目前日期文章:200906 (2)

瀏覽方式: 標題列表 簡短摘要

    這個章節我要講的是關於交易上的風險,下圖是在WebATM上的一個完成的查詢交易,內行人大概一眼就能明白這張圖所代表的風險,首先這張圖我只顯示送給卡片的指令與資料,沒有秀出卡片回應的資料,密碼部分也已塗黑,以避免洩漏這張卡的真實資料。

    由下圖可發現交易過程中,與金融卡往來的資料全是明碼方式傳遞,當然這些資料只有持卡人密碼算是重要資料(圖中塗黑部分),其餘像是發卡單位、轉入、轉出帳號等等,這些本來就是允許任何程式或任何人讀取的資訊,因此明碼傳送也無關緊要,可是持卡人密碼用明碼傳送,就代表當你的電腦,或是你使用金融卡的環境中,若是被植入木馬程式,那就很有可能被駭客所擷取,儘管你在WebATM上是用虛擬鍵盤輸入,木馬程式照樣抓的到正確的密碼。目前為止這個漏洞應該是每家銀行都知道的,因此各家銀行已建議持卡人使用具有鍵盤的讀卡機,或使用動態密碼,以解決這個漏洞的風險。

DerYu 發表在 痞客邦 留言(0) 人氣()

     「動態密碼」(OTP,One Time Password)顧名思義就是每次使用時產生的密碼都不一樣,而且每組密碼只能使用一次,因此也可稱作「一次性密碼」。與傳統固定式密碼相比,具有不可預測性,可避免遭駭客竊取密碼後執行重送攻擊的風險,即使駭客竊取該次的密碼,也無法通過下次的登錄驗證。

    「動態密碼」(OTP,One Time Password)大致可分為Event-Based、Time-Based與Challenge & Response三種類型,密碼產生方式有許多種,原則上是利用特定的密碼學相關運算函式(如DES、SHA...),加上變動性的參數運算後得到的結果。這次我拿到一張Event-Base類型的OTP Card,此卡動態密碼採用OATH HOTP標準方式產生,我寫了一支簡單的程式來驗證此卡片所產生的動態密碼,另外這支程式也順便加入HMAC_Sha1、HMAC_Sha256、HMAC_Sha384與HMAC_Sha512的功能。

DerYu 發表在 痞客邦 留言(4) 人氣()