青青子衿, 悠悠我心, 但为君故, 沉吟至今
« WordPress的免费博客可以访问了Flickr繁体中文版发布 »

USB Key的安全漏洞

  今天参加了飞天诚信举办的一个USB Key的身份认证技术与应用的会议,从中对飞天的USB Key以及其在银行界的应用有了一些了解,我以前也曾经专门分析过USB Key的安全性,这次会议使得我对USB Key有了更深入的了解。

USB KEY

  在这次学习探讨的过程中,我对USB Key也有了一些新的体会:

  1、只要数字证书和私钥存放在电脑介质中,或者可能被读入内存,那么都是不安全的。例如招商银行的硬盘版数字证书就是不安全的。因为其私钥和数字证书都有被木马程序盗用的可能。

  2、USB Key的安全性在于私钥不能被导出,加密解密运算用Key内的CPU完成,需要PIN码验证。

  3、一个最基本的认证系统应该包括:客户端(使用USB Key)、服务器端、数字认证中心(CA)三部分,如果不用CA的话,也可以客户端的Key申请认证,服务器产生随机数,进行冲击/响应认证。

  然而,USB Key目前来说并不是绝对安全的,当前广泛应用的USB Key实际存在两大安全漏洞:

  1、交互操作存在漏洞。黑客可以远程控制,冒用客户的USB Key进行身份认证,而客户无法知晓。

  这种漏洞的解决方式是在USB Key上增加一个确认键,用户按USB Key上的确认键后才能进行一次认证。

  2、无法防止数据被篡改。客户的一笔交易在送入USB Key加密前,可能会被黑客拦截屏篡改为另外一笔交易,这样可以在用户不知情的情况下篡改交易而认证通过。

  这种漏洞的解决也需要变更USB Key的硬件,在USB Key上增加一个显示屏,能够显示交易信息和数字。

  这实际和我以前想象的一样,我曾经想到过将USB Key动态密码锁合二为一,就能产生出一个更安全的USB Key,不过这样的话,成本就会翻一翻了,这也是鱼和熊掌不可兼得。



  除非注明,月光博客文章均为原创,转载请以链接形式标明本文地址

  本文地址:http://www.williamlong.info/archives/927.html
  • 文章排行:
  • 2.kaikaixinxin
  • 我前两天,开了建设银行的网上银行,下载证书,一切准备就绪,过了两天,我打算网上汇款,结果发现我的KEY没用了.查看证书管理说没有证书.我吐血,前两天还好的.我就格式化.也没有用,就不找不到那个KEY.我开了三天,明天去银行不知道可以换吗?花了65块不会用都没有用就报销了吧,
  • 2007/11/6 21:13:39   支持(11)反对(6) 回复
  • 3.胡戈戈
  • 除了月光自己,前面几个都是百度空间的
    USB......还是不了解很深啊
  • 2007/6/13 1:03:23   支持(12)反对(8) 回复
  • 4.gargoyle
  • usb这些漏洞不是很严重,对个人电脑来说,木马才是最大的威胁。
  • 2007/7/1 9:59:22   支持(10)反对(6) 回复
  • 5.补充一句
  • 除非你专门安装一台机器进行网络交易,否则,谁都不敢说自己的机器没有木马什么的.如果不安全,网络交易带来的便利还不如他带来的损失大
  • 2007/7/10 10:54:11   支持(8)反对(4) 回复
  • 6.wdj
  • 自己电脑上的USBKey该没漏洞吧
  • 2007/6/13 13:50:16   支持(5)反对(2) 回复
  • 8.赛德电子服务部
  • 最安全的交易是拿你家种的大葱换他家种的土豆,注意两人同时伸出两手,喊声:“一,二,三,换!”
  • 2007/9/22 12:44:44   支持(7)反对(4) 回复
  • 9.怎么越看越可怕
  • 看了各位对这些东西的专业分析,俺是越看越糊涂了,网上交易这么不安全,赶快取消,免得祸害大家。俺最近看了淘宝网很多好东东,想买点,但是要支付宝,看看交易流程到是设计的不错,有一定的防范措施,比什么银行汇款风险要小,但是这个要开通网上银行,于是就在查找相关内容,于是找到了认证,又发现了什么U盾,觉得应该是很安全的了,哪里知道搜索到您这里把这个说的又是安全漏洞。又是被破解,这样的KEY仍然不安全,那么网上银行我宣布全部取消。这样我估计博主这里会比较安静。
  • 2007/9/24 20:28:40   支持(11)反对(8) 回复
  • 10.xxx
  • 我觉得有个既简单又有效的办法,用于网银的卡平时不要放钱进去,只有在网购时再转帐进去,前提是你要在一家银行办两张卡,因为这样转账方便省钱(当然如果你要用网银买基金什么的这样就不安全了)。

