喂，有沒(méi)有想過(guò)你在互聯(lián)網(wǎng)上的“身份證”是什么？更通俗地講，在互聯(lián)網(wǎng)中，什么能證明“你是你”？
當我們登錄一個(gè)銀行APP時(shí)，是不是只憑“用戶(hù)名+口令”就可以進(jìn)行查詢(xún)和交易等一系列操作？顯然不是那么簡(jiǎn)單，為什么？每年都有大量的網(wǎng)上賬號密碼等信息泄漏事件曝光，即使是大的在線(xiàn)服務(wù)商（12306、網(wǎng)易郵箱等）也不能幸免，銀行卡信息也不例外。
因此，除了用戶(hù)名密碼驗證，服務(wù)商會(huì )開(kāi)啟第二道身份驗證程序，那就是短信驗證碼。
對的，現在回答開(kāi)文我們提到的問(wèn)題，“數字世界中，什么能證明你是你？”答案就是短信驗證碼，那個(gè)4或6位的數字。
本來(lái)，短信是一種漸漸被遺忘的通信方式，但現在這種傳統的數據通信業(yè)務(wù)逐漸改變了它原來(lái)所扮演的角色，成為了用戶(hù)名口令基礎之上的主流身份驗證方式，在安全行業(yè)被稱(chēng)為雙因素認證。
可是，本文要強調的是，短信驗證碼它不安全、不安全、不安全……
短信驗證碼，它能代表誰(shuí)？
為什么說(shuō)短信驗證碼不安全，我們先來(lái)看看一個(gè)案例：
一年前，網(wǎng)絡(luò )瘋傳的《我與工行+10086的撕逼大戰》事件中，事主前后被盜轉賬萬(wàn)余元，盜取資金的不法分子能夠成功的關(guān)鍵因素就是因為他獲得了用戶(hù)的短信驗證碼。入侵者利用事先獲得的事主運營(yíng)商網(wǎng)上營(yíng)業(yè)廳的賬號密碼，從其短信保管箱中偷走了短信驗證碼。有了銀行賬號密碼和短信驗證碼，入侵者輕松進(jìn)行了資金盜轉。當然，此類(lèi)事件并不孤立，還有入侵者利用運營(yíng)商的線(xiàn)上自助換卡業(yè)務(wù)，拿到了手機卡的權限，后續的驗證碼獲取則不在話(huà)下。
不法分子想要偷取你的短信驗證碼，還有以下幾種方式：
· 通過(guò)手機木馬APP攔截短信驗證碼：本來(lái)有一些正版APP為了用戶(hù)體驗，采取自動(dòng)讀取短信而省卻了用戶(hù)收到驗證碼等信息時(shí)需要手工輸入的麻煩�，F在木馬通常也會(huì )偽裝在看起來(lái)很正常的手機軟件中，以進(jìn)行攔截短信甚至刪除正常收到的短信內容。
· 通過(guò)空中接口攔截：這是一種更難以防范的方式，入侵者通過(guò)特殊的接收設備對手機信號進(jìn)行干擾，并從基站廣播的空中接口截獲短信內容。
也許有人疑問(wèn)，一直在強調短信驗證碼的風(fēng)險，銀行卡密碼怎么會(huì )到了入侵者的手里？其實(shí)，開(kāi)文也講了那個(gè)看不見(jiàn)的“黑市”。前幾個(gè)月的央視報道中，記者在地下黑市中很容易買(mǎi)了1000條銀行卡信息，包括姓名、身份證號、卡號、登錄密碼、交易密碼、銀行預留手機號等，在記者隨機對70條信息進(jìn)行驗證時(shí)，其中65條信息全部正確。所以，千萬(wàn)不要認為你的信息很安全，很多人“成套”的個(gè)人信息已經(jīng)在地下黑色產(chǎn)業(yè)鏈中流轉。
有了用戶(hù)名密碼，有了短信驗證碼，“誰(shuí)都可以是你”。事實(shí)證明，這種僵化和粗暴的身份驗證方式是靠不住的。
我們需要怎樣的安全身份認證？
其實(shí)第一代身份認證 “賬號+靜態(tài)密碼”仍然是一種普適性的方式，原因是它的靈活性足夠高，你只要能記住就可以了。但是它的安全級別非常低，易受拖庫撞庫、社會(huì )工程學(xué)、口令竊取等攻擊。這也是為什么包含這兩項敏感資料的信息能夠在黑市和地下產(chǎn)業(yè)鏈交易的重要原因。
身份認證技術(shù)演進(jìn)
對于第二代身份認證也就是賬號密碼之上加短信驗證碼的方式，前面已經(jīng)闡述很多，它是一種靈活性居中的簡(jiǎn)單方案，并且使用廣泛，據運營(yíng)商業(yè)內人士介紹，2015年中國短信驗證碼的市場(chǎng)規模已經(jīng)達到了50億元。不過(guò)正如前文所解讀，它的安全性同樣特別低，易受短信驗證碼盜取攻擊。入侵者一旦拿到了短信驗證碼，他的后續一系列操作也意味著(zhù)暢通無(wú)阻。
