如何借助电话网络强化双因素身份识别 - 安防知识网

当前，数据和身份盗窃已经达到了空前的水平，这对企业网络和个人的威胁都是非常大的。随着我们不断摆脱单纯地依靠口令保护接入重要任务系统或敏感的数据，更多的企业正在转向基于电话的双因素身份识别，因为电话网络能够使这种应用更加方便并增加安全性。PhoneFactor公司共同创始人和首席技术官Steve Dispensa介绍了如何使用基于电话的双因素身份识别阻止对企业网络的攻击。

当一个用户用他的口令中的用户密钥登录到网络时，他的手机铃声响了。如果这个用户接听电话并回答他的PIN号码中的密钥，他便获得批准接入网络。如果他不这样做，那么，这个网络就将拒绝他接入。IT部门将得到报警，这个攻击便被阻止了。黑客要访问用户的账户，他必须知道用户的口令并且物理拥有那个用户的手机并且知道那个用户的PIN号码。而这种情况是不太可能发生的。

把多种身份识别与电话网络结合起来的使用方式将不可能被攻破。这也将成为一种新的标准。双因素身份识别不再仅仅是一种最佳做法。对于许多行业来说，特别是那些受健康保险流通与责任法案(HIPAA) 抑或支付卡行业协会和国家联邦金融机构检查委员会规定管理的行业，双因素身份识别是一种强制性的要求。由于数据和身份盗窃已达到创纪录的水平，因此，企业和个人面临巨大的威胁，而且这种风险非常高，相信没有人愿意在发生这种攻击的时候正值自己处于领导岗位的期间。

传统的双因素解决方案显示的安全令牌等许多难题都被基于电话的身份识别轻松地克服了。安全令牌对于用户来说是很痛苦的，对于企业提供技术支持来说也是很昂贵的。基于电话的身份识别很容易建立并且很容易使用。不仅如此，它还更安全。

基于电话的身份识别在各种环境中都是有意义的，但是，在某些情况下这种身份识别方式是非常好的：大规模部署(在这个环境中不可能把设备分配给每一个用户和安装软件或者证书，这将引起许多技术支持问题)和你不能或者不愿意修改用户接口的任何应用程序。电话身份识别的另一个极好的例子是保证在线银行交易的安全。

在线银行中的双因素身份识别
举一个在线银行进程的例子。在一个用户登录之后，银行很难鉴别这个用户是在打字还是在做一些恶意软件。采用基于电话的身份识别，用户能够在一个在线银行进程中识别具体的交易。如果启动电汇或者其它高风险的交易功能，用户将接到一个电话要求他证实这个汇款。交易的细节将包含在电话中。因此，用户证实哪一笔交易都是没有问题的。

还有许多能够导致攻击者劫持一个非法进程的所谓的“中间人”攻击。采用传统的双因素身份识别，攻击者能够等待用户进行身份识别，然后劫持这个身份识别的进程。这种情形在“浏览器中间人”攻击中是非常普遍的。在这种攻击中，用户的网络浏览器可能会被恶意软件所破坏。[nextpage]

基于电话的身份识别使坏蛋不可能欺骗服务器做用户不想让它做的事情。用户将不断地接到电话并且能够拒绝这个行动。因为基于电话的身份识别能够用于任何类型的交易，不仅仅是在线交易或者登录网络，它还能够用来识别物理访问一个限制性的设施，或者甚至还能证实零售交易。

一个有趣的案例是信用卡采购。假如你正在设法进行一次合法的信用卡采购，但是，由于某种原因这笔交易被标记为高风险(也许你在另外一个城市并且是在夜里很晚的时候购物)。这个标准通常是在提款机或者在线拒绝你。采用带自动的电话的身份识别很容易对这笔交易进行识别，允许合法的交易被验证和通过，即使引发了报警也没有关系。这个采购不仅允许通过，而且如果这是诈骗的话，这笔交易将被实时地阻止，而不是仅做一个标记在事后再进行审查。这个锦上添花的功能是很有用的。由于每一个人都能够使用电话，这种应用是不成问题的。

企业级方便安装
对于企业部署来说，你在现有的硬件中下载和安装这种身份识别软件就可以了。对于企业网络中广泛部署的邮件客户端Outlook Web Access(OWA)，你可以在安装OWA的服务器上安装这个软件。然后增加用户，可以手工增加，也可以通过主动目录或者LDAP移植。欢迎的电子邮件将自动发送给用户。所有未来的登录都将通过电话保证安全。

在任何VPN、思杰Web接口、互联网信息服务网站、终端服务或者RADIUS应用程序上的安装过程实际上都是一样的。不需要进行编程，这个软件都是现成的。即使在复杂的环境中，这个实施也是很简单的。

例如，我们有一个配置大量思杰设备的电话中心客户端。我们能够集成所有必要的接触点，不需要对他们的网络基础设施进行任何材料改变(不需要新的硬件，我们利用其现有的目录、登录界面保持不便等等)。用于没有要为用户设置的设备或者不需要向他们的计算机中安装软件/证书，这个电话中心能够迅速为其数千名家庭代理提供电话身份识别。

对于网站或者在线交易来说，Web插件能够让开发人员很容易地集成到现有的网站。增加用户很简单，只需要在进行身份识别的时候输入他们使用的电话号码。

正在实施的用户技术支持需求是很小的。人们很少丢失自己的电话号码。如果丢失的话，他们可以立即更换。我没有携带我的iPhone就会一天也过不下去。我敢肯定还有许多人像我一样。可以使用一个备份的电话号码，或者如果有必要的话，用户可以给IT部门打电话临时改变一个替代的电话号码。