    再告诉 大家一条秘籍:不用网银最安全!!!
  • 2008/1/11 21:40:21   支持(7)反对(4) 回复
  • 11.安全是相对的
  • 安全总是相对的,具有时效性,没有哪种安全是永远安全的,并且安全与成本、易用性都相关联,目前对于信息安全的防范来讲,USBKey仍然是未来几年中最主流的有效安全手段方式。
  • 2007/6/13 11:50:14   支持(8)反对(6) 回复
  • 12.diudiu
  • 想把这篇保留在自己博客里,结果被吓一跳,不过我是不小心的,估计不是被发现了,是这里知识产权保护的太好了,吼吼
  • 2007/6/13 23:00:05   支持(10)反对(8) 回复
  • 13.说得真好
  • 我很希望银行能有简易终端出现,进行交易显示,确认,那个key部门可以做成电话卡sim卡形式的,这样,坏了可以换一个key就行了.再也不怕电脑的木马了,什么样的木马都不怕,而且强制网络交易密码不同atm上的相同
  • 2007/7/10 10:51:47   支持(8)反对(6) 回复
  • 14.aaa
  • "将USB Key和动态密码锁合二为一,就能产生出一个更安全的USB Key,不过这样的话,成本就会翻一翻了,这也是鱼和熊掌不可兼得。"

    安全性高,网银用户还是愿意掏钱的。太计较这点成本,用户安全没保障,可能因小失大。
  • 2011/9/22 17:30:50   支持(7)反对(5) 回复
  • 15.大瓜
  • 不知道支付宝上的,有多大的漏洞呢?
  • 2007/6/26 13:39:43   支持(8)反对(7) 回复
  • 16.怎么越看越可怕
  • 我问下,手机注册版,是否要比KEY安全点????
  • 2007/9/24 20:33:47   支持(3)反对(2) 回复
  • 17.123
  • 为何vista系统无法识别飞天的usb key?
  • 2008/4/4 11:31:38   支持(7)反对(6) 回复
  • 18.希望能行
  • 再发是不是就火了,大忙人...UPUP
  • 2008/9/9 16:29:50   支持(7)反对(6) 回复
  • 19.八百步
  • “只要数字证书和私钥存放在电脑介质中,或者可能被读入内存,那么都是不安全的”精辟!
    另外如果USB Key由于外界原因自身硬件损坏的话,会不会造成无法挽回的损失呢?
    —————————PS分隔线———————————-
    这些日子GOOGLEPAGE上不去了……
  • 2007/6/12 23:57:46   支持(6)反对(6) 回复
  • 22.神经猫
  • 其实usb key还是相对很安全的。
  • 2007/6/13 9:23:07   支持(8)反对(8) 回复
  • 23.cc
  • 呵,上面的理由不算什么了,如果你上面所分析的是正确的,反而证明USBKEY很安全.
    第一个,为客户控制,呵,这个恐怕没有办法的吧,况且,现在的KEY基本上是可以在交易操作前提示输入一个口令的,指KEY的口令,但拟乎也很难完美解决,二,数据在运算时的篡改,这的确是个问题,恐怕不易解决,而在KEY上加个显示屏,估计也就做成MP4那个样子吧,这个好象有点搞笑,不过也不失为一个办法.
    毕竟,网络安全除了KEY还有口令,还有其他的,多方面的.
  • 2007/6/20 17:53:08   支持(5)反对(5) 回复
  • 24.中天一维李振新
  • 看了作者的文章,很受启发,关于安全性上面,我公司自己开发除了,指纹KEY产品,我们的指纹KEY,就是解决KEY的PIN码漏洞问题.在验证身份的时候,是要输入指纹才可以提取证书等等。而且是指纹运算在KEY内完成.这个产品已经在一些地方应用的很好了,感兴趣的朋友,可以和我联系.010-58731861
    13601307538
  • 2007/7/30 18:45:50   支持(6)反对(6) 回复
  • 25.lieshengren
  • 用vm安装一台虚拟机专门用来转帐.....
    不过可能会中局域网病毒,,,个人感觉比u盾安全....
    偶都可以整个镜像拷贝到移动硬盘或者刻光碟..
  • 2007/9/5 15:17:37   支持(6)反对(6) 回复
  • 26.fekoo
  • 月光真的很伟大~~~这么久的都有~~
  • 2010/7/10 3:54:48   支持(9)反对(9) 回复
  • 27.williamlong
  • USB Key的硬件如果损坏,私钥和数字证书会丢失,因此需要事前备份。
  • 2007/6/13 0:02:13   支持(5)反对(6) 回复
  • 29.xiaocainiao
  • 硬件坏了就只有买新的,没有备份的,第一,银行的人从CFCA下载证书根本就不知道如何备份;第二,在卖一次多挣一次钱;第三,证书有有效期,备份的意义不大。总之,在保修期内,硬件坏了换新的,过了保修期自认倒霉。
  • 2007/6/13 16:38:16   支持(8)反对(9) 回复
  • 30.一个叫搜索引擎的家伙
  • 最近用U盘用的太寒心了
    好几次拷贝的文件换了个地方就打不开
    严重影响学习工作
  • 2007/6/13 0:19:48   支持(6)反对(8) 回复
  • 31.宛川骄子
  • 我对些问题很关心,希望月光能多提供相关的文章.
  • 2007/6/13 7:44:12   支持(8)反对(10) 回复
  • 32.怎么越看越可怕
  • 昨天后来仔细想了想,怎么最安全交易,要不每个用户使用专业网银终端设备,就和楼主所说的和二唯一的设备,和在交易所里用磁卡进行交易的形式差不多我也不知道怎么表达,这样的东西最好和手机整合在一起,比如掌上PDA,也用网盾认证一次,,当然这个不是唯一的选择,以前U盾继续使用,要不在您的电脑里装个还原精灵,一键还原之类,您在使用网银之前先还原,要不先格式化一次,是不是有点效果,或者您家里准备两台电脑,另台专门用于网银交易,且每次交易之前格式话一次,这样保险了吧,要不您就抱个笔记本满街跑,也装个一键还原,交易前先还原(这个要是也被破解,那就炸掉电脑,什么破玩意),还有一招就是,你专门准备一张卡,进行交易用的,要交易就存钱进去,不 交易就不存钱,这样您的钱总不会跑吧。总之我的大概意思,
    1.专用交易终端(如手机PDA)+U盾+专用交易卡(经常更换密码)
    2.有还原精灵的电脑+U盾+专用交易卡(经常更换密码)
    3.交易前先格式化电脑+U盾+专用交易卡(经常更换密码)
    不知道楼主觉得俺这样的构思是不是安全性要高点,话说回去,如果每次都先还原,或者先格式化,我看这个U盾估计应该是多余的了,我不太懂电脑,一个很菜的问题,实际上把安全性全部集中在U盾是不是太狭隘了,设计多种防范措施,应该可以弥补单独使用一个防范措施是不是更有效,博主绝对是电脑界的精英,和您探讨一下。时间有限,很多东西没有表达清楚,就请原谅

