双因素认证与中间人攻击

　　网银流行双因素

　　要实现网上银行的彻底安全并不难，比如在企业网银和个人网银高端客户用户中普遍使用的证书注册版，采用业界最安全的PKI机制，并将数字证书存储在USBKEY上，证书不可复制、不可导出，具有唯一性的特征，符合“电子签名法”的要求，目前仍未听说有客户因为使用USBKEY证书而发生资金损失。但是高安全性必然带来不便性，USBKEY证书的使用就不太方便，需要安装驱动程序或使用专门的网上银行程序以及随身携带不同银行的多张数字证书。

　　为了在网上银行的安全性和使用的方便性之间找到平衡，各商业银行的网上银行纷纷推出了采用双因素（Two-Factor）认证的安全机制。像工商银行推出的动态密码，就采用了挑战、应答模式，采用一次一密的机制，提高了用户在网上交易时的认证强度，可以有效防止不法分子通过虚假网站、木马病毒、黑客攻击等手段窃取密码。动态密码的安全级别高于静态密码，成本远低于物理数字证书。

　　令牌认证也是双因素认证的一种，令牌设备被用于为在线银行客户临时创建另一个密码，这些密码只在很短时间内有效且只能使用一次，使得攻击者无法盗取密码供以后使用。美国联邦政府指导方针就要求在线交易在年底前必须提供双因素认证，美国银行为了遵从该指导方针都已向用户提供了令牌。

　　不过，令人烦恼的是，网络攻击者日前找到了一种绕过新型令牌认证系统的方法，这就是所谓的“中间人攻击”（MITM，Man-in-the-middle Attacks）。现在，已经有几十个使用这种新攻击方式的钓鱼网站。安全专家预测，钓鱼者最终会采用“中间人攻击”来巧妙躲避基于令牌的认证方式，而最近几次攻击标志着他们已开始实施这种方式了。

　　“中间人”很烦人

　　曾经猖獗一时的SMB会话劫持、DNS欺骗等技术都是典型的MITM攻击手段。在网络安全方面 ，MITM攻击的使用也很广泛，最有威胁并且最具破坏性的一种攻击就是对网银、网游、网上交易的MITM攻击。

　　通常来说，这种典型的攻击会在最终用户和在线服务供应商之间架设一个欺诈网站或在供应商网站上添加一些相应的插件或代码。该网站或插件在服务供应商和用户之间透明转发信息并试图结合真实用户的相关信息，如账号、密码等敏感信息。（攻击示意图见图一）

 　　图一 MITM攻击过程

　　同样是双因素认证，令牌认证比工商银行的动态密码的安全性更高，但即便如此，MITM攻击依然可能绕过令牌认证系统。记者特意就此问题咨询了RSA公司的工程师，得到的答复是：现存的各种认证方式都不能完全抵御MITM攻击。因为用户无论输入什么密码，只要是通过互联网发送，MITM攻击者都会截获密码，并使用该用户名和密码进行转账等操作。

　　好在MITM攻击并不是不治之症，有一些认证方式可以检测到MITM攻击。比如设备或IP异常检测：如果用户以前从未使用某个设备或IP访问系统，则系统会采取措施。还有设备或IP频率检测：如果单一的设备或IP同时访问大量的用户帐号，系统也会采取措施。另外，如果某个IP地址攻击过在线服务商，该IP将被加入系统的黑名单。

　　更有效防范MITM攻击的方法是进行带外认证（见图二），具体过程是：系统进行实时的自动电话回叫，将二次PIN码发送至SMS（短信网关），短信网关再转发给用户，用户收到后，再将二次PIN码发送到短信网关，以确认是否是真的用户。带外认证提供了多种不同的认证方式及认证渠道，它的好处是：所有的认证过程都不会被MITM攻击者接触到。例如MITM是通过中间的假网站来截获敏感信息的，相关的“带外认证”就是指通过电话认证或短信认证等方式确认用户的真实性，而MITM攻击者却不能得到任何信息。