動態口令身份認證應用與技術發展--新聞動態---海博智慧--打造互聯網+時代的身份、信任和貨幣安全載體

在2001年之前，動態口令身份認證系統對用戶身份地驗證均依賴於用戶註冊時發放給的動態口令卡。成百萬、上千萬的動態口令卡難以保證故障概率爲零，動態口令卡一旦失效，用戶將無法接入資訊系統；動態口令的演算法在動態口令卡生産時確定下來後，不能更改，不能排出被人破譯的可能性；動態口令卡使用電池供電，電池寿命一般为2年，到时必须更换电池，也给用户使用带来不变；动态口令卡的丢失也是不安全的因素等等。在动态口令认证系统中能否抛弃动态口令卡，成了大规模推广动态口令的关键技术问题。为此，一些公司开发了基于USB接口的口令钥匙。口令钥匙只是动态口令卡的变型，它只解决了供电问题，但未解决钥匙的口令算法、可靠性和丢失钥匙带来的安全问题。将动态口令地生产由分散变为集中，使用移动通信网络短消息传递动态口令，用户从手机直接获得动态口令，即“动态口令”。“动态口令”彻底地抛弃了动态口令卡或口令钥匙为个人生产动态口令的方式，是动态口令发展史上的一次革命。所谓“动态口令”是经移动通信网络传输的动态口令，该口令随手机而移动。

长期以来，商品防伪技术的重点是利用现代科技手段提高商品防伪标识的抗复制能力，产生了以物理技术为基础的激光全息、光学可变薄膜、超微棱衍射图案、热色液晶等防卫技术；以印刷技术为基础的凹版印刷、彩虹印刷、多色迭印、折光潜印、隐形图像等防伪印刷技术。防伪标识地制作技术越复杂，制作防伪标识的投入越大，给企业带来很大负担，降低了商品的市场竞争能力。

近年来，以信息网络技术为基础的“数码防伪”异军突起，出现了电话防伪查讯、计算机防伪查讯等。“数码防伪”是将信息编码理论与信息网络相结合，实现对商品真伪识别。信息安全领域，动态口令用来识别信息系统用户身份的合法性，即对人的身份进行识别。那么动态口令能否用来识别商品票证、设备的真伪呢？回答是肯定的。

短信防伪认证系统由商品防伪码产生器、商品防伪认证服务器、商品防伪服务网站组成。其中商品防伪码产生器产生商品的序列号和与其对应的防伪口令。商品的序列号为明码印刷，防伪口令为掩膜印刷。系统支持同一商品的多次认证，首次认证使用商品上印刷的口令，后续的认证口令由认证服务器在前次认证返回信息中提供。本系统具有以下特点：

短信防伪认证系统由商品防伪码产生器、商品防伪认证服务器、商品防伪服务网站组成。其中商品防伪码产生器产生商品的序列号和与其对应的防伪口令。商品的序列号为明码印刷，防伪口令为掩膜印刷。系统支持同一商品的多次认证，首次认证使用商品上印刷的口令，后续的认证口令由认证服务器在前次认证返回信息中提供。

堡垒最容易从内部攻破。大量的信息安全案件证明有有意泄露内部网络的登录口令、端口号码和设备地址，利用互联网的开放性和信息系统的安全缺陷，进行内外勾结作案是信息犯罪的重要方式。随着电子政务的发展，大量的内部网络将要适度开放，内部网络中的敏感信息要实行严格的身份验证和授权控制。目前的身份认证/数字簽名是验证使用电脑(或終端)的人。对内外勾结窃取口令后在外部作案，身份认证是无能为力的。但是，设备认证可以解决这个问题。

所谓设备认证。即将电脑或终端设备的专有信息，例如计算机的硬盘号码、CPU号码、网卡的MAC地址号等进行组合、编码、切块，分散存储于硬盘中，当设备要入网时，自动将存储在硬盘中的身份信息进行组合，送往设备认证中心进行设备的身份认证。若设备身份合法，再对使用设备的人进行身份认证。

为了增强设备认证的强度，不仅提取设备的专有信息，并对专有信息进行编码。还必须引入动态口令的可变因子，保证设备的身份认证口令是动态可变的。这个口令不仅与设备的硬件设备有关，也与动态口令算法有关。若想窃取设备的认证口令除非将计算机的硬盘、网卡、CPU等都取走，还必须将动态口令的算法软件也窃取，这对于管理严格的信息系统是难以办到的。一旦出现此种问题，也容易破案。

网上银行在上世纪九十年代一经问世，就以便利、高效、环保的优势迅速得到银行业界的普遍推崇。近年来，伴随互联网以及金融信息化的快速发展，网上银行逐渐演化为各家金融机构的标准组件，并充当了金融服务和产品创新的"集散地"。根据中国金融认证中心统计，截至2008年末，国内个人网银客户已过亿，约占网民总数的20%。然而，在未开通网银的网民中，高达56.1%的用户明确表明交易安全的不确定性是其放弃网银使用的首要原因。

