當前網(wǎng)上銀行最常用的安全防護工具就是USB Key，其安全性已經(jīng)得到大家的公認。但深入思考的話，會發(fā)現(xiàn)USB Key其實還是存在一些潛在安全威脅的。
1、只要數(shù)字證書和私鑰存放在電腦介質(zhì)中，或者可能被讀入內(nèi)存，那么都是不安全的。例如某銀行的硬盤版數(shù)字證書就是不安全的。因為其私鑰和數(shù)字證書都有被程序盜用的可能。
2、USB Key的安全性在于私鑰不能被導(dǎo)出，加密解密運算用Key內(nèi)的CPU完成，需要PIN碼驗證。
3、一個最基本的認證系統(tǒng)應(yīng)該包括：客戶端(使用USB Key)、端、數(shù)字認證中心(CA)三部分，如果不用CA的話，也可以客戶端的Key申請認證，服務(wù)器產(chǎn)生隨機數(shù)，進行沖擊/響應(yīng)認證。
USB Key安全漏洞
然而，USB Key目前來說并不是絕對安全的，當前廣泛應(yīng)用的USB Key實際存在兩大安全漏洞：
1、交互操作存在漏洞?？梢赃h程控制，冒用客戶的USB Key進行身份認證，而客戶無法知曉。
這種漏洞的解決方式是在USB Key上增加一個確認鍵，用戶按USB Key上的確認鍵后才能進行一次認證。
2、無法防止數(shù)據(jù)被篡改。客戶的一筆交易在送入USB Key加密前，可能會被黑客攔截屏篡改為另外一筆交易，這樣可以在用戶不知情的情況下篡改交易而認證通過。
這種漏洞的解決也需要變更USB Key的硬件，在USB Key上增加一個顯示屏，能夠顯示交易信息和數(shù)字。
這實際和我以前想象的一樣，我曾經(jīng)想到過將USB Key和動態(tài)密碼鎖合二為一，就能產(chǎn)生出一個更安全的USB Key，不過這樣的話，成本就會翻一翻了，這也是魚和熊掌不可兼得。