驗證機制產業應用比較分析

在大略了解Smart Card機制之後，而接下來的文章中，我們將針對市面上的一些認證機制與相關產品做全面性的評比與了解。

　　儘管每一家業者都致力於提供安全的認證機制，但消費者卻可能不清楚每一個認證機制後面潛藏的問題。

認證機制應用剖析

　　我們將從目前的網路銀行、網路遊戲與網路購物，這3個主要的數位身分驗證使用產業中，剖析業者所提供的安全機制是否足以符合目前的資訊環境應用，除了說明每一個機制的運作外，也將透過跨產品機制的評比，讓大家能清楚了解目前所使用的認證機制安全性。

　　綜觀網路銀行、網路遊戲與網路購物這3個產業所提出來的驗證機制，約可分為8大類：1. 一般的帳密 2. IP鎖 3. 電腦憑證 4.OTP動態密碼鎖 5. 防盜密碼卡 6. 簡訊安全鎖7. 電話鎖 8. IC晶片卡

一般的帳密

　　多數的認證系統僅採用帳號和密碼來做為身分的驗證，但以目前充斥著惡意程式和病毒的資訊環境下，這似乎不是一個妥當的方式。駭客在寫完後門或是側錄程式後，就可以等著一堆的帳號密碼自動上門。在網路上你隨時可以透過線上交易購買一堆的信用卡和帳號密碼資料，似乎網路的世界已經找不到隱私的那個成分，人人都隨時可能被攤在陽光下，任由駭客宰割，傳統的帳密保護機制已經無法保障使用者。

IP鎖

　　IP鎖之前普遍被運用在網路遊戲的登入。遊戲玩家必須於登入前，先到網頁上填寫自己登入的IP。每當啟動遊戲時，系統會自行比對目前的電腦IP與當初設定的電腦IP位置是否相同，若IP的資訊相符，方可進入遊戲。如果不幸帳號密碼被盜用，當登入的IP資訊不符時，則無法進行遊戲，可以大幅度增加帳號本身的安全性。但此類的保護方式，當遇到被植入Keylog的狀況時，不僅帳密可能被盜，IP address也必然被盜。此時駭客只要假冒你的IP Address，一樣無法逃過被盜用的問題。

電腦憑證

　　類似於IP鎖的概念，許多的證券公司和銀行為了確保交易在安全的狀況下進行，也都要求客戶進行網路的交易時，必須先透過程序申請電腦的憑證。每次進行交易時，除了帳號密碼的確認外，會透過電腦憑證做身分的再次確認。此方式較傳統的IP鎖來得較為安全，就算帳密被盜，除非憑證遭到竊取，交易才可能遭到盜用。但這類的認證方式還是有其弱點，一旦交易的電腦中了後門，遭到駭客遠端控制，還是可能遭到破解並完成非法交易。

OTP動態密碼鎖

　　而OTP動態密碼鎖則被運用的相當廣泛，國內的入口網站Yahoo！於去年宣布在網路拍賣的服務推行動態密碼的帳號安心鎖，將帳號登入認證由傳統的帳密認證，提高為雙因素認證。亦有遊戲業者採用OTP動態密碼供玩家選擇運用，甚至有結合3G手機提供手機OTP的服務。中國銀行推出的動態口令牌、大陸魔獸世界的安全令牌都是屬於這種認證方式，海內外的網路銀行業者，也都紛紛以OTP當做是網路交易的認證機制之一。

　　OTP一次性密碼的產生方式，主要是以時間差做為伺服器與密碼產生器的同步條件。當使用者在進行登錄的時候，可利用密碼產生器產生一次性密碼。OTP一般分為計次使用(Event Based)以及計時使用(Time Based)兩種。Event Based的OTP於產出後，可在不限時間內使用，當產出的OTP被盜用時，則可能發生認證服務遭盜用的問題，風險較高；Time Based的OTP可設定密碼的有效時間，從30秒到120秒不等，當這組OTP在進行認證後或超出有效的時間後，即遭到作廢，當下次需要認證時，必須重新產出一組新的一次性密碼，相較於Event Based的機制，風險較低。但這一類的設備多半較貴，使用者需願意負擔服務成本。

