身份認(rèn)證的前世今生

一旦網(wǎng)絡(luò)身份認(rèn)證技術(shù)實(shí)現(xiàn)突破，更大的市場(chǎng)機(jī)會(huì)將接踵而來。

7月22日，電子商務(wù)網(wǎng)站、域名注冊(cè)管理和服務(wù)機(jī)構(gòu)等組建了“中國反釣魚網(wǎng)站聯(lián)盟”，以防止釣魚網(wǎng)站對(duì)金融系統(tǒng)造成的嚴(yán)重危害，避免給企業(yè)和個(gè)人帶來不必要的財(cái)產(chǎn)損失。

互聯(lián)網(wǎng)和電子商務(wù)的高速發(fā)展帶動(dòng)了網(wǎng)銀系統(tǒng)的繁榮，其交易額也呈現(xiàn)倍數(shù)的增長。根據(jù)艾瑞咨詢發(fā)布的《2007～2008年中國網(wǎng)上銀行行業(yè)發(fā)展報(bào)告》最新研究數(shù)據(jù)顯示，2007年中國網(wǎng)上銀行市場(chǎng)發(fā)展十分迅速，交易額規(guī)模實(shí)現(xiàn)爆發(fā)式增長，達(dá)245.8萬億元，環(huán)比增幅高達(dá)163.1％。但這些不斷增長的數(shù)字背后，網(wǎng)絡(luò)銀行的安全問題愈發(fā)讓人擔(dān)心。

由于網(wǎng)銀早期只采用簡(jiǎn)單的“用戶名+密碼”的身份認(rèn)證體系，黑客們很快就能摸清銀行的認(rèn)證機(jī)制進(jìn)而對(duì)網(wǎng)上銀行進(jìn)行攻擊。據(jù)國際信用卡組織Visa的統(tǒng)計(jì)，2005年，亞太地區(qū)信用卡欺詐造成的經(jīng)濟(jì)損失約合3億美元，欺詐比率為0.04％，即每1萬美元的信用卡交易中就有4美元涉嫌欺詐。

危險(xiǎn)浮現(xiàn)

網(wǎng)絡(luò)信息化時(shí)代的最大特征就是身份的數(shù)字化和隱形化，如何準(zhǔn)確識(shí)別一個(gè)人的身份，同時(shí)保護(hù)信息資料安全是現(xiàn)代社會(huì)必須面對(duì)和解決的一個(gè)問題。

網(wǎng)上交易的頻繁和網(wǎng)上銀行的安全漏洞，使黑客更容易利用各種手段盜取銀行卡卡號(hào)、密碼及個(gè)人資料，假冒通知、木馬程序、釣魚網(wǎng)站等虛假信息不斷涌現(xiàn)，如釣魚網(wǎng)站就是不法分子利用各種手段，仿冒真實(shí)網(wǎng)站的URL地址以及頁面內(nèi)容，或是利用真實(shí)網(wǎng)站服務(wù)器程序上的漏洞在站點(diǎn)的某些網(wǎng)頁中插入危險(xiǎn)的HTML代碼，以此來騙取用戶銀行或信用卡賬號(hào)、密碼等私人資料。釣魚網(wǎng)站因存活期短、形式隱蔽等特點(diǎn)，傳統(tǒng)的司法手段很難對(duì)其進(jìn)行有效打擊。公安部發(fā)布的數(shù)據(jù)顯示，2007年上半年1～6月份利用信用卡詐騙的案件達(dá)到1171起，比去年同期上升29％，涉及金額達(dá)4461.36萬元，涉案金額比去年同期上升9.9個(gè)百分點(diǎn)。

因此，如何防止關(guān)鍵個(gè)人信息被木馬盜取或監(jiān)聽成為個(gè)人身份認(rèn)證軟件供應(yīng)商所要面對(duì)的挑戰(zhàn)。

雙因數(shù)認(rèn)證

目前，計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)中常用的身份認(rèn)證主要有用戶加密、動(dòng)態(tài)密碼、智能卡和USB key等方式。USB key身份認(rèn)證是一種USB接口的硬件設(shè)備，內(nèi)置單片機(jī)或智能卡芯片，可以存儲(chǔ)用戶的密鑰或數(shù)字證書，利用內(nèi)置的密碼算法實(shí)現(xiàn)對(duì)用戶身份的認(rèn)證。它實(shí)現(xiàn)了軟硬件相結(jié)合，一次一密的強(qiáng)雙因數(shù)認(rèn)證模式，能很好地解決安全性與易用性之間的矛盾。其中的雙重認(rèn)證技術(shù)更是得到的受到了消費(fèi)者的歡迎。

雙因數(shù)認(rèn)證就是在動(dòng)態(tài)身份認(rèn)證系統(tǒng)的基礎(chǔ)上，結(jié)合使用國際標(biāo)準(zhǔn)加密算法設(shè)計(jì)的雙向通信協(xié)議、動(dòng)態(tài)密碼生成算法、以及動(dòng)態(tài)重調(diào)機(jī)制，解決了目前動(dòng)態(tài)身份認(rèn)證系統(tǒng)只能實(shí)現(xiàn)服務(wù)器對(duì)客戶端的單向認(rèn)證的缺陷，和以犧牲口令隨機(jī)度來解決“失步”問題的不足。