那么究竟有沒(méi)有一種真正安全的身份認證措施？答案是有的，那就是賬號密碼+U盾的方式，這可以被認為是第三代身份認證方式。它的安全級別高，不易被攻擊。
但是U盾是PC時(shí)代的產(chǎn)物，我們在電腦上操作網(wǎng)銀轉賬時(shí)，通常用到U盾，它可以保障安全交易。不過(guò)，現在是移動(dòng)的時(shí)代，你能想象我們在登錄手機銀行APP操作時(shí)要隨身攜帶U盾嗎？顯然，它的使用體驗極差。
那么，到底有沒(méi)有一種兼顧安全性和靈活性的身份認證方式，這才是用戶(hù)所需要的。
如何實(shí)現兼顧安全和靈活的新一代身份認證？
有著(zhù)U盾的安全性、有著(zhù)賬號密碼的靈活性，能不能實(shí)現這樣的新一代身份認證？隨著(zhù)云技術(shù)、大數據技術(shù)的發(fā)展，是不是該革新下安全身份認證技術(shù)，而不是還停留著(zhù)十幾年前的安全體系。
近日，ZD至頂網(wǎng)記者注意到了北京芯盾時(shí)代科技有限公司提出的新一代身份認證體系，它主要解決三個(gè)問(wèn)題：“手機設備安不安全？拿手機的人安不安全？干的事兒安不安全？”
芯盾時(shí)代創(chuàng )始人在接受我們的采訪(fǎng)時(shí)表示，芯盾時(shí)代幫助金融機構、政府、互聯(lián)網(wǎng)等各行各業(yè)建立安全認證體系，就是針對這三個(gè)環(huán)節去驗證“設備”、驗證“人”、驗證“行為”。
芯盾身份認證框架
落實(shí)在技術(shù)上，則是利用設備認證、生物認證、大數據風(fēng)控等技術(shù)，對現有的身份驗證方式進(jìn)行革新。
設備認證：確保用戶(hù)的安全設備在操作。芯盾根據手機設備的特性，提取設備的“DNA”進(jìn)行識別。一是確保是合法的設備，例如它是一個(gè)真實(shí)手機而不是入侵者利用的模擬器，它有一個(gè)安全的系統環(huán)境而不是在攻擊框架下、沒(méi)有安裝惡意應用等；二是確保是用戶(hù)的設備，也就是要識別出用戶(hù)常用或綁定的設備、而不是入侵者改串號的設備。
生物認證：新驗證終端或終端判斷合法了，但終端前面的人呢？芯盾采用生物識別技術(shù)，基于人臉、聲紋、指紋來(lái)確定“人“是合法的，生物信息的驗證也就相當于銀行柜臺發(fā)“盾”的動(dòng)作，在手機中為用戶(hù)發(fā)放了一個(gè)“數字身份憑證”。
大數據風(fēng)控：不法分子的行為總有各類(lèi)蛛絲馬跡。芯盾通過(guò)大數據行為分析，可以識別出惡意行為，及時(shí)提示風(fēng)險。它是一項云服務(wù)，通過(guò)對當前設備及用戶(hù)行為的分析返回風(fēng)控指數，引導用戶(hù)直接認證通過(guò)、進(jìn)行二次認證、甚至阻斷操作。
芯盾身份認證核心要素
有了這些判斷，就可防范短信驗證碼丟失帶來(lái)的風(fēng)險，即使用戶(hù)銀行卡信息已經(jīng)泄露、短信驗證碼被不法分子截獲，該系統也能夠有效識別，確保其無(wú)法進(jìn)行盜轉盜刷。
這種安全身份認證方式相當于有了一個(gè)“大腦”，不再是僵化和粗暴的比對認證，結合大數據分析讓它學(xué)會(huì )了思考。
同時(shí)重要的是，這些安全驗證的過(guò)程是在后端進(jìn)行的，而不是拋給用戶(hù)在前端進(jìn)行復雜的操作。在保障安全的同時(shí)，對用戶(hù)無(wú)感知。
寫(xiě)在最后：
據不完全統計，2015年基于身份認證欺詐的黑色產(chǎn)業(yè)鏈規模已過(guò)千億，七成左右的網(wǎng)民個(gè)人身份信息和個(gè)人網(wǎng)上活動(dòng)信息均遭到泄露。黑產(chǎn)像寄生蟲(chóng)一樣吸附于企業(yè)，獲取高額利潤，同時(shí)摧毀了企業(yè)的正常業(yè)務(wù)。身份認證是業(yè)務(wù)的第一入口，也是業(yè)務(wù)安全的根基，需要通過(guò)芯盾時(shí)代這樣的創(chuàng )新技術(shù)，準確攔截用戶(hù)名密碼泄露、短信驗證碼盜取等各類(lèi)風(fēng)險、為用戶(hù)提供安全、免密、智能的身份認證服務(wù)。
存儲設備
深度融入國產(chǎn)化生態(tài) 柯尼卡美能達
皖公網(wǎng)安備34150102000370號
在線(xiàn)咨詢(xún)