Usb Key安全评估

use_key
一. USB Key安全四点

1、硬件PIN码保护

黑客需要同时取得用户的USB Key硬件以及用户的PIN码,才可以登录系统。即使用户的PIN码被泄漏,只要用户持有的USB Key不被盗取,合法用户的身份就不会被仿冒;如果用户的USB Key遗失,拾到者由于不知道用户PIN码,也无法仿冒合法用户的身份。

2、安全的存储介质

USB Key的密钥存储于安全的介质之中,外部用户无法直接读取,对密钥文件的读写和修改都必须由USB Key内的程序调用。从USB Key接口的外面,没有任何一条命令能够对密钥区的内容进行读出、修改、更新和删除。

3、公钥密码体制

公钥密码体制和数字证书从密码学的角度上保证了USB Key的安全性,在USB Key初始化的时候,先将密码算法程序烧制在ROM中,然后通过产生公私密钥对的程序生成一对公私密钥,公私密钥产生后,公钥可以导出到USB Key外,而私钥则存储于密钥区,不允许外部访问。进行数字签名时以及非对称解密运算时,有私钥参与的密码运算只在芯片内部即可完成,全过程中私钥可以不 出USB Key介质,以此来保证以USB Key为存储介质的数字证书认证在安全上无懈可击。

4、硬件实现加密算法

USB Key内置CPU或智能卡芯片,可以实现数据摘要、数据加解密和签名的各种算法,加解密运算在USB Key内进行,保证了用户密钥不会出现在计算机内存中。

以上几点是USB Key在理论上安全性的技术保证,但是从技术角度分析,这些安全性能指标往往也存在一些容易被忽视的漏洞。

 

二. 安全四点分析

1、硬件PIN码就绝对安全吗?

目前的大多数银行使用的USB Key的PIN码都是从电脑上输入的,因此黑客可以通过木马程序直接拦截到USB Key的PIN码,这也是目前大多数USB Key存在的一个漏洞。知道了PIN码后,如果用户忘记将USB Key从电脑上取出,那么黑客还可以进一步通过PIN码来操作USB Key.一个非常极端的情况,当个人用户的电脑已经完全被黑客远程控制,并且所有键盘和屏幕的操作都会被拦截的时候,目前的USB Key是否还能保证安全交易呢?我看未必,因为此时USB Key的PIN码已经完全可能会被黑客拦截,当用户操作完一次USB Key后,假如没有立即拔出USB Key,那么黑客完全可能在这个间歇期伪造一次交易,而此时USB Key以及PIN码都可以验证通过。

2、外部真的无法读取Key内部的密钥吗?

USB Key的密钥从“理论”上讲是无法从外部直接读取的,这个“理论”上指的是设计上要绝对安全,如果设计和编写USB Key操作系统COS的人在COS上留了后门,那么这个人就可以从外部读取Key内部的密钥。

3、数字证书

公钥密码体制的确是很安全的,通过复杂的证书管理体系来增加破解的难度,但是数字证书是否是第三方CA机构发放的呢?有些银行的数字证书竟然是银行自己发放的,这就让PKI安全认证大打折扣了。

4、如何保证通讯安全

虽然USB Key内置CPU或智能卡芯片可以完成加密运算,但是数据从电脑上传入USB Key的过程中还是有可能被拦截和修改,USB Key内置的CPU只能保证自身的运算安全,却难以保证数据传入前不被修改。

 

三. 理想化的安全四点

1、针对现有USB Key的键盘输入PIN码的漏洞,可以使用生物技术(例如个人指纹)来替换键盘录入PIN码。

也就是说,交易时候接入USB Key,我们不需要再到键盘录入PIN码来验证身份,我们只需要在USB Key的设备上按一下指纹,就能自动验证个人身份,这种身份验证机制带来的安全性和实用性是一种跨时代的提高,用户不可能再忘记密码了,只需要验证指纹即 可,指纹的验证实在外部设备上进行的,电脑即使被黑客完全控制也无法截取到用户的指纹,从而保证了PIN码的唯一性和安全性。

2、通过管理或者审计防止COS在设计上留有后门。

3、数字证书应该由独立于用户和银行以外的权威的第三方安全认证机构CA发放,不能由银行自己发放。

4、交易金额从USB Key上录入,以防止数据在传入USB Key之前被篡改。

 

四. 安全使用USB Key

1、和银行确认存在USB Key中的数字证书是唯一的,用户应该把USB Key随身携带。

2、经常扫描一下电脑是否有木马病毒或者被远程控制。

3、没事不要在电脑接入USB Key,只有在交易的时候接入。

4、交易的时候接入USB Key,输入PIN码交易完成后,立即取走USB Key。

共有 15 条评论

  1. junk car buyer

    Youre so cool! I dont suppose Ive read similar to this before. So nice to discover somebody with a few authentic applying for grants this subject. realy thanks for starting this up. this website is something that’s needed on the net, somebody with some bit originality. helpful project for bringing new stuff towards web!

  2. Google

    Usually posts some quite exciting stuff like this. If you are new to this site.

  3. phone psychic reading

    Hi! Nice stuff, remember to keep me posted any time you post something like this!

  4. size genetics

    I like this website much for it has lots of wonderful information.

  5. sizegenetics

    I have desired to write about something like this on my
    web page and you gave me a good idea. Cheers.

  6. modern furniture warehouse reviews

    This really is only a glimpse of the few random furnishings
    that I have worked on recent months….there more!

  7. psychic online

    I’m impressed with this site, really. I am an admirer.

  8. phone psychic reading

    Excellent style and design and great subject matter.

  9. psychic online

    Your writing talent is really appreciated!! Many
    thanks. You saved me a lot of frustration.
    Awesome post!

  10. Psychic Readings Online

    Good site! I really love how it really is simple on my eyes and the articles are well written. I’m wondering
    how I might be notified whenever a new post has been made.
    I have subscribed to your RSS which must do the trick!
    Have a terrific day!

  11. Passport Status

    Hello there! This is kind of off topic but I need some
    guidance from an established blog. Is it very difficult to set up
    your own blog? I’m not very techincal but I can figure
    things out pretty fast. I’m thinking about setting up my own but I’m not sure
    where to begin. Do you have any tips or suggestions? Thank you

  12. Amelie

    Yesterday, while I was at work, my sister stole my apple ipad and tested
    to see if it can survive a thirty foot drop, just so she can be a youtube sensation. My iPad
    is now broken and she has 83 views. I know this is totally off topic but I had
    to share it with someone!

  13. Τσαντες απορριμάτων

    Hello, after reading this awesome paragraph i am too happy to share my experience here with
    colleagues.

  14. real psychic readings

    I really admire your work , Fantastic post.

  15. χαρτι υγειας

    Great weblog right here! Additionally your site so much up very
    fast! What web host are you the usage of? Can I get your affiliate link on your
    host? I desire my web site loaded up as fast as yours lol

Top