網(wǎng)絡(luò )消費用戶(hù)身份安全

　　網(wǎng)絡(luò )消費用戶(hù)身份安全【1】

　　摘要：網(wǎng)絡(luò )消費用戶(hù)身份安全包括用戶(hù)口令保護、用戶(hù)身份驗證和用戶(hù)資料安全三個(gè)方面。

　　網(wǎng)絡(luò )消費最常用的用戶(hù)身份驗證機制就是用戶(hù)名/密碼身份驗證，網(wǎng)絡(luò )消費過(guò)程中使用的用戶(hù)名、密碼容易被黑客竊取，因此網(wǎng)絡(luò )消費者要非常注意對密碼的保護。

　　數字證書(shū)則提供了更為安全的身份驗證機制，采用數字證書(shū)，不僅保證了用戶(hù)信息的安全性和完整性，而且保證了用戶(hù)身份的不可抵賴(lài)性。

　　電子商務(wù)網(wǎng)站則可以從用戶(hù)信息收集、信息使用和安全控制三個(gè)方面對網(wǎng)絡(luò )消費用戶(hù)資料進(jìn)行嚴格的保護。

　　關(guān)鍵詞：網(wǎng)絡(luò )消費，用戶(hù)身份，安全

　　隨著(zhù)互聯(lián)網(wǎng)的迅速發(fā)展，網(wǎng)絡(luò )消費已成為當今比較熱門(mén)和時(shí)髦的話(huà)題。

　　根據中國互聯(lián)網(wǎng)絡(luò )信息中心(CNNIC)于2012年發(fā)布的統計報告，網(wǎng)絡(luò )購物位列十大網(wǎng)絡(luò )應用之一，這標志著(zhù)以網(wǎng)絡(luò )購物為代表的網(wǎng)絡(luò )消費已經(jīng)占據比較重要的地位。

　　一、用戶(hù)口令保護

　　網(wǎng)絡(luò )消費者在開(kāi)始網(wǎng)絡(luò )購物前，必須先進(jìn)行新用戶(hù)注冊。

　　用戶(hù)注冊就是為了獲得一個(gè)在網(wǎng)絡(luò )上有效、合法的身份。

　　在傳統的消費購物過(guò)程中，交易的對象、交易的身份非常明確，而基于互聯(lián)網(wǎng)的網(wǎng)絡(luò )消費由于互聯(lián)網(wǎng)的全球開(kāi)放性，使得參與交易的雙方首先都迫切地需要確認對方的身份。

　　因此用戶(hù)身份驗證也是網(wǎng)絡(luò )消費一個(gè)比較重要的問(wèn)題。

　　網(wǎng)絡(luò )上最簡(jiǎn)單和最常用的用戶(hù)身份驗證機制就是用戶(hù)名/密碼身份驗證。

　　每個(gè)電子商務(wù)網(wǎng)站的用戶(hù)注冊界面都大同小異，對于不同的網(wǎng)站，有些信息是用戶(hù)注冊時(shí)必須要填的，有些信息是可選的。

　　這些注冊信息中最重要的就是用戶(hù)名和用戶(hù)密碼，其中用戶(hù)名是用戶(hù)登錄時(shí)使用，必須是字母和數字的組合，最好是簡(jiǎn)單易記的名字，但不能與其它的已注冊的登錄名重復。

　　用戶(hù)密碼也是登錄時(shí)使用，可以是數字和字母的組合，但是要注意密碼設置的安全性，最好不要用姓名、生日等容易被猜出的詞作為密碼。

　　用戶(hù)名和用戶(hù)密碼設置好后一定要記住名字和密碼，特別是不太常用的用戶(hù)名和密碼最好在一個(gè)安全的地方用筆記錄下來(lái)，以免時(shí)間長(cháng)了忘記用戶(hù)名和密碼，從而帶來(lái)一些不必要的麻煩。

