远程身份认证威胁分析与对策

摘要

20世纪90年代,美国《纽约客》杂志有句很有名的俚语:“On the Internet,nobody knows you’re a dog”(在互联网上,没有人知道你是一条狗)。30多年后的今天,在身份认证领域,这句话仍然有着别样的意味。以静态密码为例,这是最常见的身份验证方法,但因其容易被盗用、猜解等脆弱性,被攻破的可能性也极大。安全系数较高的动态密码虽然具备攻击难、破译难度高等优点,但最新研究表明,攻击者仍然可以利用新型的一次性密码机器人(One-Time Password Bot,最早于2021年初开始对外提供服务,平均售价为500-700美元)并结合社会工程学等手段.