用噪音作口令 解决双因子认证痛点


发布人:admin分类:网络安全浏览量:18发布时间:2017-11-29

CTO训练营 | 12月3-5日,深圳,是时候成为优秀的技术管理者了


去年,据说是从各路名人苹果iCloud账户窃取来的裸照开始在各大社交媒体上疯传时,苹果公司在对该事件的回应中,鼓励人们启用所谓的“双因子身份验证”功能。想法其实很简单——当你试图登录到iCloud账户时,苹果会向你的手机发送一个四位数的验证码,你必须输入这个验证码才能进行登录。那样的话,即便有人获得了你的账户密码,也无法登录,除非他们同时拿到了你的手机,才能够进入你的iCloud的账户。

用噪音作口令 解决双因子认证痛点

双重身份验证比单独的口令提供了更好的安全机制,我们的邮箱、社交媒体、银行账户等等方方面面都应该启用这种双重身份验证。不过这样确实有一个很大的问题,那就是启用了双重身份验证后,真的是太麻烦了。每次我们想要登录一个网站,就得掏出手机,然后解锁,找到验证码,再在网站上输入进去。如果动作太慢,验证码过期了,还得重来一遍。对于大多数人来说,这真是个大麻烦,所以很多人都不愿启用这种双重身份验证,任凭自己的账户处在随时可能被攻击的危险境地。

但苏黎世瑞士联邦理工学院的一组研究人员声称,他们已经找到了一种方法可以解决用户双重身份验证的痛点。在今年的Usenix安全大会上,该研究小组发表了一篇论文,描述了他们制作的称为Sound-Proof的新工具。

当你试图登录一个安装了Sound-Proof的站点时,服务器就会向你手机上的一个App应用发送指令信号。然后你的手机和浏览器都将录制一个几秒钟的环境噪音样本。你不需要打开手机,甚至不需要从口袋或是皮包里拿出手机,因为录制动作由服务器自动触发。然后软件会创建一个基于该噪音的数字签名,并上传至服务器对这两个签名进行比对。如果比对成功,服务器就会假定你的手机和你正在试图登录的电脑是在同一个房间,并允许你进行登录。空调低鸣声、杯盘交错声、谈笑低语声等等所有这些噪音都将成为服务器采集的样本。

这类似于酷狗之类的音乐软件里的听歌识别功能,你在酒吧、茶餐厅、街边店、广场舞听到一首好听的歌却又不知道歌名的时候,就可以使用这个功能录上一小段,软件就会根据不同歌曲的独特音质帮你找到这首歌。不过该论文的作者之一克劳迪奥·马弗里奥在接受媒体采访时说,Sound-Proof的底层算法是完全不同的。他说,“我们在第一个原型中曾尝试使用类似的方法,但是产生的效果并不太理想,很可能是由于不同的场景所致。”

为了保护用户隐私,该应用不会上传所录制的音频本身,而是只上传基于所录制音频而生成的数字签名。同时,为了保护电池寿命,在未收到服务器推送的通知指令前,该应用也不会启动录音功能。

这篇论文还包括了研究团队所进行的可用性研究的结果。调查发现,与谷歌的双重身份验证机制相比,在可选择的情况下大多数人都更愿意使用Sound-Proof作为身份验证的辅助手段,至少在某些情况下会使用。不过,进行双重身份验证机制简化尝试的不只Sound-Proof团队。比如安全公司Authy也创建了类似的APP应用程序,只不过是通过蓝牙传输数据,同样无需用户交互。但有一个问题就是还需要在电脑端额外安装软件,要是临时使用别人的电脑登录的话就无能为力了。Sound-Proof虽然也需要在手机端安装APP应用,不过倒是无需在电脑上安装什么插件或软件。

当然,Sound-Proof还是有一些漏洞。最明显的一个就是,如果有人和你同处一室,比如在咖啡店,而这个人又知道你的密码的话,那他就同样也可以登录到你的账户。还有一种可能性,就是如果有人恰巧和你正看着同样的电视节目或正收听着同样的广播,他们就可以根据其房间的环境噪音以及节目的播放延时来冒充你发起登录请求。不过研究人员也表示,这种有针对性的攻击还是比较罕见的。尽管如此,根据他们所进行的研究成果,研究人员还是坚信,有了Sound-Proof要比不使用双重身份验证好得多,虽然这样的坚信已经超出了研究成果的范畴。

到目前为止,Sound-Proof还只是一个研究项目,不过马弗里奥认为,改变或许很快就会发生。他说,“目前我们还在努力提高系统的整体性能,提高登录速度,更好地比对两个音频样本以进一步提高认证的精度。我们的想法是将其作为一个初创企业继续进行运作。”

【编辑推荐】

  1. 用户身份验证:超越密码
  2. 微软开始提供可选双因素身份验证项目
  3. 如何阻止基于表单身份验证的攻击?
【责任编辑:蓝雨泪 TEL:(010)68476606】

点赞 0

被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:22008626(PV) 页面执行时间:88.678(MS)
  • xml
  • 网站地图