　　有了用戶(hù)名和密碼，還不能完全保證網(wǎng)絡(luò )消費的安全，因為就目前的黑客技術(shù)來(lái)說(shuō)，用戶(hù)名和密碼的盜取對黑客不是一件有難度的事情。

　　黑客盜取密碼的方法有很多，最原始的方法，如果用戶(hù)的密碼設置缺乏安全性，可能會(huì )輕易地被“字典攻擊”破解密碼。

　　“字典攻擊”就是通過(guò)編寫(xiě)一段應用程序，由應用程序根據一定的規律，自動(dòng)地去反復嘗試不同的密碼，強行破解用戶(hù)密碼。

　　因此，為了增強安全性，現在通過(guò)網(wǎng)絡(luò )輸入密碼時(shí)往往會(huì )要求輸入校驗碼，校驗碼是一個(gè)隨機產(chǎn)生的數字或字母，校驗碼的字體很特殊，只能肉眼識別，這樣就可以防范通過(guò)應用程序反復嘗試密碼的字典攻擊的方式。

　　第二種竊取密碼的方法需要借助一些通用的網(wǎng)絡(luò )工具，比如說(shuō)有的黑客通過(guò)FTP、TFTP和Telnet等網(wǎng)絡(luò )工具，可以搜集用戶(hù)帳戶(hù)資料、獲得口令文件，然后黑客對收集到的口令文件進(jìn)行解密來(lái)獲得密碼。

　　第三種竊取密碼的方法更為高明，比如說(shuō)黑客可以編寫(xiě)一些看起來(lái)“合法”的軟件，將這些軟件上傳到一些站點(diǎn)或是提供給某些下載網(wǎng)站，誘導用戶(hù)下載。

　　當一個(gè)用戶(hù)下載其它軟件時(shí)，黑客的軟件會(huì )隨正常的軟件一起下載到用戶(hù)的計算機。

　　黑客軟件進(jìn)入到用戶(hù)的計算機后，會(huì )自動(dòng)運行、跟蹤用戶(hù)的鍵盤(pán)操作，記錄用戶(hù)輸入的每個(gè)密碼，然后把它們發(fā)送給黑客指定的郵箱，從而竊取了用戶(hù)的密碼。

　　既然密碼竊取是一種常見(jiàn)的網(wǎng)絡(luò )攻擊方式，黑客可以通過(guò)破解用戶(hù)密碼入侵用戶(hù)系統，因此網(wǎng)絡(luò )消費者要非常注意對密碼的保護，特別是在設置密碼時(shí)不能簡(jiǎn)單了事。

　　據統計，計算機系統被入侵的主要原因是密碼被猜出。

　　在互聯(lián)網(wǎng)上，通常導致密碼被猜破的原因都是由于大意造成的。

　　為確保用戶(hù)密碼的安全，設定密碼時(shí)應注意一些基本要點(diǎn)。

　　比如說(shuō)：短的密碼易被猜出，8個(gè)或更多字符相對較為安全;不要使用詞典中的單詞作為密碼;混用數字和字母;至少包括一個(gè)大寫(xiě)字母和一個(gè)小寫(xiě)字母;確保密碼不是與企業(yè)有關(guān)聯(lián)的單詞或縮寫(xiě);至少每?jì)蓚�(gè)月更換一次密碼等等。

　　二、數字證書(shū)身份驗證

　　有了用戶(hù)名和密碼，仍不能完全保證用戶(hù)身份的合法性。

　　因為象電腦病毒、木馬程序、網(wǎng)絡(luò )釣魚(yú)等形形色色的網(wǎng)絡(luò )威脅，讓消費者在網(wǎng)絡(luò )消費填寫(xiě)用戶(hù)名、密碼時(shí)非常不放心，擔心被破解。

　　傳統的用戶(hù)名加密碼的身份認證方式已不能適應網(wǎng)絡(luò )消費經(jīng)濟的快速發(fā)展，也成為了網(wǎng)絡(luò )消費的主要障礙之一。