防盜密碼卡

　　防盜密碼卡多半運用在線上遊戲的登入認證，這個機制是由多組4個字元的密碼組合而成，每組數字對應一組4碼的密碼。當玩家設定好密碼卡對應的帳號後，系統會自動選出一組數字，當玩家要進行遊戲登入時，需要輸入對應的4個字元的密碼。每張密碼卡上的號碼均是亂數產生，拿到同樣的密碼機率相對低，加上這樣的機制攜帶方便，讓不少的網路遊戲業者紛紛採用。但目前已發現有木馬針對密碼卡的機制做排序破解。因此，僅是這樣的防盜機制，仍不足以減低認證機制遭到破解的可能性。

簡訊安全鎖

　　簡訊安全鎖目前比較多的運用是在網路遊戲上，當玩家啟動服務後，於每次輸入帳號密碼時，伺服器端會透過簡訊發送一組密碼給玩家，當玩家填入後，連同帳號密碼一起送出，即可完成驗證。此種方式雖然方便簡易，但業者需自行吸收發送簡訊的費用，且當手機不在身邊或是沒電時，都會發生無法登入的問題，因此使用的業者並不多。

電話通訊鎖

　　電話鎖在這一兩年內逐漸被運用在網拍和線上遊戲端。電話鎖有如第二道防護鎖，當你在完成某件交易前或是登入前，必須先透過事先綁定的電話撥入免付費號碼作解鎖的動作，當你撥通後，系統會自動掛斷來電。後續的一段時間內遊戲帳號便可直接以帳密登入，只要登入後，這個防護鎖便自動鎖住，如未在既定時間內登入，也會自動鎖住。但目前發現已有駭客透過外掛於解鎖的時間內，與真實的使用者產生搶登的動作，使得這些帳密遭到盜用的使用者需不斷嘗試登入，與駭客做登入競賽。

　　這類的認證機制，方便是一個最大的特點，只要有電話就能完成解鎖。但除了前面所提的搶登問題之外，隨著大量的使用者需求，業者需建置的電話線路，需耗費大量成本。再則，目前的電信業者已不像從前提供免費線路，而開始向業者收費，一旦使用的人過多，業者就必須吸收龐大的電信費用，使得有心投入這樣機制的業者產生卻步。也因此有業者開始將這些線路費用轉嫁給使用者，不再免費提供。於每次他們撥通號碼時，消費者需負擔額外的通訊費用。

IC晶片卡

　　晶片卡是屬於強因素的認證機制，由於它的安全等級較高，目前已經逐漸廣泛的運用在網路銀行的交易上，國內網拍業者如Yahoo！也推出整合自然人憑證的認證機制，提昇網路上交易的安全。而線上遊戲產業中，亦有推出以公開金鑰基礎建設(PKI,Public Key Infrastructure)憑證技術為規格者。

　　這類晶片卡的技術應用，在前一篇文章中有詳細的說明，本文不再詳加說明。晶片卡有高難度的加密技術，不容易被破解，且每張晶片卡是唯一的，每次交易都需要使用這張實體的卡片才能完成認證與交易的行為，遭到盜用的可能性很低。國內金融業的WebATM幾乎採用這樣的方式驗證，大幅度降低被盜用的危機。雖然晶片卡的安全性較高，但攜帶上較為不便，且使用者需先支付一筆費用，往往較難被一般民眾接受，因此在其他的產業中被應用的狀況不如網銀業者來得多。但隨著安全上的需求提昇，越來越多的產業也紛紛推出這樣的認證機制。顯示市場上對於高規格的安全機制需求，逐漸在成長中，也顯示有越來越多的使用者可以接受並開始使用這類的安全機制。

