[發(fā)明專利]線上認(rèn)證服務(wù)器以及線上認(rèn)證方法

在審

• 申請(qǐng)?zhí)枺?/td>: 201610940156.7
• 申請(qǐng)日: 2016-10-25
• 公開(kāi)（公告）號(hào): CN107979575A
• 公開(kāi)（公告）日: 2018-05-01
• 發(fā)明（設(shè)計(jì)）人: 黃柏舜;熊鴻鈞;郭瑞麟;曾子欣
• 申請(qǐng)（專利權(quán)）人: 中華電信股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京戈程知識(shí)產(chǎn)權(quán)代理有限公司11314
• 代理人: 程偉,王錦陽(yáng)

技術(shù)領(lǐng)域

本發(fā)明關(guān)于一種線上認(rèn)證技術(shù)，尤指一種可跳脫釣魚(yú)(Phishing)流程或避免中間人竊聽(tīng)的線上認(rèn)證服務(wù)器以及線上認(rèn)證方法。

背景技術(shù)

隨著網(wǎng)際網(wǎng)絡(luò)與資訊裝置的普及化，通過(guò)網(wǎng)絡(luò)提供的服務(wù)型態(tài)也愈來(lái)愈多樣化，使用者可通過(guò)如個(gè)人電腦、筆記型電腦、智慧手機(jī)，由網(wǎng)絡(luò)取得多樣化的資訊服務(wù)。舉例來(lái)說(shuō)，使用者可利用電腦通過(guò)網(wǎng)絡(luò)下載軟件、進(jìn)行線上購(gòu)物，甚至在手機(jī)銀行軟件上進(jìn)行轉(zhuǎn)賬或股票買賣。

通過(guò)網(wǎng)絡(luò)取得多樣化服務(wù)固然方便且有效率，但一直存在資安疑慮，使用者的相關(guān)資訊容易被非法截取、復(fù)制、破壞、篡改或盜用，當(dāng)然也包括使用者的資訊裝置受到病毒或其他惡意程式的攻擊。近幾年來(lái)，網(wǎng)絡(luò)詐騙橫行，各種模仿真實(shí)官方網(wǎng)站的釣魚(yú)網(wǎng)站林立，詐騙者常利用高度仿真的釣魚(yú)網(wǎng)站讓使用者誤以為連線至真實(shí)的官方網(wǎng)站，進(jìn)而竊取使用者的帳號(hào)與密碼，甚至是關(guān)鍵的認(rèn)證資訊。

為解決此類釣魚(yú)網(wǎng)站詐騙的問(wèn)題，以往已提出許多解決技術(shù)方案，像是于使用者瀏覽器上安裝附加套件，以于使用者誤連線至釣魚(yú)網(wǎng)站時(shí)，由瀏覽器提出此為釣魚(yú)網(wǎng)站的警告，避免使用者進(jìn)行后續(xù)操作。然此方法需于瀏覽器端安裝客置化軟件，并需建置且需時(shí)常維護(hù)用于比對(duì)那些網(wǎng)址為釣魚(yú)網(wǎng)站的數(shù)據(jù)庫(kù)。

然而并非所有使用者都有權(quán)限或高度資安觀念，故會(huì)影響使用者安裝此類客置化軟件于瀏覽器內(nèi)的愿意，倘若懷疑其可信任性而放棄安裝，則可能造成更嚴(yán)重的中間人攻擊(Man-in-the-Middle)或中介攻擊(Man-in-the-Browser)，危害度更甚于僅竊取帳號(hào)和密碼的釣魚(yú)網(wǎng)站。故此方案在推廣時(shí)常遭逢相當(dāng)阻力，也難以全面普及。

另外，也有方法致力于釣魚(yú)網(wǎng)站的預(yù)防搜尋與識(shí)別技術(shù)，利用搜尋引擎可預(yù)先索引以及快取網(wǎng)站內(nèi)容的機(jī)制，提前識(shí)別網(wǎng)站是否為詐騙網(wǎng)站。日后使用者搜尋網(wǎng)頁(yè)時(shí)，可予以排除、過(guò)濾、避免列出此釣魚(yú)網(wǎng)站，或在搜尋結(jié)果上加以標(biāo)記提醒，以避免使用者連上詐騙網(wǎng)站或釣魚(yú)網(wǎng)站。此方法雖然有效，但僅限于網(wǎng)頁(yè)搜尋，是難以避免其他方式的詐騙手段，例如:詐騙者利用偽造的電子郵件、或是日益普及的即時(shí)通訊軟件傳遞釣魚(yú)網(wǎng)站的網(wǎng)址，進(jìn)而誘騙使用者點(diǎn)擊或連線至惡意網(wǎng)站，故此方法將無(wú)法有效的解決問(wèn)題。