　　數字證書(shū)的出現就是為了消除這些障礙。

　　當前，網(wǎng)絡(luò )消費最典型的身份認證辦法就是交易雙方都事先從一個(gè)大家都信任的，交易方以外的被稱(chēng)為認證中心的第三方機構獲得自己的數字證書(shū)。

　　數字證書(shū)是一個(gè)經(jīng)權威的認證機構數字簽名的包含用戶(hù)身份信息以及公開(kāi)密鑰的電子文件，是用電子手段來(lái)證實(shí)一個(gè)用戶(hù)的身份和對網(wǎng)絡(luò )資源訪(fǎng)問(wèn)的權限，是各實(shí)體(消費者、商戶(hù)/企業(yè)、銀行)在網(wǎng)上進(jìn)行信息交流及商務(wù)活動(dòng)的電子身份證。

　　數字證書(shū)可以在互聯(lián)網(wǎng)上識別不同用戶(hù)并且加密傳輸數據，并能根據用戶(hù)的身份給予相應的網(wǎng)絡(luò )資源訪(fǎng)問(wèn)權限。

　　在網(wǎng)絡(luò )消費過(guò)程中，消費者、商務(wù)伙伴、企業(yè)和金融機構之間都可以通過(guò)數字證書(shū)來(lái)確認彼此的身份，若交易雙方出示了各自的數字證書(shū)，并用它來(lái)進(jìn)行交易操作，那么雙方都可不必為對方的身份真偽擔心。

　　同時(shí)，數字證書(shū)類(lèi)似于電子身份證，當消費者在網(wǎng)絡(luò )消費過(guò)程中，只有當用戶(hù)名、密碼與消費者的數字證書(shū)一致時(shí)，才會(huì )交易成功。

　　由于數字證書(shū)是安裝在消費者的機器上，而且與消費者的用戶(hù)賬號唯一對應，因此，即使別人竊取消費者的用戶(hù)賬號和密碼，由于沒(méi)有消費者的數字證書(shū)，仍不能冒用消費者賬戶(hù)進(jìn)行操作，這種身份和賬戶(hù)雙重認證方式，安全性比傳統的身份認證方式有了大幅提高。

　　在網(wǎng)絡(luò )消費過(guò)程中，數字證書(shū)的發(fā)放和管理都不是交易的雙方自己能完成的，而需要有一個(gè)具有權威性和公正性的第三方來(lái)完成。

　　認證中心(Certification Authority)就是法律承認的權威機構，負責發(fā)放和管理電子證書(shū)，目的是使網(wǎng)上交易的各方能相互確認身份，從而保證網(wǎng)上交易的安全性。

　　由于銀行經(jīng)常要參與到電子商務(wù)交易當中去，因此，一些銀行機構已經(jīng)開(kāi)始逐步充當起這種被信任的第三方角色，由銀行來(lái)發(fā)放數字證書(shū)、向交易雙方提供數字簽名等。

　　網(wǎng)絡(luò )安全中身份認證技術(shù)【2】

　　摘 要：由于現代科技的快速發(fā)展，現代社會(huì )已進(jìn)入網(wǎng)絡(luò )時(shí)代。

　　網(wǎng)絡(luò )的出現以及廣泛應用給人們的生活以及工作都提供了很大方便，使工作效率得到很大提高。

　　然而網(wǎng)絡(luò )安全問(wèn)題也是網(wǎng)絡(luò )技術(shù)應用過(guò)程中不得不去面對的，身份驗證技術(shù)在網(wǎng)絡(luò )安全保護中的應用使得網(wǎng)絡(luò )的安全性在一定程度上得到了解決。