    一个电脑菜民
  • 2007/9/25 9:28:09   支持(7)反对(10) 回复
  • 33.well
  • 看来USB Key和动态密码锁其实是一种东西的不同实现


    为何vista系统无法识别飞天的usb key?
    ------------------------------------
    猜测原因
    1.vista是新系统
    2.您处于天朝
    3.vista有patchguard
  • 2008/5/11 0:26:22   支持(7)反对(10) 回复
  • 34.ddd
  • 楼上的指纹的办法还是不能消除博主对数据输入usb运算前的篡改攻击。
    还不如在上面放个显示屏提问一个简单的问题和交易单摘要,让用户通过计算机输入答案确认。可以解决数据篡改和远程控制的问题。
  • 2007/9/3 3:14:40   支持(5)反对(9) 回复
  • 35.怎么越看越可怕
  • 网汇e业务2007年3月20日上线 无银行卡也可网上消费
    呵呵,安全措施多的很,呵呵
  • 2007/9/26 18:48:48   支持(3)反对(7) 回复
  • 36.盗钱
  • 楼32,黑客其实对你的转帐卡更感兴趣,当你向网购的卡转帐时,他就知道你的转帐卡,下次他直接把你的转帐卡的钱转走。
  • 2008/2/4 19:43:04   支持(4)反对(9) 回复
  • 37.demo
  • 非常棒的帖子,向你学习中。。。
  • 2008/1/7 14:36:44   支持(4)反对(12) 回复

发表评论:

 请勿发送垃圾信息、广告、推广信息或链接,这样的信息将会被直接删除。

订阅博客

  • 订阅我的博客:订阅我的博客
  • 关注新浪微博:关注新浪微博
  • 关注腾讯微博:关注腾讯微博
  • 关注认证空间:关注QQ空间
  • 通过电子邮件订阅
  • 通过QQ邮件订阅

站内搜索

热文排行


月度排行

本站采用创作共用版权协议, 要求署名、非商业用途和相同方式共享. 转载本站内容必须也遵循“署名-非商业用途-相同方式共享”的创作共用协议.
This site is licensed under a Creative Commons Attribution-NonCommercial-ShareAlike 3.0 License.