（外文翻译）使用移动电话进行网上银行身份验证（译文）

而客户端公钥私钥对能在她手机由产生。

而客户端公钥私钥对能够产生内银行证书在第步验证实际上是由浏览器进行。

如果验证失败，认证过程将立即终止。

手机在线身份验证协议步骤今天已经成为个不受信任设备这是有争议。

然而，无处不在恶意软件，如特洛伊木马和后门，联接到计算机容易受到黑客甚至脚本操纵。

因此，如果在这样计算机上进行网上交易这是绝对危险，尤其当这恶意个人电脑有能力修改交易。

为了解决这个问题，交易确认提供了个对策要求客户使用她手机确认在线交易。

该协议步骤如下所述。

图交易确认协议由于交易需要得到证实，发送以下消息到，其中代表交易信息，是另外个随机生成数字。

使用对称密钥解密，并在其屏幕上显示，然后转发，到。

检索并在它屏幕上显示。

是能直观比较两个屏幕。

如果内容匹配，要通过点击上接受按钮来确认。

做完这步然后继续下个，否则此交易确认会话将被终止。

对发送确认消息，。

对转发这是等待检索以及对哈希和本地结果进行比较，以最终完成交易。

四安全与攻击分析在本节中，我们将对手机进行安全分析，然后再对协议进行现在攻击进行分析。

移动电话物理安全性分析手机我们社会生活中已经变得越来越重要。

个主要原因是，有越来越多功能已经在手机中集成，如互联网浏览，手机银行和购物。

人们使用手机不仅用来打电话发短信，同时也用它们来处理相对复杂事件，如阅读新闻支付帐单订票。

甚至开会。

手机越来越多应用可能提高了他，和人独特生物识别数据存储也成为了有争议问题，可能会危及个人隐私。

个利用闪存设备以存储客户数字证书网上银行身份认证方案被开发和使用，特别是在大多数中国银行中得到广泛使用。

该方案拥有数字证书安全特性，以及能够配置握手交换协议来让客户提供他证书而不是密码可能，个客户数字证书，类似于银行。

证书中信息包括客户名称地址出生日期电话号码，由签署并存储在闪存驱动器。

当客户想要登陆他账户时，必须插入令牌以提供他证书。

此外，该方案通过使用客户私钥给每个交易加密来提供客户数字签名，以确保交易是由客户发起。

可信平台模块和令牌缺点由于使用非对称加密算法来保护验证安全性，如何安全地存储私钥，已成为个普遍问题。

为了回答这个问题，令牌有个特定文件系统来保存私钥，这使得密钥可用，但不可读并不可写。

系统将拒绝任何试图读写私钥人命令。

可信平台模块使用移动电话进行网上银行身份验证摘要网上银行身份验证在网上银行安全领域起着重要作用。

在过去几年中，已经制定了些方法，包括密码令牌短信密码令牌，已经在网上银行身份认证中开发使用。

在本文中我们引入个新网上银行身份验证协议。

我们方法是，通过为用户移动电话存储数字证书，以此提高性能和稳定性来对抗各种在移动电话使用中攻击。

我们提供攻击分析以此显示这个协议优点。

关键词网上银行，身份验证协议，移动电话，数字证书引言网上银行历史可追溯到世纪年代中旬，那是互联网使用并不普及时代。

随着计算机技术和网络迅速发展，到年年底，美国约有万成年人使用网上银行。

如今，网上银行超过银行分支和，并成为美国人最喜爱使用方法。

然而，技术长期以来直被认为是把双刃剑当人们享受由网上银行带来便利同时，他们账户信息也遭到互联网犯罪分子窃取或篡改。

因此，对于金融机构，在他们网上银行服务过程中，客户端认证已成为个关键安全关切。

网上银行身份验证通常要求用户名和密码。

不过，也有些安全机制被应用到保护用户名中，因为它是在登入过程中明文输入，并且在传输过程中没有加密。

另方面，安全管理密码对于大多数人是相当棘手。

如果密码很短或有些线索使得它容易记住，它就难以抵抗潜在攻击。

个用户可以设定个强度很高密码，但是记住这个密码通常很难。

用户可能会忘记它，从而不得不把密码写下来以便于之后提醒他。

此外，新兴网络钓鱼技术滋生了大量钓鱼网站诱使受害者亲手将自己密码泄露。

因此，密码安全性更少依赖于人类冥想，密码就更安全。

与此相对应，已经开发出各种重点解决网上银行密码验证安全问题解决方案。

个密码生成令牌是个便携式设备，它可以每秒产生定位数数字。

实施个很好例子是，这需要使用它与客户原始密码起使用才能登入网上银行系统。

当然，次性密码，是另外种解决方法。

当客户端通过互联网向银行提供了他用户名和原始密码，个次性密码就发送到他手机短消息服务中心。

该客户然后检索和使用它进行进步登入。

生物识别技术也是种网上安全银行认证方法，其中用户需要通过虹膜或指纹扫描或语音确认来验证自己。

公钥基础设施，已被应用到网上认证。

超文本传输协议安全被普遍采用，甚至不仅在网上银行身份认证使用，同时也在网上购物和电子邮件系统认证中使用。

由于实施，客户能够通过提供数字证书到银行来进行认证。

