黑客的身份验证是什么（身份认证攻击）

关于电子商务中的身份认证，怎么防范黑客之类的入侵者？

电子商务源于英文ELECTRONIC

COMMERCE，指的是利用简单、快捷、低成本的电子通讯方式，买卖双方不谋面地进行各种商贸活动。随着电子商务的普及，人们已经习惯于网上购物，网上

银行和电子支付等新兴事物，然而网络安全始终是制约电子商务发展的一个主要瓶颈。

一、电子商务的身份认证

在

电子商务活动中，由于所有的个人和交易信息要在一个开放的网络(如Internet)进行传输和交换，故我们需要身份认证技术去验证客户的身份。身份认证

一般基于客户拥有什么(如令牌，智能卡或者ID卡)，客户知道什么(如静态密码)，客户有什么特征(如指纹，虹膜和脑电波等)。国内外常见身份认证技术包

括：用户名/密码方式 、IC卡认证、USB

Key认证和生物特征认证等。随着网络和黑客技术的发展，用户名/密码方式认证已经被证明是不安全的。由于静态的密码方案不能抵御重放攻击，字典攻击且密

码容易忘记，

所以其安全性是很低的，不能满足电子商务中身份认证的要求。目前国内外的一些较成熟的身份认证技术，基本上是用硬件来实现的(如IC卡和USB

Key认证技术等)。

二、各种身份认证技术的比较

1.

静态的用户名和口令方案。在众多的身份认证方案中，静态的用户名和口令方案至今仍是使用最广泛的方案，特别是针对那些安全性要求不强的应用场合，如论

坛，BBS和电子信箱。目前公司和个人受到网络攻击的主要原因是静态密码政策管理不善。大多数用户使用的密码都是字典中可查到的普通单词、姓名或者其他简

单的密码。有86%的用户在所有网站上使用的都是同一个密码或者有限的几个密码。最近一次全国性安全事件发生在2011年12月。当时CSDN的安全系统

遭到黑客攻击，600万用户的登录名、密码及邮箱遭到泄漏。黑客在获取了CSDN的用户登录名和密码后，再用这个密码尝试登录注册邮箱，如果成功则利用很

多网站常用的密码取回功能得到了该用户的其他关联网站的账号和密码。总而言之，静态密码身份认证方案的优点是实施成本低，不需要购置特殊的设备，用户体验

性好，但其安全性较低。

2.

客户证书USBKey(U盾)方案。从技术角度看，客户证书USBKey是用于网上银行电子签名和数字认证的工具，它内置微型智能卡处理器，采用1024

位非对称密钥算法对网上数据进行加密、解密和数字签名，确保网上交易的保密性、真实性、完整性和不可否认性。目前国内几大商业银行，如工商银行、农业银行

和交通银行等都采用了USBKey方案。网络黑客即使知道了客户的登录密码和支付密码，但如果没有USBKey在手，黑客还是不能够从你的帐户转出一分

钱。故这种身份认证方式可以很好地避免账号、密码被盗等可能出现的风险。USBKey方案的优点是安全性很强，但由于涉及到了硬件故其成本较高，且

USBKey使用前需要先安装驱动。对于一些常常出差或者需要在不同机器上使用USBKey的客户来说，由于计算机各种操作系统(如Windows和

Linux)和硬件(各种不同品牌机器)的差异性，可能在安装时会遇到一些兼容性问题，这大大减低了用户的体验满意度。

3.

短信认证方案。目前一些大型电子商务网站往往采取“静态密码+短信认证”方案。该类系统使用数字物理噪声源产生完全随机变化的动态(验证)密码,并通过无

线通信方式将该动态密码发送到用户的无线通信终端(寻呼机或移动电话等)

上。譬如支付宝网站在用户支付小额金额时只需输入支付密码，但额度如果超过一定额度(如200元)，则支付宝网站向用户手机(注册时登记的号码)发一条验

证短信，然后用户在网站上输入6位的手机验证码和支付密码后才能完成付款。采用这种身份认证方式的优点是既保证了小额支付的快捷性，又保证了大额支付的安

全性。但由于该认证系统的实时性和稳定性在很大的程度上依赖于无线通信网的状态，当网络出现拥塞时将导致验证密码传输会有较大的时延,甚至将使系统无法正

常完成身份认证过程，而且由于短信的发送会产生大量的短信费用，对中小型电子商务网站来说仍然是不小的开销。

4.