目前，很多身份認(rèn)證軟件都融入了雙重動(dòng)態(tài)認(rèn)證技術(shù)，普遍用于企業(yè)的管理。像IBM Tivoli身份認(rèn)證管理器軟件和Oracle身份管理10g第三版等都加強(qiáng)了企業(yè)對(duì)重要客戶、員工和業(yè)務(wù)數(shù)據(jù)的訪問權(quán)管理，實(shí)現(xiàn)與復(fù)雜IT環(huán)境的自動(dòng)化流程管理，提高了企業(yè)安全策略和管理要求的法規(guī)遵從性。

如今，這項(xiàng)技術(shù)不僅可以部署到企業(yè)身份認(rèn)證管理上，還拓展應(yīng)用到網(wǎng)上銀行認(rèn)證方案中。2007年5月，金雅拓(Gemalto)公司協(xié)助巴克萊銀行推出了大規(guī)模雙因數(shù)網(wǎng)上銀行認(rèn)證方案，協(xié)助防止網(wǎng)上銀行證書的盜竊和使用。對(duì)企業(yè)和個(gè)人而言，其中Protiva數(shù)字證書身份認(rèn)證體系產(chǎn)品更具實(shí)用性，它結(jié)合了數(shù)字證書認(rèn)證和USB智能卡的優(yōu)勢(shì)(USB自帶微處理器，內(nèi)嵌加密算法，可進(jìn)行運(yùn)算，其中信息不可復(fù)制，提高了信息的秘密性)。并采用PKI體系中的數(shù)字加密和數(shù)字簽名等技術(shù)，為網(wǎng)絡(luò)提供安全有效的身份認(rèn)證機(jī)制。因?yàn)镻rotiva方案是用戶連接到網(wǎng)絡(luò)時(shí)需要時(shí)提供一個(gè)動(dòng)態(tài)密碼，這個(gè)密碼被認(rèn)證系統(tǒng)使用一次后就立刻失效，對(duì)于鍵盤攔截程序和監(jiān)聽程序而言，得到的密碼已經(jīng)是失效的密碼，沒有使用價(jià)值。由于動(dòng)態(tài)密碼只能使用一次，所以可以防止釣魚攻擊者完全獲得用戶的ID信息。

技術(shù)回歸

傳統(tǒng)的身份認(rèn)證技術(shù)，一直游離于人類自身之外發(fā)展，而且兜得越來越大，越來越復(fù)雜。顯然，傳統(tǒng)的身份認(rèn)證系統(tǒng)，會(huì)使消費(fèi)者因?yàn)閬G失插件或忘記密碼而急得團(tuán)團(tuán)轉(zhuǎn)，而生物識(shí)別技術(shù)將提供一個(gè)完全是“人本位”的識(shí)別體系。

比爾。蓋茨曾斷言，生物識(shí)別技術(shù)將成為未來幾年IT產(chǎn)業(yè)的重要革新。越來越多個(gè)人、企業(yè)乃至政府都承認(rèn)，現(xiàn)有身份加密碼或基于智能卡的身份識(shí)別系統(tǒng)遠(yuǎn)遠(yuǎn)不夠，生物特征識(shí)別技術(shù)在未來提供解決方案方面將占據(jù)重要的地位。

生物識(shí)別技術(shù)主要是通過可測(cè)量的身體或行為等生物特征進(jìn)行身份認(rèn)證的一種技術(shù)。生物特征是指唯一的可以測(cè)量或可自動(dòng)識(shí)別和驗(yàn)證的生理特征或行為方式。生物特征分為身體特征和行為特征兩類。身體特征包括：指紋、掌型、視網(wǎng)膜、虹膜、人體氣味、臉型、手的血管和DNA等；行為特征包括：簽名、語音、行走步態(tài)等。目前部分學(xué)者將視網(wǎng)膜識(shí)別、虹膜識(shí)別和指紋識(shí)別等歸為高級(jí)生物識(shí)別技術(shù)；將掌型識(shí)別、臉型識(shí)別、語音識(shí)別和簽名識(shí)別等歸為次級(jí)生物識(shí)別技術(shù)；將血管紋理識(shí)別、人體氣味識(shí)別、DNA識(shí)別等歸為“深?yuàn)W的”生物識(shí)別技術(shù)。

隨著生命醫(yī)學(xué)的發(fā)展，生物識(shí)別已應(yīng)用到政府、金融、國防、教育、制造業(yè)、電信、電子商務(wù)等領(lǐng)域。但是，面對(duì)目前中國的發(fā)展，很快讓大眾使用生物識(shí)別技術(shù)還不太現(xiàn)實(shí)。生物識(shí)別技術(shù)沒有真正普及，很多技術(shù)等待探索，那么怎樣保證網(wǎng)上銀行用戶的安全，將是銀行、軟件提供商和政府的重要責(zé)任之一。