中国IDC产业年度大典--云入口安全之账号安全--下

云入口安全之账号安全张建伟2012-1-112011年上半年密码被盗比例----------------------CNNIC调查报告账号安全防御账号安全防御•服务端账号信息防泄露•身份认证协议改进•账号权限票据的监控•垃圾账号注册过滤服务端防泄露•服务端不存储明文•零知识认证过程身份认证协议改进•多因素认证互联网身份认证升级从简单到复杂双向认证https，用户使用CA证书来认证服务端Hashmask防钓鱼，特征算法来认证服务端8安全指数用户成本安全和成本9淘宝用户账号安全产品二次验证产品（双因素）硬件OTP手机OTP手机短信数字证书USBkey10淘宝用户安全业务架构淘宝买家安全威胁弱口令网络劫持中了木马安全工具宝令…数字证书U盾手机锁密保卡短信…验证码泄露被钓鱼商品购买评价SNS店铺管理二次验证第三方泄露…淘宝卖家退货商品发布论坛⋯⋯淘宝业务11一次性口令认证（OTP）•S/Key•SecurIDTokenServerchallengeOTPPassphrase+challengeOTP://•USBKey采用双钥（公钥）加密的认证模式，USBKey是一种USB接口的硬件设备。内置单片机或智能卡芯片，有一定的存储空间，可以存储用户的私钥以及数字证书，利用USBKey内置的公钥算法实现对用户身份的认证。由于用户私钥保存在密码锁中，理论上使用任何方式都无法读取，因此保证了用户认证的安全性。•目前成熟的应用：网上银行，支付宝，网游•八卦盾二次验证演示•login直接吐二维码，ajax请求服务端，手机拍照识别成数字信息上传到服务端后，网页自动登录账号安全未来认证手段的增加•随着生物科学与人体识别技术的发展，未来可以用人体特征作为密码或者双因素认证因子•指纹–瞳孔–面部–DNA–击键频率（键盘芭蕾）–声音账号安全趋势•减少密码使用次数，业务无密码化•减少密码因子在认证中的比重•分级认证取代单一认证ForMoreInformation•Spark1818Thanks18