办事指南

经济学人解释双因素认证存在哪些缺陷? 2017年9月13日,保持黑客入侵的主要工具之一无法保证安全

点击量:   时间:2017-11-17 13:28:01

随着公司处理对网络不安全问题日益增长的担忧,双因素认证(2FA)正变得越来越受欢迎通过2FA,帐户持有人可以通过输入密码然后添加由他们具有物理访问权限的内容生成的会签来在线验证其身份不过,这个“第二因素”并非万无一失去年,Black Lives Matter的活动家DeRay Mckesson在他的2个受保护的Twitter帐户中被黑了 5月份,德国银行客户的2FA账户被劫持而在8月份,一位比特币企业家从他的虚拟钱包中消耗了相当于15万美元的资金第二个因素如何使他们失败安全因素可以是您所知道的(密码),您拥有的东西(电话或智能加密狗)或您所拥有的东西(如指纹)这个想法是,虽然一个新的,好的做法可能会破解你的密码,但是如果你无法访问你保持密切的硬件或者你的身体,那么这个动作是徒劳的测试通常采用发送到移动电话的文本消息(SMS)的形式许多现代手机都通过指纹解锁,表面上可以在顶部添加生物识别保护层理论上,这些第二个因素转移了窃贼,政府和被抛弃的合作伙伴破解账户的企图,同时也解除了大规模违反在线账户的行为没有第二个因素,密码就是这么多渣滓但即便与他们在一起,账户仍然会被破解升级您的收件箱并获取我们的每日调度和编辑推荐这个缺陷很大程度上与最薄弱的环节有关:电话系统和运行它的人例如,麦克森先生和比特币受害者遭到攻击者的攻击,他们欺骗电话公司员工将受害者,电话号码重新路由到攻击者手中的设备此类移动应该要求私人,个人详细信息或客户PIN但即使客户服务代表无视欺诈者的恳求,骗子也会再次尝试打电话给另一位代表,最终可能会成功在德国攻击中使用的另一个缺陷是在称为信令系统7(SS7)的系统中发现,该系统在全球范围内的网络上呼叫,可追溯到1975年漏洞比比皆是,尽管移动运营商声称监控滥用,访问到SS7系统允许黑客拦截语音呼叫和短信离开短信已经有一段时间了许多网站提供由Google推广的基于时间的一次性密码系统有了这个,帐户持有人使用密码登录然后,该网站生成一个帐户独有的访问代码,并将其显示为2D代码(一个满点的方形),可以扫描到像Google Authenticator这样的应用程序然后该应用程序会发出一个新代码,该代码在很短的时间内有效,用于完成帐户登录对于每次后续登录,用户必须返回应用程序以获取新的访问代码苹果当前的2FA系统在两年前取代了较弱的版本,在新登录进行时向所有用户注册的Apple设备发送警报然后,它会发出必须输入的代码才能完成登录 Fast Identity Online Alliance是一个在整个行业得到广泛支持的团体,它开发了一个名为Universal Second Factor的公钥加密令牌系统,该系统使用USB加密狗来证明用户,站点的身份以及证明站点,是用户的身份但是,几乎所有提供这些优质2FA选项的帐户也使用文本消息作为必需的备份,从而削弱了它们的功效许多安全专家希望完全从系统中删除SMS,或让高级用户禁用它但有些人警告说,对于无法导航更复杂系统的用户来说,短信总比没有好放弃SMS可能会导致用户恢复到仅密码登录尚未出现的正确解决方案是第二个因素,