賽孚耐推“光學(xué)認(rèn)證”令牌

6月2日，RSA公司承認(rèn)RSA Secure ID 令牌在3月份被攻破的消息屬實(shí)；6月6日，RSA公司不得不宣布在全球范圍內(nèi)召回4000萬(wàn)只Secure ID令牌，其中包括洛克希德#8226;馬丁公司和其他美國(guó)國(guó)防承包商等大型商業(yè)機(jī)構(gòu)。

為什么號(hào)稱極為安全的一分鐘一變的動(dòng)態(tài)密碼令牌也會(huì)被攻破呢？安全專家解釋，其實(shí)是因?yàn)楹诳桶l(fā)現(xiàn)了Secure ID的薄弱環(huán)節(jié)——種子。每個(gè)令牌都有一個(gè)種子，然后根據(jù)一定的算法生成一次一密的密碼。因此，種子決定了令牌的安全性。Secure ID的種子被集中保存在種子服務(wù)器中，卻不幸被黑客攻破并獲取，黑客可根據(jù)種子模擬出完全一樣的令牌，這才造成了大范圍的召回事件。“這種事情說(shuō)明，安全不能將所有的雞蛋放在一個(gè)籃子里。”安全專家說(shuō)。

此事讓許多用戶轉(zhuǎn)向了同樣提供雙因素認(rèn)證產(chǎn)品的賽孚耐公司。據(jù)賽孚耐亞太地區(qū)副總裁陳泓介紹，與RSA公司將種子集中在一個(gè)地方不同的是，賽孚耐的雙因素產(chǎn)品提供了兩種選擇：或?qū)⒎N子存放在賽孚耐的服務(wù)器中；或者將種子由用戶自己保管。這樣，即使發(fā)生種子被竊事件，其損失范圍也不會(huì)那么大。這種做法其實(shí)是將安全風(fēng)險(xiǎn)分散在不同的地方。

陳泓介紹，賽孚耐還提供包括SMS、虛擬PKI、OTP等多種技術(shù)的令牌，除了標(biāo)準(zhǔn)的一次一密的令牌外，有些令牌在上面還有微型小鍵盤，每發(fā)生一筆交易，都會(huì)讓用戶輸入用戶名和密碼進(jìn)行確認(rèn)，這就像在銀行每取一筆錢都需要用戶簽名確認(rèn)一樣，等于又增添了一重保護(hù)。

陳泓透露，最近，賽孚耐在全球推出了一種新的“光學(xué)認(rèn)證”令牌——令牌上有一個(gè)“光學(xué)認(rèn)證屏幕”，當(dāng)需要確認(rèn)一筆交易時(shí)，用戶不再需要在令牌上敲入用戶名和密碼，而只需將令牌上的光學(xué)屏幕與電腦屏幕上的光學(xué)認(rèn)證模塊對(duì)接，幾秒鐘就可實(shí)現(xiàn)自動(dòng)認(rèn)證。不僅減輕了用戶的負(fù)擔(dān)，還極大增強(qiáng)了認(rèn)證令牌的安全性。陳泓指出，令牌依然是目前金融、電信領(lǐng)域比較安全的身份認(rèn)證方式，隨著技術(shù)的進(jìn)步，廠商也在不斷推出新產(chǎn)品，以彌補(bǔ)上一代產(chǎn)品的不足。