再谈动态令牌的安全性问题

工行粉丝 · 发表于 2012-4-6 04:26:36

严格来说，动态令牌的安全性其实是不如短信动态口令的，短信动态口令是单次有效，而且注明了用途（登录、转账、支付），而动态令牌60秒有效，假设被木马或者钓鱼网站窃取，那么在60秒内，仍然可以登录受害者的网银并作汇款操作。因此光大对网银作了升级，汇款给陌生帐户时，需要再做短信动态口令验证。
短信动态口令的威胁来自于电信运营商，内容可能在传输中被人截获，因此比较安全的方法是把短信动态口令和动态令牌串联起来用，通过短信动态口令发送一个随机种子并注明用途，在动态令牌上输入种子，通过内部的密钥计算得到验证码。现有的动态令牌用时间作为种子，因此时间长了以后会失步，因而有有效期的问题。
有人说U盾更安全，其实U盾最早是用于软件正版验证的加密狗，用于正版验证还可以，这种交互式的网银就有木马远程操作的风险了，只要U盾没有拔下来，木马就可以远程转账，这个绕过U盾的风险在2009年的广州日报上就报道过，G行，Z行都有这样的受害者。因此工行的第二代U盾有了LED屏和确认按钮，但这个仍有一定风险，一是木马伪造网银界面诱骗客户按下确认按钮，很多木马都伪造QQ中奖信息，做到伪造网银界面也不是很困难；二是破解U盾驱动程序，模拟按下确认按钮（事实上并没有按下）。因此，在电脑可能中木马的前提下，必须和电脑物理隔离才可达到安全目标。
当然，避免木马也是一个提升安全的方法，在Windows平台不安全的前提下，不妨在Linux平台操作。但目前只有浦发的动态密码版网银才可完美兼容Linux平台，其它银行都用到了过时的ActiveX控件技术，因而只兼容Windows平台+IE内核的浏览器，甚至还挑IE版本，64位的往往用不了。为什么不用Java做控件呢？这样不就全兼容了？可惜啊，中国的开发人员思路被微软绑定太死了，欧美银行的网银都是真正全兼容的。

ICBC_钧小鲮 · 发表于 2012-4-6 04:56:02

据我所知，貌似兴业要用JAVA，还有一家忘记了，其实还是首要任务是预防，例如陌生网站、或者网址链接都要注意下，电脑一直是黑白两道，上有政策下有对策！

ICBC_润眚o · 发表于 2012-4-6 06:25:05

兴业用的是Java，在Linux上可以正常输入密码，但是它用了非标准的脚本，导致点击登录按钮没有反应

ICBC_Elliotto · 发表于 2012-4-6 06:55:24

好专业呀

ICBC_俊炎巧 · 发表于 2012-4-6 08:31:51

他好像是JAVA+AX"我以前遇到过无法点登陆，重装JAVA貌似就好了！

ICBC_玛丽魍魉 · 发表于 2012-4-6 09:18:26

阳光令牌也不安全？

账号		自动登录	找回密码
密码			立即加入我玩卡