為了避免釣魚(yú)網(wǎng)站有機(jī)會(huì)騙取使用者的認(rèn)證資訊，或避免連線資訊封包遭截取，許多網(wǎng)站采用SSL憑證加密傳遞連線資訊，或是采用二階段驗(yàn)證(Two-factor authentication)，也就是除了輸入帳號(hào)密碼外，需額外輸入一組動(dòng)態(tài)產(chǎn)生的動(dòng)態(tài)密碼(One Time Password，OTP)，又稱一次性密碼，期待借此降低帳號(hào)密碼流出的風(fēng)險(xiǎn)，因?yàn)榫退阗~號(hào)密碼遭竊取，但因動(dòng)態(tài)密碼難以預(yù)測(cè)或無(wú)法重復(fù)使用，故可有效保護(hù)使用者。

然而前述方法雖大幅降低帳號(hào)密碼流出后的風(fēng)險(xiǎn)，但若使用者一開(kāi)始即連線至詐騙網(wǎng)站或釣魚(yú)網(wǎng)站，在使用者不察下，可能一并將帳號(hào)、密碼及動(dòng)態(tài)密碼輸入至釣魚(yú)網(wǎng)站，此導(dǎo)致動(dòng)態(tài)密碼的保護(hù)機(jī)制形同虛設(shè)，詐騙者在取得使用者的帳號(hào)、密碼與動(dòng)態(tài)密碼后，即可轉(zhuǎn)送至真實(shí)官方網(wǎng)站，并進(jìn)行例如轉(zhuǎn)賬、變更帳號(hào)密碼、變更數(shù)據(jù)等特權(quán)存取，如圖1所示。

鑒于上述動(dòng)態(tài)密碼遭竊的風(fēng)險(xiǎn)，故有將動(dòng)態(tài)密碼通過(guò)第二通道回傳的技術(shù)方案，借此降低使用者誤將關(guān)鍵的重要資訊輸入于原先請(qǐng)求登入的網(wǎng)站(第一通道)，以避免動(dòng)態(tài)密碼遭竊。如圖2所示，于異質(zhì)通道(第二通道)上傳送或回傳動(dòng)態(tài)密碼的方式，可有效避免有心人士于相同通道上(例如使用網(wǎng)絡(luò)竊聽(tīng)技術(shù)，于電腦上安裝鍵盤側(cè)錄程式等)竊取動(dòng)態(tài)密碼等資訊，可大幅提高竊取關(guān)鍵資訊的難度。

雖有上述解決技術(shù)方案，但若使用者一開(kāi)始即連接到釣魚(yú)網(wǎng)站，則仍有數(shù)據(jù)遭竊的可能。如圖3所示，主要在于釣魚(yú)網(wǎng)站的仿客戶端模擬程式，可模擬成真實(shí)使用者與官方網(wǎng)站進(jìn)行互動(dòng)，并從中竄改真實(shí)使用者提交的相關(guān)資訊，其中，待使用者主動(dòng)于第二通道回傳認(rèn)證資訊后，仿客戶端模擬程式接獲官方網(wǎng)站的驗(yàn)證成功的信息后，旋即介入流程，回復(fù)真實(shí)使用者偽造的執(zhí)行成功信息或系統(tǒng)維護(hù)中等錯(cuò)誤信息，而釣魚(yú)網(wǎng)站同時(shí)間持續(xù)與官方網(wǎng)站進(jìn)行互動(dòng)，進(jìn)行特權(quán)存取(例如變更數(shù)據(jù)、進(jìn)行轉(zhuǎn)賬等)，待真實(shí)使用者發(fā)現(xiàn)異狀時(shí)，權(quán)益早已遭受損失。

異質(zhì)通道傳送動(dòng)態(tài)密碼的方式雖好，但仍有其風(fēng)險(xiǎn)，特別是一旦使用者連線到釣魚(yú)網(wǎng)站且未能察覺(jué)時(shí)，此時(shí)釣魚(yú)網(wǎng)站形同一隱形中間人裝置，存在于使用者與官方網(wǎng)站之間，監(jiān)控著一切往來(lái)的資訊，進(jìn)而竄改使用者數(shù)據(jù)或執(zhí)行服務(wù)，因?yàn)樯鲜龇桨钢校俜骄W(wǎng)站無(wú)法確保與之連線者，是否為真正的使用者或者是中間人裝置。