Two-factor authentication

工具要正確的被使用才有效果。 傳統只輸入密碼的方式有時被稱做 One-factor authentication，因為 Two-factor authentication 是指兩種以上的認證，通常是透過 USB 外接 Smart card 讀卡機用卡片另外做認證。 美國網路銀行將身份檢查的部分改用 Two-factor authentication 進行認證，希望可以對抗 Phishing (網路釣魚)。問題這樣還是會受到 Man-in-the-middle-attack 與 Trojan (木馬) 的攻擊。 以 Smart card 作為 Two-factor authentication 的架構來說，Man-in-the-middle-attack 攻擊是在使用者瀏覽釣魚頁面時去原來的網路銀行上抓 Two-factor authentication 所需要的 Message，傳給使用者後讓使用者認證。使用者認證完 (密碼以及 Smart card 對 Message 的數位簽名) 送回釣魚頁面，釣魚頁面再送回原來銀行網頁，完成認證的動作，接下來開始把錢轉帳到其他戶頭去。這也就是 Bruce Schneier 這篇 Fighting Fraudulent Transactions 提到美國銀行以及政府所使用的 Two-factor authentication 無法保護使用者。 但這並不是 Two-factor authentication 有問題，而是因為把 Two-factor authentication 用在錯的地方上。台灣的網路銀行在這點上面做的 [...]