以前种方法，包括整合客户到闪存驱动器，它就变成了个令牌。

我们解决方案属于这类，将客户移动手机存储他证书，而不是闪存驱动器。

本文其余部分概述如下。

在第二节中，我们描述了相关工作。

在第三节中，我们介绍了我们方法。

在第四节，我们进行了安全和攻击分析。

在第五节，我们提供了个结论。

二相关工作在线认证身份验证是种安全措施，它是设计用来在个人被授权访问特定信息或系统之前通过验证其证书来核实他身份种手段。

不严格地说，在线认证是通过计算机网络来验证身份。

然而，仔细推敲下，在线认证有它独特个安全问题值得考虑首先，我们如何确保个人想要访问网站就是这个准确网站其次，我们又怎么能在传输过程中保护个人证书再次，我们怎么能判断这些是真来自于发送人所声称个体呢现在被广泛用于网上银行认证。

在根本上，是超文本传输协议和由确保安全套接字层结合。

验证过程是在握手交换过程中展开首先，银行通过发送它给用户来验证它身份，由证书颁发机构颁发如。

证书中信息，包括发行人名称，证书有效期，版本号，序列号，主题等。

客户然后验证该证书，并向银行提供自己证书。

最后，银行验证客户身份，并在个对称加密方法下开始通信。

前两个安全问题在实现下已经很好解决了数字证书拥有数字签名，这使得它无法伪造。

每个客户证书使用银行公钥加密，只有银行能够对其进行解密。

多因素认证是由联邦金融机构检查委员会所提出解决方案，以应对第三个安全问题和今天充满风险互联网环境。

和手机等技术被定义为个称为认证因素。

生物识别技术是另个牵连因素。

这两个因素与原来密码方案，即个人知道东西，组成了三个传统网上认证因素。

然而，人们往往失去损坏或忘记自己令牌设置，好似他们不能安全地管理自己密码。

此外，手机容易泄漏，因为这让攻击者窃听明文发送消息。

更重要，生物识别技术识别设备价格昂贵和人独特生物识别数据存储也成为了有争议问题，可能会危及个人隐私。

个利用闪存设备以存储客户数字证书网上银行身份认证方案被开发和使用，特别是在大多数中国银行中得到广泛使用。

该方案拥有数字证书安全特性，以及能够配置握手交换协议来让客户提供他证书而不是密码可能，个客户数字证书，类似于银行。

证书中信息包括客户名称地址出生日期电话号码，由签署并存储在闪存驱动器。

当客户想要登陆他账户时，必须插入令牌以提供他证书。

此外，该方案通过使用客户私钥给每个交易加密来提供客户数字签名，以确保交易是由客户发起。

可信平台模块和令牌缺点由于使用非对称加密算法来保护验证安全性，如何安全地存储私钥，已成为个普遍问题。

为了回答这个问题，令牌有个特定文件系统来保存私钥，这使得密钥可用，但不可读并不可写。

系统将拒绝任何试图读写私钥人命令。

可信平台模块是个芯片，能够安全地存储认证元素如加密密钥和数字证书。

它可以嵌入到个人电脑笔记本电脑和手机。

除此之外，在手机上运行非对称加密解密和安全散列算法同样使内变成现实功能。

令牌方案作为网上身份认证解决方案，其有不争优势，但是它也暴露了堆缺陷。

这很尴尬，因为每当用户想要使用网上银行时，客户需要额外闪存驱动器。

如果令牌丢失，它可能不会是个大问题，但它确阻碍了用户段时间内使用网上银行。

更严重缺陷是，该计划不能防止假交易被签署。

假设客户计算机已被黑客控制，当黑客修改了交易但是它看起来几乎仍然是原来客户。

交易不知不觉已经改变，修改后交易将有客户确认。

移动电话网上银行认证在以前工作激励下，我们已经制定了网上银行身份验证方案，即通过手机存储，并提供客户数字证书，以及进行交易确认，以防止假交易被签署。

三方法在本节中，我们将分别描述认证协议和交易确定协议细节。

在该协议开始之前，我们假设该客户端手机拥有嵌入式，并通过或蓝牙与个人电脑联接。

手机在线身份验证协议步骤相关符号和协议步骤描述如下。

图认证协议个客户启动个与银行连接访问银行登入网页。

连接详细描述如下向说你好为开端第步，记录了在上可用加密算法密码配置以及随机生成数字发送到。

响应复核配置并把密码选择和银行证书，个，客户证书要求起发送回去。

在个银行证书验证成功后，为了用来证明目前持有者是真正，显示条消息提示输入。

使用键盘输入。

证书与签名和前主片相结合，当正确给出后由加密后发送到。

签名模式，。

首先验证证书，然后通过使用解密并比较哈希结果验证其签名。

最后，为进步使用，计算个对称密钥。

生成是基于了解了和前主片。

产生个相同，并且和之间进步通信由加密。

在这点上，成功地完成认证过程。

客户端数字证书可以获取银行信息，当客户打开她帐户或从银行网站载后。

而客户端公钥私钥对能在她手机由产生。

而使用移动电话进行网上银行身份验证摘要网上银行身份验证在网上银行安全领域起着重要作用。

在过去几年中，已经制定了些方法，包括密码令牌短信密码令牌，已经在网