目前，国内外网银的交易安全保护主要分3个层次，一是网银推广初期采用静态密码技术，这种简单的认证方式容易被黑客破解、窃取，国内银行已基本取消了静态密码的支付权限；二是动态口令技术，它改变了静态认证的固定密码口令，通过随机变化的一次性密码口令，提升交易的安全性；三是基于PKI体系的数字签名技术。

总体而言，三种防护措施的安全性逐步提升，但使用成本及产品的易用性逐渐降低。为了平衡安全、易用、成本三者间的矛盾，同时结合2007年银监会发布的134号通告要求，各大商业银行近两年发展了大量的动态口令网银客户，要求客户不仅使用静态密码进行网银登录验证，还要使用动态密码进行支付交易认证。据统计，目前国内动态口令网银客户约占网银客户总数的52%，已成为网银用户的主力军。

网上银行采用的动态口令技术又称“一次性口令(One Time Password:OTP)”这种认证方式要求客户在网上交易的确认环节借助外部设备获得一个一次性的交易验证密码，比如客户在网上银行做转账汇款的最后一步就需要输入它，该密码只针对本次交易有效，使用一次后自动作废。这种一次一密的验证方式很好地克服了静态密码验证中口令信息固定不变的缺陷，传统木马程序即使窃取了某一次密码信息，也不能用于以后的交易认证，网上银行会将其视为过期数据予以拒绝。

目前，银行业界所采用的动态口令产品主要有三类：刮刮卡、手机OTP以及时钟令牌。其中刮刮卡是由银行提供给客户的一张卡片，卡片上预先印制一定数量的密码口令，并用覆膜掩盖，当客户操作网银转账汇款时，银行会要求客户刮开指定位置的覆膜获得密码，并将其输入网银用于交易认证。刮刮卡成本低廉，使用方法简单，目前工商银行、建设银行、德意志银行等金融机构的网银都采用了此产品。第二种手机OTP是用客户持有的手机代替刮刮卡，当客户操作网银转账汇款时，银行会以短信形式给客户手机发送一串数字密码口令，客户要将其输入网银才能完成交易。与刮刮卡相比，手机OTP显得更为”绿色环保”，目前交通银行、美洲银行的网银就使用此类交易认证。第三种时钟令牌是一种硬件形式的动态口令，它表现为一个类似电子表的专用硬件设备，该设备内部带有密码生成芯片，它会以日期时间为随机因素产生一个密码口令用于交易认证。客户每次操作网银的日期时间不会完全相同，时钟令牌产生的密码口令也不断变化。很显然，与刮刮卡和手机OTP相比，时钟令牌最为昂贵。目前中国银行、汇丰银行使用时钟令牌。

很多文献资料将"网络钓鱼"(Phishing)定义为一种安全攻击。我们认为，具体到网银的"钓鱼事件"则是一种在线欺诈行为，并非涉及计算机领域的信息安全技术，其本质是不法份子通过欺诈手段获得客户真实的动态口令密码，而后进行转账、汇款等非法操作。

这种欺诈手段主要有两种表现方式：一是不法份子以银行名义发送垃圾邮件或拨打客户电话，用中奖、顾问、对账、紧急事件等虚假信息引诱用户在邮件、电话中回复银行卡号、身份证号、网银登录密码、动态口令等敏感信息；二是不法份子克隆一个与网银登录、在线支付页面及其相似的假冒网站，并利用即时通讯等聊天工具宣传、引诱客户前往，当客户进入假网站后，误认为自己处在一个真实、安全的银行在线服务环境中，并按假页面的提示要求输入自己的密码口令等敏感信息。以上两种方式都会导致客户的密码口令失窃，不法份子再利用这些口令进行资金盗窃。

OTP因其高易用性和低成本而具有广阔的应用空间，但"钓鱼事件" 的不断发生仍令客户心有余悸，目前各家金融机构针对"网络钓鱼"的防范工作主要集中在客户教育方面、包括告诫客户要牢记银行机构的网站地址、不要轻易点击不明链接等，上述措施固然可以强化部分客户的操作警惕性，减少网络钓鱼，但我们认为：商业银行仅仅授予客户"防身术"是远远不够的，未来OTP的发展一定要和网银的其它安全产品相融合，形成"组合拳"，有效防范"网络钓鱼"。

结合我们的实践经验，这种融合可以从三方面着手：一是加强客户端对钓鱼网站识别和防范能力的产品研发，典型的措施包括防钓鱼控件、绑定计算机支付两类产品，目前国内的工商银行、招商银行以及外资的苏格兰皇家银行(RBS)都已开发了类似的安全产品，动态口令客户任选其一就可有效防范"钓鱼"风险；二是提升电子银行多渠道信息交互的产品研发，例如针对网银登录、转账汇款等高风险操作，银行不仅要验证动态口令，还需要在处理这些指令前将登录状态、交易账户、交易金额等敏感信息及时发送至客户手机，从而让客户知晓自己所处的真实网银环境，并最终对交易进行确认或取消。目前工商银行的手机短信认证，以及网银登录短信提醒等产品都是这类应用的典型；三是升级动态口令卡，将金融交易信息融入到动态口令的产生过程。由于这种方式增加了口令卡的客户购买成本，降低了产品的易用性，金融机构对此多处于理论研究阶段，成熟的市场产品较少。