动态口令认证方案。动态口令又称为一次性口令OTP(One-Time-Password)，其特点是用户根据服务商提供的动态口令令牌的显示数字来输入

动态口令，而且每个登录服务器的口令只使用一次，窃听者无法用窃听到的登录口令来做下一次登录，同时利用单向散列函数(如

Sha-1算法等)的不可逆性，防止窃听者从窃听到的登录口令推出下一次登录口令。中国银行就是采用了动态口令认证方案。该方案的特点使用简单，用户无须

安装任何驱动，操作时只需输入当前显示的6位动态口令即可。其不足之处是安全性没有USBKey强，如在2011年上半年，全国各地出现了多起中国银行动

态口令泄露安全事件。黑客们首先设计了多个钓鱼网站，然后引诱中银用户输入登录密码和动态口令。动态口令虽然为一次性口令，但其在60秒之内是可反复使用

的。故黑客得到了用户的登录密码和动态口令之后，只要在1分钟内登录进真正的中银系统后就可以完成转账等窃取用户资金的操作了。

再参考 你就完全知道了

现在最多使用的是CA和数字证书两种技术

网络身份证验证是什么意思？

网络身份证(CTID)，全称：(Cyber Trusted identity)网络空间可信标识（或：网证）。 它是一种互联网身份认证协议，其具有唯一性和信息不可否认性。

在互联网时代，人们以网络为平台构建了一个繁荣的互联网社会。在这个特殊的社会里，巨量基于互联网的各种应用服务和人数众多的网民构成了互联网的根本，但也因此使得互联网杂乱不堪和危险。在这种以网络代码为基础的交流方式里，人们以虚拟的身份出现，正是这种交流方式给于了不法份子以可乘之机进而出现了网络盗窃、诈骗等违法犯罪活动。基于此，互联网环境迫切需要变革，而网络实名制和网络身份证（VIEID）正是良方。在这方面，互联网的发源地美国已先行先试。2011年1月17日奥巴马政府责成美国商务部，就如何才能妥善地建立一套“网络身份证”制度尽快出一个解决方案。美国商务部长骆家辉和白宫网络安全协调员施密特在2015年6月7日在斯坦福经济政策研究院出席公开活动时透露，总统奥巴马将于未来数月公开一份名为《身份认证国策》的草案。其它互联网用户大国的相关计划亦已提上日程或正在实施当中。

身份认证什么意思？

身份认证也称为“身份验证”或“身份鉴别”，是指在计算机及计算机网络系统中确认操作者身份的过程，从而确定该用户是否具有对某种资源的访问和使用权限，进而使计算机和网络系统的访问策略能够可靠、有效地执行，防止攻击者假冒合法用户获得资源的访问权限，保证系统和数据的安全，以及授权访问者的合法利益。

对用户的身份认证基本方法可以分为这三种：

1，根据你所知道的信息来证明你的身份(what you know ，你知道什么 ) 。

2，根据你所拥有的东西来证明你的身份(what you have ，你有什么 ) ；

3，直接根据独一无二的身体特征来证明你的身份(who you are ，你是谁 ) ，比如指纹、面貌等。

扩展资料：

身份认证产生原因：

1，计算机网络世界中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。

2，如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，身份认证就是为了解决这个问题，作为防护网络资产的第一道关口，身份认证有着举足轻重的作用。

参考资料来源：百度百科-身份认证

身份认证技术的历史

　 身份认证技术是指计算机及网络系统确认操作者身份的过程所应用的技术手段。

计算机系统和计算机网络是一个虚拟的数字世界。在这个数字世界中，一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。而我们生活的现实世界是一个真实的物理世界，每个人都拥有独一无二的物理身份。如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，就成为一个很重要的问题。身份认证技术的诞生就是为了解决这个问题。

