搜索

[15910] 2020-09-30_在双因素身份认证领域混迹6年，聊聊我的见解

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-09-30_在双因素身份认证领域混迹6年，聊聊我的见解 在 双 因 素 身 份 认 证 领 域 混 迹 6 年 ， 聊 聊 我 的 见 解 原 创   F r e e A d r i a n   F r e e B u f   2 0 2 0 - 0 9 - 3 0 先 简 单 聊 点 众 所 周 知 的 ， 什 么 是 双 因 素 认 证 ？ 先 简 单 聊 点 众 所 周 知 的 ， 什 么 是 双 因 素 认 证 ？ 借 用 百 科 的 描 述 ： 双 因 素 认 证 是 一 种 采 用 时 间 同 步 技 术 的 系 统 ， 采 用 了 基 于 时 间 、 事 件 和 密 钥 三 变 量 而 产 生 的 一 次 性 密 码 来 代 替 传 统 的 静 态 密 码 。 每 个 动 态 密 码 卡 都 有 一 个 唯 一 的 密 钥 ， 该 密 钥 同 时 存 放 在 服 务 器 端 ， 每 次 认 证 时 动 态 密 码 卡 与 服 务 器 分 别 根 据 同 样 的 密 钥 ， 同 样 的 随 机 参 数 （ 时 间 、 事 件 ） 和 同 样 的 算 法 计 算 了 认 证 的 动 态 密 码 ， 从 而 确 保 密 码 的 一 致 性 ， 从 而 实 现 了 用 户 的 认 证 。 因 每 次 认 证 时 的 随 机 参 数 不 同 ， 所 以 每 次 产 生 的 动 态 密 码 也 不 同 。 由 于 每 次 计 算 时 参 数 的 随 机 性 保 证 了 每 次 密 码 的 不 可 预 测 性 ， 从 而 在 最 基 本 的 密 码 认 证 这 一 环 节 保 证 了 系 统 的 安 全 性 。 解 决 因 口 令 欺 诈 而 导 致 的 重 大 损 失 ， 防 止 恶 意 入 侵 者 或 人 为 破 坏 ， 解 决 由 口 令 泄 密 导 致 的 入 侵 问 题 。 事 实 上 这 个 并 不 完 全 正 确 ， 准 确 来 讲 这 个 太 过 于 片 面 ， 不 够 全 面 ， “ 双 因 素 ” 顾 名 思 义 就 是 在 原 来 “ 用 户 名 + 静 态 秘 密 ” 的 基 础 上 增 加 一 种 因 素 ， 用 以 判 断 用 户 身 份 ， 以 确 保 是 用 户 本 人 登 录 ， 目 前 我 知 道 的 就 有 ： 动 态 密 码 、 扫 码 、 消 息 推 动 态 密 码 、 扫 码 、 消 息 推 送 、 送 、 邮 件 认 证 、 指 纹 、 人 脸 、 虹 膜 、 声 音 、 邮 件 认 证 、 指 纹 、 人 脸 、 虹 膜 、 声 音 、 U 盘 证 书 盘 证 书 等 ， 所 以 说 动 态 密 码 是 双 因 素 认 证 其 中 的 一 种 ， 只 是 目 前 应 用 的 最 广 泛 而 已 。 双 因 素 身 份 的 核 心 在 于 “ 身 份 判 定 ” ！ 所 以 简 单 讲 能 在 用 户 名 + 静 态 密 码 的 基 础 上 ， 增 加 一 种 判 定 身 份 的 因 素 ， 都 可 以 称 之 为 双 因 素 认 证 。 分 别 聊 下 上 面 提 到 的 几 种 双 因 素 认 证 方 式 ： 首 先 是 动 态 密 码 ： 首 先 是 动 态 密 码 ： 动 态 密 码 是 目 前 使 用 最 广 泛 的 双 因 素 认 证 方 式 ， 我 们 在 登 录 各 类 网 站 或 者 A P P 时 ， 通 常 情 况 下 都 需 要 短 信 验 证 码 ， 用 以 判 断 是 本 人 操 作 ， 这 在 C 端 个 人 用 户 中 是 最 普 遍 、 也 是 最 有 效 的 方 式 。 