短信认证对于线上交易并不安全

近来,黑客恶意复制或挂失电话卡的案例频频出现,他们此般恶劣手段的目标是击溃短信或电话认证,进而冒充他人身份,非法窃取他人的网络帐户和实施罪恶的线上交易活动。

一直以来,短信是网上银行和电商来校验用户身份的廉价和高效的机制之一,至少不必像动态口令那种多重身份验证机制需要投入硬件设备。短信的使用除了帮助验证网上交易的身份,还有一个好处是交易进行提醒,以便帐户被盗用后能及时响应,进而帮助挽回和防范进一步的损失。

黑客可能利用客户端的安全漏洞或人们脆弱的安全意识来传输和安装木马程序,进而通过个人电脑或架设钓鱼网站来窃取他人的网上交易帐户。多数网银和电商早已料到这点,并已经实施了多重的安全控管,特别是在交易环节进行额外的双重身份验证机制。

黑客现在面临的挑战是突破这第二重的身份验证机制,昆明亭长朗然科技有限公司的安全研究团队总结了黑客的如下几招方法并且进行了简单的分析。

第一种方法是通过远程控制,无论是远程控制软件还是社交工程诈骗都需要套取身份验证码,对于稍微有些安全常识的人们显然是很大的障碍。

第二种方法是绕过或突破二重身份验证,技艺超群的黑客可能挖掘和掌握了线上交易系统二重身份验证的安全漏洞,但这种情况并不多见,毕竟黑客的水平可能尚输一筹。

第三种方法则是欺骗二重身份验证措施,具体的方法类似中间人攻击,即穿插于线上系统和终端用户之间,套取用于的二重身份验证授权来骗得线上交易系统,这种方法对黑客技艺的要求和时间点的把握都比较高,成功的可能性相对较低。

第四种方法则是从用户端入手,即击溃二重身份验证的终端,简单粗暴的方式是盗窃和抢夺身份验证令牌如动态口令卡或手机,这显然风险较高,比较“稳妥”的方法是绕道获得这些设备或重置这些设备,其中针对电话和短信的认证很容易被击溃。

线上交易系统通过运营商发给终端用户的短信可能轻易被黑客通过网络窃取,黑客更能花少量投入便可克隆受害人的电话号码,当然最经济的还是持假身份证到运营商那儿挂失并重办一张电话卡。

运营商有充分的理由称其没有办法鉴定用户身份的真假,受害者又接受了在线交易服务条款,问题出在哪里?显然,多个环节是环环相扣,最大的问题当然是受害者的线上安全意识不足,至少没有充分认识到线上交易的风险特别是短信认证的先天缺陷。

同时线上交易提供商和移动网络运营商也应该有所做为,多数发达国家已经制定法律,要求网银对非客户授权的交易负责。即使银行仍然是政府的提款机,会受到一定程度的保护,但激烈的市场竞争、上市后的严格监管以及融入世界的大趋势,让垄断的“好日子”不会永久持续。

从技术层面来讲,短信认证和短信提醒功能不需废弃,而是需要增加第三重的身份验证措施。而道高一尺,魔高一丈,要有效遏制网络犯罪分子的罪恶活动,还需要加强对线上交易用户进行信息安全意识教育,这方面的重任无疑应该由线上交易服务提供商来担当。

俗话说“当局者迷,旁观者清”,线上交易服务商更多专注于核心的价值——提升身份验证方面的客户体验和改善交易的安全控管技术,在客户安全意识培训计划的制定和线上交易安全指导教程的开发方面则需要第三方的专业安全意识培训机构来帮忙,而昆明亭长朗然科技有限公司是安全意识教育方面的领导厂商,无疑是线上交易服务提供商的最佳的安全意识教育合作伙伴。

我们的方法是学习和分析造成线上交易安全事故的“人为”原因,并且根据客户的实际业务环境,量身定制适当的安全意识教育方案和制作开发相关的线上安全意识培训内容。

正确认识数据“加密”及信息保密

加密是保障信息安全的基石,在遥远的古代,智慧的人们在传递信息时就知道如何使用暗语,在近代的战争史上,加解密设备更是得到了充分的应用。

我们不需要探讨“高深莫测”的加密算法和分享解密“达人”的高超技艺,更不需要争执多少位的密钥才足够安全。这个世界上顶尖技术大牛很多,我们尊重他们的伟大贡献,但并不需要烧香膜拜。术业有专攻,我们中的大多数人并不需要研究加解密技术,我们需要的只是更为普及的“信息加密”知识,是不是?

拜现代战争和信息技术的创新之赐,用于保障信息安全的加密技术得到了空前的发展,不过再如何厉害,也无非是为了保护机密数据信息免于泄露。数据怎么会泄露呢?有人中途截取,有人入侵偷窃,有人意外披露,有人刻意暴晒,有人搭线窃听,有人悄悄偷看,有人秘密嗅探,有人社交诈骗……

加密又能有什么保护呢?加密实际上是实施密码术的一种过程,密码术Cryptography源自于希腊语krytos“秘密”和graphos“记录”,即是把信息秘密地记录下来,也就是把信息弄乱,让那些截匪或盗贼收获一堆杂乱的东西,专业上称这些杂乱的东西为“密文”,与之相对的则是“明文”。

把信息弄乱不是也不方便自己人使用吗?这是当然,不过有将“密文”和“明文”进行转换的方法,也就是算法,通常程序可以快捷地利用这些算法,帮助完成转换。

我们需要关心算法吗?需要但是不太需要,为什么说需要,是因为有些算法被证明存在安全漏洞,而且随着时间的推移,有些过时的算法会被更强大的计算能力所轻易攻破。说不太需要关心,是因为算法是后台的东西,前端应用层面的用户,了解那多复杂的东西干嘛?

可是又不能一点点基础都不了解,比如一种网络服务,有提供明文的普通登录方式,有提供加密的安全登录方式,要选哪种?当然,明文的机密数据可能会被周边的黑客获得或被运营商中途截取。

那在加密方面,到底需要让最终用户了解到什么层面,了解到多么深入呢?昆明亭长朗然科技有限公司的信息安全意识培训顾问Bob Xue称:要让员工们了解到完成其工作所需的安全加密基础知识很必要,首先是加密本身的基础知识,其次是将加密知识贯穿于各类工作安全实践之中,比如互联网安全、网络通讯安全、数据存储备份、密码和权限等等。

举例讲,有公司会要求员工出差在外进行工作相关任务时,需连接VPN以保障通讯安全,但是有员工可能不理解这些繁琐的操作。如果向其演示搭线窃听或中途截取的案例,再展示加密通讯的效果,则会让公司的信息安全政策及操作流程换来员工的理解和支持。

再举例讲,有公司要求通过邮件传递机密信息时使用GPG加密措施,有员工可能认为邮件系统的基础架构本身就可以保障邮件是加密的,可是却无法理解到邮件接收端可能意外披露机密信息。如果有些相关的机密邮件外泄案例展示,则会换得员工对信息安全的正确认知和对邮件安全措施的赞同。

而移动计算设备的丢失或报修造成的大量机密数据外泄早成了媒体界和安全界炒作的话题,显然对敏感的数据进行存储加密已经成为信息安全的常识。

昆明亭长朗然科技有限公司提供各类安全意识培训课件和教程,包括针对全体员工进行的“信息加密基础”课程,并可根据客户的独特环境进行定制化修改,欢迎联系我们洽谈合作。

要让全体员工正确认识“加密”,并能将信息安全加密知识应用于实际工作实践之中,进行适当的安全保密意识培训是必需的。