一次性密碼不敵網釣攻擊?

一次性密碼不敵網釣攻擊?
連這種做法都不敵. 果然是 "道高一尺 魔高一丈"... (抖)..


以下完整轉載自: 一次性密碼不敵網釣攻擊?
記者洪夢霜╱台北報導  10/01/2005
用以解決密碼易遭破解的一次性密碼(One-Time Password)技術,似乎無法招架網路釣魚攻擊手法。
資訊安全廠商表示,一次性密碼無法阻擋網路釣魚(Phishing)攻擊手法。
一次性密碼(One-time password, OTP)的產生方式,主要是以時間差做為伺服器與密碼產生器的同步條件,密碼產出器在使用者有登入需求時,將亂數產出只可使用一次的密碼,用以解決密碼容易遭到破解的問題。
現有提供一次性密碼技術的廠商包括RSA、Authenex、ActiveCard等。
提供一次性密碼技術的資訊安全廠商Authenex亞洲區首席代表歐陽宏明表示,網路釣魚攻擊將可利用偽造網頁的方式,竊取使用者所登錄的使用者名稱及密碼,即便是標榜單次使用的OTP也難逃遭盜用的命運。
OTP一般分為計次使用以及計時使用兩種,計次使用的OTP產出後,可在不限時間內使用;計時使用的OTP則可設定密碼有效時間,從30秒到兩分鐘不等。歐陽宏明說,當使用者登入釣魚攻擊的假網頁後,駭客將可在密碼有效期間內登入認證伺服器,獲取所想要的個人資訊或進行不當行為。
Authenex便以推出內含多種認證方式的單一權杖(Token)做為應對,包括OTP、PKI(Public Key Infrastructure,公共金鑰基礎架設),以及Challenge and response(挑戰回答)認證協定,等三種認證方式。台灣區客戶以銀行、海運以及航空業者為主。
同樣提供OTP安全產品的RSA台灣區技術顧問黃惠美則表示,OTP技術的確有遭受網路釣魚攻擊的可能性,但她強調,受到攻擊的機率並不高,由於台灣地區採用OTP做為商業用認證方案的比例仍低,截至目前為止台灣地區尚未有相關災情傳出。
「就像所有的安全解決方案一樣,使用者必需要使用的方便性以及安全性之間做取捨。」她指出,OTP可限制有效時間的長短,以提升遭破解使用的難度,此外,搭配OTP與憑證等多種認證方式的交互應用也將有助於安全性的提升,例如以OTP登入瀏覽股價、帳戶餘額,若要進行交易則必需以憑證做為確認的作業方式,將可避免使用者在金錢交易上的實質損失。
RSA現有以OTP做為商業解決方案者以B&Q以及寶來證券為主要客戶,其中B&Q用於上下游採購交易平台認證之用;寶來證券則提供VIP客戶交易之用,用戶人數各約一萬多人。

作者: Tsung

對新奇的事物都很有興趣, 喜歡簡單的東西, 過簡單的生活.

在〈一次性密碼不敵網釣攻擊?〉中有 1 則留言

  1. 真正的一次性密码问世了!
    “北京看兰电脑软件开发有限公司”与公安部第三研究所下属的“国家防计算机入侵与反病毒研究中心”联合开发的“酷安口令认证系统”具有完全的自主知识产权,已经通过了国家权威检测,并取得了销售许可证。
    该产品主要用于需要密码进行身份认证的领域,具有成本低廉、安全性极高、没有算法(不可破解)、易于与其它应用软件结合、布置成本极低等特点。
    该产品采用挑战/问答方式,每次的挑战问题(序列号)是随机选取的,连使用者本人都不知道自己下一次使用的密码是多少。
    该产品除了具有目前市场上的各种动态密码的优点外,更可以防止木马窃取(即使窃取者得到了某次的密码,在使用其登陆被窃者帐户时,也是没有用的,因为每次登陆的挑战问题是随机变化的;如果在帐户所有者使用某个密码登陆成功后,无论谁再使用这个密码,也是无效的,因为这种密码是抛弃型的,登陆成功后,认证服务器立即将该密码作废,永不再用),安全性已经远远超过了同类产品,并且成本是目前同类产品中最低的。
    有兴趣的人可以和我联系,我是这个产品的市场负责人。
    我的EMAIL:[email protected]

發表迴響

這個網站採用 Akismet 服務減少垃圾留言。進一步了解 Akismet 如何處理網站訪客的留言資料