但 是 在 B 端 企 业 用 户 中 ， 很 少 采 用 短 信 验 证 码 ！ 一 是 短 信 验 证 码 完 全 依 赖 运 营 商 信 号 ， 及 时 性 差 ， 再 者 手 机 短 信 有 被 劫 持 的 风 险 ， 安 全 级 别 低 。 企 业 使 用 动 态 密 码 一 般 会 选 用 以 下 几 种 令 牌 形 式 ： 硬 件 令 牌 A P P 令 牌 微 信 小 程 序 令 牌 钉 钉 令 牌 P C 令 牌 微 信 公 众 号 令 牌
虽 然 同 为 动 态 密 码 令 牌 ， 但 认 证 逻 辑 和 流 程 并 不 相 同 ， 其 中 手 机 验 证 码 和 微 信 公 众 号 令 牌 认 证 原 理 较 为 相 似 ： 用 户 端 向 认 证 服 务 器 申 请 动 态 密 码 ， 认 证 服 务 器 生 成 动 态 密 码 ， 并 通 过 短 信 网 关 或 者 微 信 公 众 号 服 务 端 以 短 信 验 证 码 或 微 信 公 众 号 消 息 的 形 式 发 送 到 用 户 端 ， 大 致 登 录 流 程 如 下 （ 短 信 为 例 ） ： 前 提 条 件 ： 前 提 条 件 ：
业 务 系 统 和 认 证 系 统 完 成 对 接 ； 企 业 用 户 源 和 认 证 系 统 完 成 同 步 ； 短 信 网 关 和 认 证 系 统 完 成 对 接 ； 认 证 流 程 ： 认 证 流 程 ： 用 户 输 入 用 户 名 + 静 态 密 码 申 请 访 问 业 务 系 统 ； 业 务 系 统 通 过 A P I 接 口 将 请 求 信 息 发 送 到 企 业 用 户 源 做 初 步 校 验 ； 企 业 用 户 源 校 验 成 功 ， 核 验 通 过 ； 业 务 系 统 通 过 A P I 接 口 向 认 证 系 统 申 请 索 要 动 态 密 码 ； 生 成 动 态 密 码 ， 并 让 短 信 网 关 向 该 申 请 用 户 绑 定 的 手 机 号 发 送 动 态 密 码 ； 短 信 网 关 执 行 发 送 动 态 密 码 指 令 ； 用 户 手 机 收 到 短 信 验 证 码 ； 用 户 输 入 验 证 码 做 二 次 访 问 申 请 （ 身 份 二 次 校 验 ） ； 业 务 系 统 通 过 A P I 接 口 将 请 求 信 息 发 送 到 认 证 系 统 做 动 态 密 码 校 验 ； 认 证 系 统 校 验 成 功 ， 核 验 通 过 ； 成 功 登 录 业 务 系 统 。 注 ： 注 ： 1 、 微 信 公 众 号 认 证 流 程 和 短 信 认 证 一 致 ， 在 微 信 服 务 端 绑 定 用 户 账 号 ， 并 把 短 信 网 关 换 成 微 信 服 务 端 ； 2 、 邮 件 认 证 流 程 和 短 信 认 证 同 样 一 致 ， 把 短 信 网 关 换 成 邮 件 服 务 器 ； 硬 件 令 牌 、 A P P 令 牌 、 微 信 小 程 序 令 牌 、 钉 钉 令 牌 、 P C 令 牌 这 几 种 令 牌 非 常 相 似 ， 逻 辑 为 ： 内 置 加 密 算 法 、 时 钟 、 秘 钥 ， 随 着 时 间 变 换 不 断 的 产 生 新 的 密 码 ， 通 过 与 有 着 相 同 加 密 算 法 、 时 钟 、 秘 钥 的 认 证 服 务 端 进 行 密 码 比 对 ， 实 现 动 态 密 码 校 验 ， 大 致 登 录 流 程 如 下 ：