在真实世界中，验证一个人的身份主要通过三种方式判定，一是根据你所知道的信息来证明你的身份（what you know），假设某些信息只有某个人知道，比如暗号等，通过询问这个信息就可以确认这个人的身份；二是根据你所拥有的东西来证明你的身份(what you have) ，假设某一个东西只有某个人有，比如印章等；三是直接根据你独一无二的身体特征来证明你的身份(who you are)，比如指纹、面貌等。

信息系统中，对用户的身份认证手段也大体可以分为这三种，仅通过一个条件的符合来证明一个人的身份称之为单因子认证，由于仅使用一种条件判断用户的身份容易被仿冒，可以通过组合两种不同条件来证明一个人的身份，称之为双因子认证。

身份认证技术从是否使用硬件可以分为软件认证和硬件认证，从认证需要验证的条件来看，可以分为单因子认证和双因子认证。从认证信息来看，可以分为静态认证和动态认证。身份认证技术的发展，经历了从软件认证到硬件认证，从单因子认证到双因子认证，从静态认证到动态认证的过程。 常用的身份认证方式用户名/密码是最简单也是最常用的身份认证方法，它是基于“what you know”的验证手段。每个用户的密码是由这个用户自己设定的，只有他自己才知道，因此只要能够正确输入密码，计算机就认为他就是这个用户。然而实际上，由于许多用户为了防止忘记密码，经常采用诸如自己或家人的生日、电话号码等容易被他人猜测到的有意义的字符串作为密码，或者把密码抄在一个自己认为安全的地方，这都存在着许多安全隐患，极易造成密码泄露。即使能保证用户密码不被泄漏，由于密码是静态的数据，并且在验证过程中需要在计算机内存中和网络中传输，而每次验证过程使用的验证信息都是相同的，很容易驻留在计算机内存中的木马程序或网络中的监听设备截获。因此用户名/密码方式一种是极不安全的身份认证方式。可以说基本上没有任何安全性可言。

IC卡认证

IC卡是一种内置集成电路的卡片，卡片中存有与用户身份相关的数据， IC卡由专门的厂商通过专门的设备生产，可以认为是不可复制的硬件。IC卡由合法用户随身携带，登录时必须将IC卡插入专用的读卡器读取其中的信息，以验证用户的身份。IC卡认证是基于“what you have”的手段，通过IC卡硬件不可复制来保证用户身份不会被仿冒。然而由于每次从IC卡中读取的数据还是静态的，通过内存扫描或网络监听等技术还是很容易截取到用户的身份验证信息。因此，静态验证的方式还是存在根本的安全隐患。

生物特征认证

生物特征认证是指采用每个人独一无二的生物特征来验证用户身份的技术。常见的有指纹识别、虹膜识别等。从理论上说，生物特征认证是最可靠的身份认证方式，因为它直接使用人的物理特征来表示每一个人的数字身份，不同的人具有相同生物特征的可能性可以忽略不计，因此几乎不可能被仿冒。

生物特征认证基于生物特征识别技术，受到现在的生物特征识别技术成熟度的影响，采用生物特征认证还具有较大的局限性。首先，生物特征识别的准确性和稳定性还有待提高，特别是如果用户身体受到伤病或污渍的影响，往往导致无法正常识别，造成合法用户无法登录的情况。其次，由于研发投入较大和产量较小的原因，生物特征认证系统的成本非常高，目前只适合于一些安全性要求非常高的场合如银行、部队等使用，还无法做到大面积推广。

USB Key认证

基于USB Key的身份认证方式是近几年发展起来的一种方便、安全、经济的身份认证技术，它采用软硬件相结合一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USB Key是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码学算法实现对用户身份的认证。基于USB Key身份认证系统主要有两种应用模式：一是基于冲击/相应的认证模式，二是基于PKI体系的认证模式。

