Отправляет email-рассылки с помощью сервиса Sendsay

Вячеслав Мавроди - 400 идей бесплатно для Вас

Рассылка закрыта

При закрытии подписчики были переданы в рассылку "Заработок в интернете" на которую и рекомендуем вам подписаться.

Вы можете найти рассылки сходной тематики в Каталоге рассылок.

←   Январь 2013   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
31.01.2013
14:47:40
16:10:04
Автор
Вячеслав Мавроди

Статистика

273 подписчиков
0 за неделю
←   Все выпуски   →

Вячеслав Мавроди - 400 идей бесплатно для Вас 165. Двухэлементный пароль


165. Двухэлементный пароль 14.04.2005

Сейчас возник повышенный интерес к двухэлементным паролям. Он представляет собой средство аутентификации, состоящее из постоянной части (традиционный пароль) и переменной (обычно это особый жетон, каждую минуту генерирующий новое случайное число либо способный давать уникальный ответ на случайный вопрос).
Такая защита не спасет от наиболее популярных сетевых атак – фишинга (поддельный сайт банка) и троянца, дистанционно подключающего жулика во время сеанса клиента с банком. Т.к. клиент собственноручно открывает свой аккаунт, сложность пароля не мешает злоумышленнику. (см. СМИ 1192: "Два хорошо, но мало")
Предлагается заменить в двухэлементном пароле жетон на текущий IP-адрес клиента. И настроить ПО банковского сервиса так, чтобы он во время сеанса связи с клиентом анализировал ТСР-пакеты на параметр IP-адреса. На запросы во время открытого сеанса связи, поступившие с другого IP-адреса он чтобы не реагировал (или реагировал сообщением об атаке хакера).
Более серьезный вариант защиты такого типа – это когда IP-адрес клиента в момент сеанса может быть меняющимися по определенному секретному алгоритму, имеющемуся и у банка и у клиента. Любой IP-адрес в ТСР-пакете, соответствующий этому алгоритму, является истинным. (Т.е., по принципу prepaid-карт, где 12-значные номера так генерируют.)
«Кодовым словом» в этой схеме служит IP-адрес в самом первом ТСР-пакете, пришедшем от клиента. После того, как сеанс установлен (пройдена обычная аутентификация), клиент начинает генерить в каждом блоке ТСР-пакетов новый IP-адрес по алгоритму, а банк – отсылать ответы на IP-адрес, пришедший в «кодовом слове» - в первом пакете.
Пришедшие в данном сеансе пакеты с IP-адресами сервер банка не пересылает как обычно на маршрутизатор, а – проверяет на «валидность»: если удается по алгоритму превратить пришедший адрес в «кодовое слово» - значит, отдать на обработку запрос; если не получилось – выдать отказ в обслуживании такого пакета.
Т.е., защита основана на основах работы протокола НТТР ТСР/IP. И даже зная все пароли, хакер не сможет со своего компа управлять счетом, не зная алгоритма.
Или можно где-то в другом месте ТСР-пакета передавать идентификационный номер, сгенерированный по «стартовому пакету», как удобнее будет…
ПО обеспечения схемы можно и в жетон зашить, если уже эти жетоны распространились… (Прототип – в СМИ 1192 описан)
В избранное