我们使用了非对称密钥算法,我们让“隔壁王叔叔”传递了秘钥。
我们使用了数字证书,确保了对方的公钥身份,也就是互联网中确定了要访问的网站就是你要访问的网站。
但是我们如何确定要访问这个网站的用户就是要访问的用户呢? 对银行来说需要确保“敏捷的水”登录银行时,必须是"敏捷的水" 而不是别人,不然别人就把钱转走了。
虽然我们从通信,数据加密等方式确保用户密码不背攻击者破解,但是如果攻击者使用键盘记录器等工具知道了用户密码,那么就可以冒充用户了。
比如银行的U盾,因为我对这块业务不了解,我猜银行为每个用户发放了一个公钥?(知道的同学,可以帮忙解释一下银行的U盾都做了什么?)
我们用数字证书确定了银行的身份,那么银行如何确定我们的身份呢?
两步验证
那么什么是两步认证呢?两步认证就是在每次登陆时候填一个手机短信收取的验证码或者手机应用生成的验证码。当然接收验证码的手机号或者应用是需要绑定的,这样只有拿到这部手机并且知道你帐号密码的人才能登陆帐号。
为什么需要它?
对有些人来说,盗取密码比您想象的更简单
以下任意一种常见操作都可能让您面临密码被盗的风险:
在多个网站上使用同一密码从互联网上下载软件点击电子邮件中的链接
想像一下您无法访问自己的帐户及其中的内容,当别有用心的人盗取您的密码后,他们能让您无法访问自己的帐户,还可以执行以下操作:
翻看(甚至删除)您所有的电子邮件、联系人、照片等冒充您给您的联系人发送垃圾邮件或有害的电子邮件使用您的帐户重置您其他帐户(银行帐户、购物帐户等)的密码
两步验证可以将别有用心的人阻挡在外,即使他们知道您的密码也无可奈何。
如何工作?
现在大部分比较危险的操作都需要绑定手机号,因为手机号是你用的唯一的。接收到验证码后,我们再输入系统做第二次的验证。
但是由于我们这个验证码也有可能丢失,那么我们只需要让他在一定时间有效就可以了,这就是OTP.
动态口令 (One Time Password)
动态密码: 一个OTP(One Time Password) 是一个密码仅用于一次登录会话或者交易,使用过后,这个密码就无效了。
静态密码的问题:
容易被破解容易被猜测容易被盗劫针对不同的网站,用户需要记忆大量的密码。
使用动态