基于短信和usb key的网银安全认证方案

《基于短信和usb key的网银安全认证方案》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于短信和USBKey的网银安全认证方案摘要：通过比较现实生活中常用的e-token和usbkey这两种基于硬件的身份认证方案，得出e-token缺少双向身份认证，usbkey存在被截取pin码的危险，为此本文提出了用短信获取随机pin码，采用usbkey进行双向身份认证，解决e-token、usbkey单独存在时的缺陷，同时避免使用两种硬件带来的使用不方便，并减少用户在硬件上的资金投入，适合在实际中应用。关键词：usbkey；短信；身份认证；网银安全onlinebankingsecuritycertificationschemebasedonsmsandusbkeyliji

2、ng,wangliu,fanglili(chinauniversityofmining&technology,schoolofcomputerscience&technology,xuzhou221116,china)abstract:throughcomparinge-tokenandusbkeythistwokindsofidentificationschemebasedonthehardware,whicharecommonlyusedinthereallife,e-tokenlackstwo-wayidentification,andthereistheriskofb

3、einginterceptedofusbkey’spincode.sothispaperpresentsaschemethatusingsmstoobtainarandompincode,usingusbkeyastwo-wayauthenticationtosolvethedefeatsoftheusbkeyande-tokenwhentheyarealone,atthesametime,itwillavoidtheinconvenientofusingtwokindsofhardwareandreducingthecapitalinvestmentinhardware.t

4、husitissuitableforapplicationinpractice.keywords:usbkey;sms;authentication;onlinebankingsecurity引言：在公共使用的网络环境中，像网上银行的敏感信息（如密码、账号等）在传输过程中容易被截获、篡改[1]，像通过钓鱼网站获得用户登录时的信息，瑞典nordea银行就因此在15个月内损失上百万美元[2]。为了解决用户id+静态口令的传统身份认证方式容易受到穷举、重放[3]等多种形式的攻击，因此需要基于动态口令的身份认证机制[4]，中国银行的e-token就是这种原理。但是单纯的动态口令存在中

5、间人攻击的危险[2]，而且现在rsa动态口令牌已被攻破[5]。所以本系统用短信[6]获得随机的pin码，解决单独使用usbkey时pin码被黑客截取和usbkey没有及时拔下带来的危险[1]。用usbkey验证客户和服务器的身份，防止假冒攻击。一、单独使用硬件的缺陷使用硬件进行身份认证，有效防止了非法用户窃取存储在用户硬盘上的身份认证信息，但也存在单独使用硬件的缺陷。（一）单独使用e-token存在的缺陷银行提供给用户的e-token每60s更新一次动态口令，但是为了避免网络传输延时和操作上的延时，e-token中的动态口令在5分钟内都是有效的[7]，黑客可以根据当前截取到的

6、口令进行分析，得出时间窗口内的口令。动态口令只是银行认证系统通过用户输入的动态口令验证了客户的身份，而客户没有认证对方是否是真的银行认证系统，这种单向的身份认证容易被钓鱼网站利用，骗取用户的动态口令，造成用户的损失。（二）单独使用usbkey存在的危险非法用户可以截取用户输入的静态pin码，在用户忘记取下usbkey时，非法用户使用已截取到的pin码，加上没有拔下的usbkey通过肉机进行非法操作。二、系统的构成该系统由短信模块、密码生成中心、身份认证服务器，双向身份认证模块、网银服务器、usbkey构成。身份认证服务器开始对用户进入网银界面负责，确定用户的身份，并通过双向身

7、份认证服务器向用户证明自己的身份，以及更精确的确定用户的身份。短信模块是系统用来通知用户当前使用usbkey的pin码。密码生成中心是系统使用随机序列发生器[8]产生随机密码，用以作为usbkey的pin码。usbkey里存储着用以进行双向身份认证的密码算法。三、系统的工作流程用户初始以一种安全的方式向用户身份认证服务器进行身份注册，同时系统绑定用户的手机号码，用户获得id和登录系统时的静态口令。系统工作流程如图1所示。图1：系统工作流程用户使用自己的id和静态口令登录系统。（1）身份认证服务器验证用户