认 证 前 提 ： 认 证 前 提 ： 业 务 系 统 和 认 证 服 务 器 完 成 对 接 ； 企 业 用 户 源 和 完 成 对 接 ； 认 证 令 牌 和 用 户 完 成 绑 定 ； 大 致 登 录 流 程 ： 大 致 登 录 流 程 ： 用 户 输 入 “ 用 户 名 + 静 态 密 码 + 动 态 密 码 ” 访 问 目 标 主 机 ； 目 标 主 机 通 过 R a d i u s   C l i e n t 或 A P I 同 时 将 用 户 名 + 静 态 密 码 发 送 到 企 业 用 户 源 做 静 态 认 证 、 将 用 户 名 + 动 态 密 码 发 送 到 认 证 服 务 器 做 动 态 认 证 ； 用 户 源 和 分 别 对 认 证 做 反 馈 ； 当 且 仅 当 静 态 密 码 认 证 和 动 态 密 码 认 证 同 时 通 过 时 ， 才 能 成 功 访 问 ， 否 则 登 失 败 ； 再 来 说 说 扫 码 登 录 再 来 说 说 扫 码 登 录 扫 码 登 录 目 前 应 用 也 比 较 广 泛 ， 如 常 用 的 微 信 P C 端 用 手 机 端 扫 码 登 录 、 购 物 网 站 用 手 机 A P P 扫 码 登 录 ， 还 有 一 些 各 类 网 站 用 微 信 扫 码 登 录 ， 其 基 本 原 理 是 ： 用 户 在 手 机 端 A P P 上 完 成 用 户 身 份 确 认 ， 然 后 通 过 扫 码 的 形 式 ， 授 权 登 录 。 ， 这 个 和 上 面 提 到 的 手 机 A P P 令 牌 、 微 信 小 程 序 令 牌 、 钉 钉 令 牌 有 相 似 之 处 ， 都 是 用 手 机 作 为 判 断 依 据 。 但 企 业 级 扫 码 登 录 又 有 不 同 之 处 ， 扫 码 登 录 大 致 流 程 如 下 ；
前 提 条 件 ： 前 提 条 件 ： 业 务 系 统 和 认 证 系 统 完 成 对 接 ； 企 业 用 户 源 和 认 证 系 统 完 成 同 步 ； 外 网 消 息 服 务 器 与 认 证 系 统 完 成 对 接 ； 手 机 A P P 已 激 活 认 证 ； 认 证 流 程 ： 认 证 流 程 ： 用 已 经 激 活 认 证 的 手 机 A P P 扫 描 页 面 二 维 码 ； 手 机 A P P 将 授 权 登 录 信 息 发 送 至 外 网 消 息 服 务 器 ； 外 网 消 息 服 务 器 将 登 录 信 息 转 发 至 认 证 服 务 器 ； 认 证 服 务 器 允 许 登 录 ； 成 功 登 录 ； 接 着 聊 接 着 聊 5 毛 钱 的 消 息 推 送 毛 钱 的 消 息 推 送 说 到 消 息 推 送 登 录 方 式 ， 我 们 常 见 的 是 微 信 登 录 P C 端 的 时 候 ， 可 以 直 接 推 送 到 手 机 端 进 行 确 认 登 录 ， 微 信 这 种 消 息 推 送 方 式 有 个 前 提 ： 之 前 登 陆 过 ， 也 就 是 说 有 过 授 权 ， 然 后 保 存 用 户 信 息 ， 下 次 登 录 的 时 候 直 接 推 送 。 但 是 在 在 企 业 消 息 推 送 中 ， 需 要 对 专 门 的 A P P 进 行 激 活 认 证 ， 然 后 登 录 时 就 可 以 直 接 推 送 确 认 。 企 业 消 息 推 送 认 证 基 本 原 理 是 ： 在 客 户 端 登 录 系 统 的 时 候 ， 向 服 务 端 发 送 登 录 申 请 ， 服 务 端 向 A P P 端 发 送 登 录 确 认 ， 其 大 致 登 录 流 程 如 下 ：