　　關(guān)鍵詞：網(wǎng)絡(luò )安全;身份認證技術(shù);應用

　　1關(guān)于身份認證技術(shù)的認識

　　1.1以口令為基礎的認證方式

　　對于傳統認證技術(shù)來(lái)說(shuō)，它所使用的主要是以口令為基礎的認證方法。

　　這種方法相對比較簡(jiǎn)單，系統事先對每一個(gè)用戶(hù)所擁有的二元組信息進(jìn)行保存，當用戶(hù)進(jìn)入系統內的時(shí)候，將自己的ID以及有關(guān)PW輸入進(jìn)去，系統自動(dòng)將所保存的信息與用戶(hù)所輸入的信息進(jìn)行比較，從而對用戶(hù)的身份合法性進(jìn)行判斷。

　　這種認證方法所具有的有點(diǎn)就是：一般的系統中都對口令認證提供支持，因此對于封閉小型系統來(lái)說(shuō)，這是一個(gè)簡(jiǎn)單可行的很好的方法。

　　然而用戶(hù)在選擇口令的時(shí)候一般都是姓名或者是生日，這種口令是很容易你破解的，這樣一來(lái)就存在很大的不安全性。

　　口令是以明文的形式在網(wǎng)絡(luò )中進(jìn)行傳輸的，所以攻擊者通過(guò)搭線(xiàn)的方式很容易就可以獲得口令。

　　此外，攻擊者還可能會(huì )根據系統中的漏洞來(lái)獲得系統中所保存的用戶(hù)文件，因此存在很大的不安全性。

　　為了將技術(shù)安全性提高，一般在進(jìn)行保存以及傳輸的時(shí)候都要用密碼算法來(lái)進(jìn)行加密，但這對于重傳以及假冒攻擊也是沒(méi)有辦法進(jìn)行抵抗的。

　　1.2以物理證件為基礎的認證方式

　　這種方式是利用用戶(hù)的某種特有東西來(lái)得以實(shí)現的。

　　所使用的物理證件主要有智能卡以及USB Key等。

　　利用智能卡能夠對硬件進(jìn)行加密，其安全性比較高。

　　以智能卡為基礎的認證方式將用戶(hù)所知以及用戶(hù)所有兩種方式進(jìn)行了結合。

　　在物理證件中存入用戶(hù)信息，將用戶(hù)事先進(jìn)行選擇的某個(gè)隨機數據存入到AS中，用戶(hù)在對系統資源進(jìn)行訪(fǎng)問(wèn)時(shí)，在輸入ID以及口令之后，系統先對智能卡的合法性進(jìn)行判斷，然后利用智能卡來(lái)對用戶(hù)身份進(jìn)行鑒別，若用戶(hù)身份是合法的，之后再將智能卡中所保存的隨機數據送給AS來(lái)進(jìn)行進(jìn)一步認證。

　　2一次性口令認證技術(shù)

　　2.1技術(shù)特點(diǎn)以及設計思想

　　所謂一次性口令就是將身份代碼以及某一種不能確定的因素當做是密碼算法輸入參數。

　　利用算法的變換得到一個(gè)變化結果，并且將這個(gè)結果當作是用戶(hù)進(jìn)行登錄的口令，在認證服務(wù)器端利用與之相同的計算方法來(lái)計算，并且要將其與用戶(hù)登錄口令匹配，如果是合法的就對其登錄接受。

　　這種一次性口令，是不重復的，并且是不斷變化的，另外，用戶(hù)不需要來(lái)記憶，一個(gè)口令只能夠有一次使用權利，是拒絕重復使用的。

　　2.2實(shí)現技術(shù)的方式

　　從目前情況來(lái)看，一次性口令認證技術(shù)得以實(shí)現的方式主要有四種：

　　第一，Lamport方式，這種方式也叫做哈希鏈方式。

　　在初始化階段的時(shí)候，選擇一個(gè)迭代數N與口令PW，并且還要選擇一個(gè)單向的散列函數F，計算方式就是Y=Fn(PW)，在計算出結果之后，要將Y以及N的值全部在服務(wù)器上保存。