各種驗證機制應用比較

　　聽了這麼多的安全機制，大家一定會問究竟哪種方式是比較安全的呢？這些機制可以被應用在哪個地方呢？針對這個部分，我們做了一些簡單的比較與分析。

　　從以上簡單的分析中我們可以發現，大部分的產業都開始推出OTP動態密碼鎖與IC晶片卡的應用，尤其在銀行與網購業者這些涉及個人金錢的部份，所要求的安全等級相對也高，一旦有任何的疏失，都會對這些企業造成極大的傷害。而遊戲業者所使用的驗證機制最為多元，但是安全等級普遍不高，多半強調方便性。

　　從這幾年的惡意程式分析中，我們發現駭客大量撰寫針對網路遊戲的帳密竊取後門或是針對某些遊戲驗證機制的破解程式，顯示網路遊戲的背後存在了許多的利益問題。玩家花了金錢和時間來進行線上遊戲，卻因為某些原因，可能使得遊戲資料或寶物遭到竊取，損害玩家的權益，因此如何能正確的辨認玩家的身分，變得極為重要。尤其現在遊戲多半提供網路商城的服務，讓玩家可購買這些道具或點數於遊戲中使用，一旦有了金錢上的交易，身分辨識就必須被嚴格確認，不再是以方便來當做考量，甚至應比照網路銀行業者或是網購業者的安全等級，才能真正保障消費者權益。

數位身份驗證扮演重要角色

　　而上述的這些安全機制普遍運用在使用者的線上交易，但有越來越多企業開始推導到公司內部的系統驗證或是郵件的加密。一般的企業多半存在許多的系統，可能包含HR、ERP、線上簽核等等。部分的企業更導入Signal Sign On的機制，一個ID和密碼敲入後即可存取所有的系統。試想如果企業內的個人帳密遭到盜用或是被植入後門，這些內部的系統資料可能早已遭到竊取，因此部分企業開始推導OTP動態密碼鎖與IC晶片卡這些安全性等級較高的產品於內部系統使用。這些機制初期建置的成本較高，從卡片的管理與系統的建置、程式的改寫等等，都需要花費一定的人力來逐步完成這樣的工作，但相對所提供的安全性也較高，對於企業的長期發展而言，卻有其一定的效益。

　　在現今惡化的資訊環境中，身份認證的角色已不同於以往，隨著網路的無所不再，多數的系統都接上Internet，讓身處在世界各地的人可以存取，身份的唯一性與不可被否認性變得極為重要。企業在提出各項服務給使用者時，更應盡到企業的責任，確保每一位使用者得到應有的保障；而身為使用者的我們，更應該大聲的告訴企業主們，請提供我們最有保障的認證機制，不要再有盜用的問題發生。身份認證的角色已不同於以往，隨著網路的無所不在，身份的唯一性與不可被否認性變得極為重要。

驗證 機制	應用	優點	缺點	建置成本	安全性
傳統的帳號密碼	大部分的系統 身分驗證	簡單，不會有入門 門檻	容易被盜用	無	低
IP鎖	遊戲登入	註冊後即可登入， 不需額外設備	IP容易被盜用或被假造	低	低
電腦 憑證	網路銀行、 證券交易	有裝憑證的電腦 才能使用該交易	外部電腦也要安裝此憑證，憑證容易遭竊取	中	中高
OTP動態密碼鎖	網路銀行、證券交易、網拍、遊戲登入、企業內部系統 的存取	完全離線式作業可避免木馬、間碟程式的攻擊，每次產生之密碼僅限使用一次，使用過後立即失效	需攜帶特定的設備且價格較高，普及不易	中高	高
防盜密碼卡	遊戲登入	攜帶方便	已有木馬針對密碼卡做破解	低	低
簡訊安全鎖	遊戲登入	手機載具方便	收訊不佳或是忘記攜帶手機就無法使用	中	中
電話鎖	遊戲登入	只要電話撥通， 即可使用，便利性高	該專線極易被通信式阻斷攻擊而中斷服務	中高	中
IC晶 片卡	網路銀行、證券交易、網拍、遊戲登入、企業內部系統 的存取	需有卡片才能進行認證，加密技術等級高，被破解的難度高	攜帶不便，使用前的開通手續較為複雜且價格較為昂貴	高	高

本文作者為線上遊戲公司資訊安全經理