OTPToken与USBKey对比分析及趋势发展报告.doc

 OTP Tok en与USB K ey 对比分析及趋势发展报告 北京飞天诚信科技有限公司 1 引言 追，各种新的、复杂的攻击技术层出不穷，让人防 不胜防。 2.1.1“钓鱼”网站 所谓“钓鱼”，即通过邮件或其他方式，诱 骗用户登录到酷似银行官方网站的虚假网站，并诱 使用户输入认证信息，从而间接获取用户的登录认 证信息。瑞典Nordea银行就曾经成为这种方法的 攻击目标之一，短短15个月就损失上百万美元。 2.1.2 键盘记录 键盘记录，即通过木马监视用户正在操作 的窗口，如果发现用户正在访问某网银系统的登 录页面，就开始记录所有从键盘输入的内容。例 如，“网银大盗Ⅱ”木马就是典型例子，它把几 乎所有的国内网银系统都列为盗窃的目标。 2.1.3 嵌入浏览器 这种技术主要通过嵌入浏览器进程中的恶 意代码来获取用户当前访问的页面地址和页面内 容，并且在用户数据（包括账号密码）以SSL安全 加密方式发送出去之前获取它们。例如，“网银 大盗”木马监测到用户正在访问某个引用了安全 登录控件的地址时，就会让浏览器自动跳转到另 外一个网页。用户输入认证信息并通过验证后， 木马就等在那里，盗取用户资金。 2.1.4 窃取文件数字证书 数字证书是网银交易的一项重要安全保护措 施。有些银行使用文件证书，允许用户保存至硬 盘，这是一个安全隐患。“网银大盗”及其变种 “灰鸽子”，就窃取用户计算机内的所有文件， 目前， 国内外网银的交易 安全保护主要 分3 个层次：一是网银推广初期采用静态密码技术， 这种简单的认证方式容易被黑客破解、窃取，国内 银行已基本取消了静态密码的支付权限；二是动 态口令技术，它改变了静态认证的固定密码口令， 通过随机变化的一次性密码口令，提升交易的安全 性；三是基于PKI体系的数字签名技术。 总体而言，三种防护措施的安全性逐步提升， 但使用成本及产品的易用性逐渐降低。本文将重点讲 述后两种支付方式，并在安全性、易用性、扩展性 方面详细对比两种支付方式使用的硬件。 2 网银支付安全 2.1 被打开的潘多拉魔盒 网银的出现使我们只要在家动动手指头就可 以完成过去需要到柜台排队才能完成的事情，既 方便了普通用户，也大大提高了金融机构的运作 效率，削减了其运作成本。但是 ， 凡 事 有 利 就 有 弊，网银同样逃脱不了网络普遍面临的安全威胁。 从网银业务开通伊始，网银大盗就如影随形，那些 麻烦有如打开了潘多拉魔盒一样纷拥而至，以下列 举了网银大盗攻击的常用手段。实际上，随着网银 业务的不断普及、深入和扩展，越来越多的新业务 形式（如手机银行）涌现，网银大盗们总是步步紧 2011 年 5 月 | 保密科学技术 | 55 学术交流 A c a d e m i c E x c h a n g e s 包括安装在计算机上的网银文件数字证书，并且 能够准确识别网银流程的每个步骤，自动记录必 要的数据，最终再复制一份证书文件。从而，利 用盗取的证书和其他必要信息达到非法使用证书 的最终目的。 为 随 机 因 素 产 生 一 个 密 码 口 令 用 于 交 易 认 证 。 客 户 每 次 操 作 网 银 的 日 期 时 间 不 会 完 全 相 同 ， 时 钟 令 牌 产 生 的 密 码 口 令 也 不 断 变 化 。 很 显 然 ， 与 刮 刮卡和手机OTP相比，时钟令牌最为昂贵。目前 中 国 银 行 、 汇 丰 银 行 使 用 时 钟 令 牌 。 由 于 口 令 每 次 都 变 化 ， 即 使 得 到 密 码 也 没 用 ， 而 且 这 种 动 态 口 令 由 专 用 算 法 生 成 ， 随 机 性 高 ， 不 太 容 易 被 破 解 。 因 此 ， 传 统 的 木 马 程 序 ， 即 使 窃 取 到 用 户 个 人信息，拿去登录银行网页，也已经过期。因 此 ， 动 态 口 令 极 大 地 提 高 了 用 户 身 份 认 证 的 安 全 性 。 从 网 银 交 易 过 程 来 看 ， 动 态 口 令 仅 对 用 户 身 份 进 行 认 证 ， 而 没 有 对 交 易 过 程 进 行 验 证 。 待 用 户 身 份 确 定 之 后 ， “ 中 间 人 ” 便 拦 截 用 户 的 转 账 操 作 ， 篡 改 数 据 后 发 送 给 服 务 器 ， 而 服 务 器 没 有 办 法 区 分 给 它 发 出 转 账 指 令 的 是 用 户 还 是 木 马 ， 直 接 执 行 了 转 账 ， “ 中 间 人 ” 再 把 服 务 器 返 回 的 信 息 篡 改 后 显 示 给 用 户 。 这 样 ， “ 中 间 人 ” 就 轻 而 易 举 地 绕 过 动 态 口 令 ， 获 取 用 户 的 个 人 认 证 信 息 ， 完 全