在用戶身份假充報復打擊中，報復打擊者與受害者有兩種簡單的關系：熟知和不知。熟知關系的報復打擊者可以等閑的盜取受害者的登錄憑證(如：卡號、暗碼、USBKEY等)，從而假充受害者身份進行網(wǎng)上銀行把持;不知關系的報復打擊者要進行報復打擊需要必然的報復打擊場景，如：處于統(tǒng)一個局域網(wǎng)環(huán)境，包含辦公局域網(wǎng)、公共WIFI收集等，報復打擊者操縱ARP或代辦署理反對等手藝報復打擊獲得用戶登錄憑證，假充受害者身份進行網(wǎng)上銀行把持。
今朝銀行針對身份假充報復打擊的防護，從登錄過程和登錄反饋兩個方面進行防護。其一是采取HTTPS和談操縱數(shù)字證書進行身份驗證，對“中間人報復打擊”進行提示并連絡安然控件手藝對敏感數(shù)據(jù)進行加密，即便陷進中間人報復打擊，也沒法破譯登錄憑證;其二是操縱登錄成功短信提示和顯示前次登錄信息(包含：登錄時候、登錄IP地址、登錄掉敗次數(shù)等)編制及時提示用戶可能存在的假充登錄。
經(jīng)由過程我們的調(diào)研與闡發(fā)覺得：采取HTTPS連絡USBKEY數(shù)字證書手藝，嚴格遵循SSL過程進行雙向身份鑒別的防護結(jié)果較好，根基杜盡中間人報復打擊。此類防護中USBKEY魯棒性是防御的重中之重。短信提示和前次登錄信息的功能起到縮短發(fā)現(xiàn)時候，及時采納應對辦法的感化。但還需要銀行方面加大年夜安然辦法的鼓吹力度，網(wǎng)上銀行用戶進步安然防備意識，同時默許啟用或開通相干的安然功能。
今朝網(wǎng)上銀行凡是會供給兩種版本的登錄——大年夜眾版和專業(yè)版。大年夜眾版采取HTTPS通信連絡安然控件編制，沒法避免中間人報復打擊，但經(jīng)由過程安然控件可呵護登錄憑證，控件的加密強度和抗逆向闡發(fā)能力成為攻防核心;專業(yè)版采取HTTPS通信、安然控件和USBKEY編制。但大年夜大都USBKEY在登錄環(huán)節(jié)并未利用，使得登錄防護結(jié)果與大年夜眾版不異。別的，登錄提示和提示信息量還有待豐碩，以便網(wǎng)上銀行用戶能更清晰地進行危險鑒定。
安然控件成為攻防核心，USBKEY充分操縱成為趨勢，用戶安然意識晉升仍需繼續(xù)。