6月2日,RSA公司承認(rèn)RSA Secure ID 令牌在3月份被攻破的消息屬實(shí);6月6日,RSA公司不得不宣布在全球范圍內(nèi)召回4000萬(wàn)只Secure ID令牌,其中包括洛克希德#8226;馬丁公司和其他美國(guó)國(guó)防承包商等大型商業(yè)機(jī)構(gòu)。
為什么號(hào)稱極為安全的一分鐘一變的動(dòng)態(tài)密碼令牌也會(huì)被攻破呢?安全專家解釋,其實(shí)是因?yàn)楹诳桶l(fā)現(xiàn)了Secure ID的薄弱環(huán)節(jié)——種子。每個(gè)令牌都有一個(gè)種子,然后根據(jù)一定的算法生成一次一密的密碼。因此,種子決定了令牌的安全性。Secure ID的種子被集中保存在種子服務(wù)器中,卻不幸被黑客攻破并獲取,黑客可根據(jù)種子模擬出完全一樣的令牌,這才造成了大范圍的召回事件。“這種事情說(shuō)明,安全不能將所有的雞蛋放在一個(gè)籃子里。”安全專家說(shuō)。
此事讓許多用戶轉(zhuǎn)向了同樣提供雙因素認(rèn)證產(chǎn)品的賽孚耐公司。據(jù)賽孚耐亞太地區(qū)副總裁陳泓介紹,與RSA公司將種子集中在一個(gè)地方不同的是,賽孚耐的雙因素產(chǎn)品提供了兩種選擇:或?qū)⒎N子存放在賽孚耐的服務(wù)器中;或者將種子由用戶自己保管。這樣,即使發(fā)生種子被竊事件,其損失范圍也不會(huì)那么大。這種做法其實(shí)是將安全風(fēng)險(xiǎn)分散在不同的地方。
陳泓介紹,賽孚耐還提供包括SMS、虛擬PKI、OTP等多種技術(shù)的令牌,除了標(biāo)準(zhǔn)的一次一密的令牌外,有些令牌在上面還有微型小鍵盤,每發(fā)生一筆交易,都會(huì)讓用戶輸入用戶名和密碼進(jìn)行確認(rèn),這就像在銀行每取一筆錢都需要用戶簽名確認(rèn)一樣,等于又增添了一重保護(hù)。
陳泓透露,最近,賽孚耐在全球推出了一種新的“光學(xué)認(rèn)證”令牌——令牌上有一個(gè)“光學(xué)認(rèn)證屏幕”,當(dāng)需要確認(rèn)一筆交易時(shí),用戶不再需要在令牌上敲入用戶名和密碼,而只需將令牌上的光學(xué)屏幕與電腦屏幕上的光學(xué)認(rèn)證模塊對(duì)接,幾秒鐘就可實(shí)現(xiàn)自動(dòng)認(rèn)證。不僅減輕了用戶的負(fù)擔(dān),還極大增強(qiáng)了認(rèn)證令牌的安全性。陳泓指出,令牌依然是目前金融、電信領(lǐng)域比較安全的身份認(rèn)證方式,隨著技術(shù)的進(jìn)步,廠商也在不斷推出新產(chǎn)品,以彌補(bǔ)上一代產(chǎn)品的不足。