动态口令/动态密码

动态口令技术是一种让用户的密码按照时间或使用次数不断动态变化，每个密码只使用一次的技术。它采用一种称之为动态令牌的专用硬件，内置电源、密码生成芯片和显示屏，密码生成芯片运行专门的密码算法，根据当前时间或使用次数生成当前密码并显示在显示屏上。认证服务器采用相同的算法计算当前的有效密码。用户使用时只需要将动态令牌上显示的当前密码输入客户端计算机，即可实现身份的确认。由于每次使用的密码必须由动态令牌来产生，只有合法用户才持有该硬件，所以只要密码验证通过就可以认为该用户的身份是可靠的。而用户每次使用的密码都不相同，即使黑客截获了一次密码，也无法利用这个密码来仿冒合法用户的身份。

动态口令技术采用一次一密的方法，有效地保证了用户身份的安全性。 下面以PASSPOD系统为例，说明使用动态口令进行身份认证的过程。

PASSPOD动态口令身份认证系统主要由认证服务器、管理工作站、SDK开发包和客户端组成。

认证服务器 是系统的核心部分，安装在网络服务商的机房内，与业务系统服务器通过局域网相连接，控制所有上网用户对网络的访问，提供动态口令身份认证，根据业务系统的授权，访问系统资源。认证服务器具有自身数据安全保护功能，所用户数据经加密后存储在数据库中，认证服务器与管理工作站的数据交换也是将数据变换后，以密码的方式在网上传输。认证服务器有五个功能模块组成：用户管理、实时运算、认证管理、数据库、加密算法软件。

管理工作站 提供认证服务器的管理界面，它在网络管理员与认证服务器之间提供一个友好的操作界面，便于网络管理员实现系统维护和用户管理。通过管理工作站，网络管理员可以进行网络配置、发放客户端、删除、用户信息修改、服务统计和用户查询等操作。

SDK开发包 是针对不同网络服务商的应用平台而提供的不同的系统接口，网络服务商针对自己的应用系统调用相应的开发包即可使用PASSPOD系统。

客户端 是购买的一个专用硬件或是下载并安装在用户移动通讯终端上的应用程序，用户在登录时通过这个客户端获取动态一次性口令。

用户在登录时必须输入由客户端生成的一个动态密码，在登录服务器接收到这个密码后会将密码发送至PASSPOD服务器进行验证，验证通过用户就可以正常登录，失败的话服务器将拒绝用户的登录，成功使用过的密码将不能重复使用。

一个典型的用户认证过程如下：

(1)用户接通客户服务器，等候认证提示；

(2)运行客户端，输入显示的结果作为此时的登录口令；

(3)客户服务器前端接受认证口令，调用认证代理软件包与认证服务器进行通信并等待认证结果；

(4)认证服务器根据由用户身份确定的秘密数据计算出认证口令，与用户输入口令比较，并返回认证结果。

(5)客户服务器根据由认证服务器返回的结果决定用户登录成功与否。

未来，身份认证技术将朝着更加安全、易用，多种技术手段相结合的方向发展。动态口令将会成为身份认证技术的发展方向之一，动态口令的易用性也将不断提高。

身份认证技术主要包括数字签名、身份验证和数字证明。 数字签名数字签名又称电子加密，可以区分真实数据与伪造、被篡改过的数据。这对于网络数据传输 ， 特别是电子商务是极其重要的，一般要采用一种称为摘要的技术，摘要技术主要是采用 HASH 函数（ HASH( 哈希 ) 函数提供了这样一种计算过程：输入一个长度不固定的字符串，返回一串定长度的字符串，又称 HASH 值 ） 将一段长的报文通过函数变换，转换为一段定长的报文，即摘要。身份识别是指用户向系统出示自己身份证明的过程，主要使用约定口令、智能卡和用户指纹、视网膜和声音等生理特征。数字证明机制提供利用公开密钥进行验证的方法。

身份验证是什么？

您好，身份验证又称验证鉴权，是指通过一定手段，完成对用户身份确认，