双因子认证

外部认证：卡验证终端，步骤：1）卡产生随机数发送给终端（此时终端和卡都有该随机数）2）外部终端发送外部认证命令，报文中包含对那些随机数的加密的密文3）卡片对随机数加密，验证两组密文是否相同达到认证目的。

内部认证：终端认证卡片。

 

 

认证（authentication，鉴别、验证）：是一方（如自然人或系统）向另一方声明自身的身份并被验证的过程。认证过程可以包含一种或多种认证机制。

认证机制是某个体证明对一个认证因子的认知与占有的流程。

认证因子如：个人识别码、密码、响应记号（挑战/应答记号，challenge-response tokens）、智能卡、生物学特征等。认证因子可分为4类：

• 你所知道的：个人识别码、密码或其他信息；
• 你所拥有的：安全记号、密钥或私钥；
• 你自身的：手、脸、眼睛等；
• 你的行为：手写签名、击键动作等。

认证方案的安全性依赖于：

• 所包含认证因子的数量

  攻击者进入系统（如以合法用户身份）必须占有的资源数量。基于帐户/密码的认证系统是单因子认证系统，攻击者所需要的非公有资源是一个密码。若加入智能卡验证手段可视为双因子认证系统，攻击者除了需要知道密码，还需要占有记号设备（智能卡）。因子数量越多，安全性越强。

• 认证因子的内在安全性

  一种认证因子的安全性决定于：

  • 产生：因子的产生者（如发卡银行）必须建立处理流程，使认证因子与个体身份建立对应关系；
  • 传递：不论因子由系统或系统中的个体产生，因子必须安全地传递给对方；
  • 存储：因子的存储与访问手段直接影响到因子本身的安全性；
  • 属性：因子的强度依赖于因子被盗窃、拷贝、伪造的难度。
• 认证机制的安全性

  认证因子值通过明文或加密提交、通过挑战/应答机制证明对因子的占有等不同流程决定认证机制安全性的强弱。

身份盗用、诱骗攻击、欺诈、数据泄露的增长使单一的帐户/密码认证系统已不能满足在线交易的安全需求，近几年国际与国内银行业逐渐推进双因子认证系统，通常利用智能卡、动态密码、USB令牌、移动电话、生物学技术等作为第二认证手段以加强电子银行与电子商务交易的安全。例如，我国一些电子银行使用的专业版软件可视为双因子认证系统，交易时需验证帐户密码（所知道的）与个人证书（所占有的），一些方案中个人证书也可存储于USB设备中。