向网站服务 上交易时，木马程序即以键盘记录的方式获取用户账号和密码， 器提出登录请求．提交自己的ID；网站服务器验证lD合法后，接 并发送给指定邮箱。 受客户登录请求：客户发送 。 *”t 一 3．”钓鱼“之三：网址欺骗。犯罪分子建立起域名与内容都与 一随机数R。，并要求网站服务 ～r掣∥j…。二：_二塑塑== 真正网上银行系统，网上证券交易平台极为相似的网站，通过电 器提供验证信息：网站服务 氅1 ‘’：…Y-皇j 子邮件、短信、QQ、BBS以及搜索引擎等各种形式引诱用户访问器提供验证信息f lP。libn)¨Re． ，毒囊兰，二_41二二、， 假冒网站，并输入账号．密码等信息，进而窃取用户的个人信息。 并要求客户提供验证信息；客 。r赫一i 二．双向认证的解决方案 户经验证确认为真实lq站后， ；i群二，习———州； 1．双向认证机制。认证是证实被认证对象是否属实和是否有 效的一个过程，其基本思想是通过验证被认证对象的属性来达到 站验证确认为合法用户后． {。=藉’I ；氇i‘盖T--：=i=；--≥一 确认被认证对象是否真实有效的目的。 开始进入应用操作； ’‘ 一’。。二。。：。“4 L’ 双向认证机制的原理： 3双向认证机制的安全性分析 设A和B是一对平等的实体，A的口令为P。．B的口令为P。。 (1)情况一。假冒网站试图采用与真实网站一样的登录