　　在用戶(hù)端對Y/=Fn-1(PW)進(jìn)行計算，然后將其向服務(wù)器提交，在服務(wù)器中進(jìn)行的計算是Z=F(Y/)，最后服務(wù)器比較Z值與保存在服務(wù)器上的Y/。

　　若兩者的值是相等的，就說(shuō)明驗證成功，然后用Y/服務(wù)器中的Y值取代，同時(shí)要將N值遞減1。

　　利用這種方式，用戶(hù)每次在服務(wù)器段進(jìn)行登錄的時(shí)候都會(huì )有不同口令。

　　這種方案的實(shí)現是很容易的，并且是不需要特殊硬件支持的。

　　但是它的安全性是依靠單向散列函數來(lái)實(shí)現的，最好是不要在分布式網(wǎng)絡(luò )環(huán)境中使用。

　　第二，時(shí)間同步方式。

　　在這種方式中，每一個(gè)用戶(hù)都有一個(gè)相應時(shí)間同步令牌。

　　時(shí)鐘，加密算法以及種子密鑰都放置在令牌內。

　　這種令牌依據當前的時(shí)間以及種子密鑰在每一分鐘內都有一個(gè)一次性口令生成。

　　當用戶(hù)對系統進(jìn)行訪(fǎng)問(wèn)時(shí)，將所生成的口令向認證服務(wù)器傳送。

　　服務(wù)器利用種子密鑰的副本以及當前時(shí)間將期望輸出值計算出來(lái)，以此來(lái)驗證用戶(hù)，若能夠相匹配，就能夠通過(guò)登錄。

　　這種方式的關(guān)鍵就在要保持認證服務(wù)器及令牌時(shí)鐘的同步。

　　第三，挑戰應答方式。

　　在這種方式中，每一個(gè)用戶(hù)要持有相應挑戰應答令牌。

　　同樣在令牌內放置有種子密鑰以及加密算法。

　　用戶(hù)在對系統進(jìn)行訪(fǎng)問(wèn)時(shí)，會(huì )有一個(gè)挑戰數據在服務(wù)器中隨機生成，并且將這個(gè)數據向用戶(hù)發(fā)送，用戶(hù)將收到的數據輸入到令牌內，令牌再根據內部的加密算法以及種子密鑰要與之相應應答數據計算出來(lái)。

　　用戶(hù)再將該應答數據向服務(wù)器上傳。

　　服務(wù)器再將相應應答數據計算出來(lái)，將其與用戶(hù)上傳數據進(jìn)行比較，從而進(jìn)行驗證。

　　從目前情況來(lái)看，這是最有效的一種方式。

　　第四，異或運算方式。

　　這種方式是將一些比較簡(jiǎn)單的運算和散列運算進(jìn)行相應結合，認證雙方利用這些運算方式來(lái)對雙方所交換認證數據進(jìn)行計算，從而來(lái)進(jìn)行驗證。

　　這種方式所具有的特點(diǎn)就是設計比較簡(jiǎn)單，運算量比較小，并且在實(shí)施時(shí)成本也較低。

　　3結語(yǔ)

　　網(wǎng)絡(luò )安全是網(wǎng)絡(luò )運行中必須要解決的一個(gè)問(wèn)題，是保證網(wǎng)絡(luò )正常運行的前提。

　　在網(wǎng)絡(luò )安全中運用身份認證技術(shù)對其安全性提高有重要作用，能夠保證網(wǎng)絡(luò )安全運行，促進(jìn)網(wǎng)絡(luò )技術(shù)發(fā)展。

　　參考文獻

　　[1]李俊林.身份認證技術(shù)在網(wǎng)絡(luò )安全中的應用[J].電腦編程技巧與維護，2013(2)

【網(wǎng)絡(luò )消費用戶(hù)身份安全】相關(guān)文章：

05-27

03-01

12-30

10-26

03-07

10-26

04-26

10-10

01-03

06-17