前 提 条 件 ： 前 提 条 件 ： 业 务 系 统 和 认 证 系 统 完 成 对 接 ； 企 业 用 户 源 和 认 证 系 统 完 成 同 步 ； 外 网 消 息 服 务 器 与 认 证 系 统 完 成 对 接 ； 手 机 A P P 已 激 活 认 证 ； 认 证 流 程 ： 认 证 流 程 ： 用 户 输 入 用 户 名 + 静 态 密 码 申 请 访 问 业 务 系 统 ； 业 务 系 统 通 过 A P I 接 口 将 请 求 信 息 发 送 到 企 业 用 户 源 做 初 步 校 验 ；
企 业 用 户 源 校 验 成 功 ， 核 验 通 过 ； 业 务 系 统 通 过 A P I 接 口 向 认 证 系 统 申 请 登 录 确 认 ； 认 证 系 统 将 登 录 确 认 申 请 发 送 至 外 网 消 息 服 务 器 ； 外 网 消 息 服 务 器 将 登 录 确 认 申 请 转 发 至 用 户 手 机 A P P ； 用 户 手 机 A P P 收 到 申 请 ， 并 确 认 登 录 ； 外 网 消 息 服 务 器 将 确 认 登 录 信 息 转 发 至 认 证 服 务 器 ； 认 证 系 统 返 回 认 证 通 过 ； 成 功 登 录 ； 再 加 个 钟 说 说 生 物 识 别 再 加 个 钟 说 说 生 物 识 别 指 纹 、 人 脸 、 虹 膜 、 声 音 认 证 ， 这 几 种 都 属 于 生 物 认 证 ， 安 全 级 别 上 来 讲 是 最 高 的 ， 特 别 是 指 纹 和 人 脸 ， 技 术 比 较 成 熟 ， 目 前 也 有 大 量 被 应 用 ， 最 常 见 的 就 是 手 机 解 锁 、 打 卡 考 勤 ， 用 生 物 特 征 作 为 唯 一 性 验 证 ， 以 此 确 保 是 用 户 本 人 。 相 对 来 讲 虹 膜 和 声 音 应 用 的 很 少 ， 拿 虹 膜 认 证 来 讲 ， 技 术 含 量 相 对 较 高 ， 应 用 成 本 随 之 增 长 ， 应 用 门 槛 相 对 较 高 。 至 于 声 音 认 证 ， 一 是 随 着 A I 技 术 的 成 熟 ， 声 音 模 拟 越 来 越 逼 真 ， 声 音 认 证 变 得 越 来 越 不 安 全 ； 再 者 声 音 容 易 打 扰 他 人 ， 所 以 应 用 很 少 。 生 物 识 别 的 原 理 非 常 简 单 ： 先 通 过 生 物 识 别 器 将 人 体 特 征 输 入 数 据 库 ， 申 请 访 问 的 时 候 ， 用 自 己 的 生 物 特 征 与 数 据 库 做 比 对 ， 成 功 登 录 ， 登 录 流 程 如 下 ； 前 提 条 件 ： 前 提 条 件 ： 业 务 系 统 和 认 证 系 统 完 成 对 接 ； 企 业 用 户 源 和 认 证 系 统 完 成 同 步 ； 用 户 生 物 特 征 已 输 入 认 证 服 务 器 中 并 完 成 用 户 绑 定 ；
认 证 流 程 ： 认 证 流 程 ： 用 户 输 入 用 户 名 + 静 态 密 码 申 请 访 问 业 务 系 统 ； 业 务 系 统 通 过 A P I 接 口 将 请 求 信 息 发 送 到 企 业 用 户 源 做 初 步 校 验 ； 企 业 用 户 源 校 验 成 功 ， 核 验 通 过 ； 用 户 使 用 指 纹 、 人 脸 或 虹 膜 进 行 二 次 认 证 ； 业 务 系 统 通 过 A P I 接 口 将 生 物 认 证 信 息 发 送 至 认 证 服 务 器 ； 认 证 服 务 器 确 认 并 返 回 认 证 通 过 ； 成 功 登 录 ； 最 后 总 结 一 下 吧 ： 最 后 总 结 一 下 吧 ： 双 因 素 身 份 认 证 是 为 了 加 强 登 录 安 全 ， 所 以 简 单 的 讲 ： 能 够 在 用 户 名 + 静 态 密 码 的 基 础 上 ， 额 外 增 加 一 种 安 全 有 效 地 可 以 验 证 用 户 身 份 的 方 式 ， 都 可 以 统 称 为 双 因 素 认 证 。 