最近在考虑一个安全可靠的，容易部署的方案来解决登陆的安全问题，因为这个问题随着网上银行，网络游戏等的兴起而越来越重要。之所以想跨平台，是因为最近很多的linux用户在网上讨论linux，firefox这些使用网银等时候遇到的麻烦。我恰好看了他们的很多讨论，除了口水之外没有别的东西，只废话而不做事的废柴太多了。因此，我就有了这么一篇文章，介绍一下怎么实现安全的登陆。题外话一句，我对web安全的各种技巧，其实没有太大的兴趣，虽然闲得没事也会偶尔玩玩，只是和我玩CS差不多而已。
一. 登陆面临的安全攻击
1. 键盘记录
键盘记录应该是目前最流行的盗取密码的方法了，攻击者在系统中使用全局键盘钩子，记录用户的按键操作，并根据用户窗口的标题来确定是不是自己需要盗取的东西。
2. 系统消息
用户在浏览器中敲完了密码之后，攻击者的程序给浏览器发送消息，要求取得密码输入框的值，随后保存并记录下来。在windows2000以后的系统中，做了一点改进，但是创建了远程线程之后就依旧可以了。
3. 传输捕获
攻击者在网络中劫持或者嗅探传输数据，直接获取明文密码。虽然现在https使用较多，但是https速度较慢，影响服务器速度，而且也存在比较严重的一些安全缺陷，并不是一种非常可靠的办法。关于https的劫持，可以看我的一个相关文章《如何进行https中间人攻击》，地址在http://www.icylife.net/yunshu/show.php?id=468
二. 当前的解决办法以及缺陷
1. 当前国内解决方案
目前国内最常见的解决办法是ActiveX控件加https的方式。使用ActiveX控件来保护输入不被键盘记录和伪造的系统消息获取， https来保证传输的隐秘性和完整性。招行，民生银行的登陆大致都是这样的模式，因此国内某些firefox用户比较不满。我曾经在一个帖子中说过键盘记录的问题，被说成是银行的枪手，这里就不说了。
2. ActiveX的缺陷
https的缺陷就不说了，很容易就可以伪造证书劫持传输，虽然会提示证书警告，但是有多少用户会在意了？而且国内不少银行自己的证书本来就会有安全警告提示。ActiveX的缺陷也很明显，首先只支持windows系统和IE浏览器；其次本身容易出现安全问题，造成溢出等攻击；最后，对于更底层的挂接I/O驱动的攻击比较为难，当然ActiveX也可以调用自己的驱动，但是成本太高了。
1 2 下一页 |
安全中国首页 > 文章中心 > 安全防护