常 见 的 认 证 方 式 有 ： 动 态 密 码 、 扫 码 、 消 动 态 密 码 、 扫 码 、 消 息 推 送 、 邮 件 认 证 、 指 纹 、 人 脸 、 虹 膜 、 声 音 、 息 推 送 、 邮 件 认 证 、 指 纹 、 人 脸 、 虹 膜 、 声 音 、 U 盘 证 书 等 ， 动 态 密 码 盘 证 书 等 ， 动 态 密 码 中 又 会 细 分 短 信 令 牌 、 硬 件 令 牌 、 中 又 会 细 分 短 信 令 牌 、 硬 件 令 牌 、 A P P 令 牌 、 微 信 小 程 序 令 牌 、 钉 钉 令 牌 等 令 牌 、 微 信 小 程 序 令 牌 、 钉 钉 令 牌 等 。 不 同 令 牌 之 间 也 有 不 同 的 认 证 原 理 和 登 录 方 式 ， 安 全 级 别 上 来 讲 也 是 各 有 不 同 ， 其 中 生 物 识 别 认 证 安 全 级 别 最 高 ， 短 信 验 证 码 认 证 和 邮 件 认 证 安 全 级 别 最 低 ， 企 业 中 最 常 用 的 认 证 方 式 为 ： 动 态 密 码 认 证 （ 硬 件 令 牌 、 动 态 密 码 认 证 （ 硬 件 令 牌 、 A P P 令 牌 、 微 信 小 程 序 令 牌 、 钉 钉 令 牌 ） 、 指 纹 认 证 、 令 牌 、 微 信 小 程 序 令 牌 、 钉 钉 令 牌 ） 、 指 纹 认 证 、 人 脸 认 证 、 人 脸 认 证 、 U 盘 证 书 认 证 盘 证 书 认 证 ， 从 成 本 考 虑 出 发 ， 软 件 动 态 密 码 认 证 最 佳 。 我 们 生 活 在 互 联 网 时 代 ， 万 物 互 联 ， 为 生 活 增 光 添 彩 ， 但 同 样 的 ， 处 处 充 满 着 被 盗 号 的 风 险 ， 轻 则 泄 露 个 人 隐 私 ， 重 则 危 机 企 业 存 亡 ， 忽 视 安 全 ， 将 会 有 很 大 的 几 率 付 出 惨 痛 的 代 价 。 但 是 电 影 《 我 是 谁 ： 没 有 绝 对 安 全 的 系 统 》 告 诉 我 们 ： 没 有 绝 对 安 全 的 系 统 ！ 总 有 一 部 分 人 ， 在 倒 逼 着 技 术 进 步 ！ 客 观 来 讲 ， 这 也 是 推 进 技 术 进 步 的 一 股 力 量 ， 我 们 能 做 的 就 是 在 力 所 能 及 的 情 况 下 ， 最 大 限 度 的 保 障 我 们 个 人 乃 至 企 业 的 安 全 ， 在 竞 争 中 ， 获 得 胜 利 ！ 这 是 我 在 双 因 素 身 份 认 证 淋 雨 混 迹 6 年 的 一 点 点 经 验 ， 终 究 个 人 认 知 有 限 ， 如 果 你 有 什 么 看 法 或 者 建 议 ， 欢 迎 交 流 指 正 ！ 免 责 声 明 ： 该 文 章 仅 代 表 个 人 观 点 ！ 不 能 代 表 任 何 企 业 或 组 织 ！ 该 文 章 中 借 用 的 素 材 部 分 源 自 网 络 ， 部 分 借 用 公 司 素 材 库 ， 如 有 侵 权 ， 请 告 知 ， 一 定 及 时 处 理 ！ 该 文 章 是 自 己 的 一 些 浅 薄 的 见 解 ， 仅 仅 作 为 参 考 ， 不 能 作 为 依 据 ！ 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理