OTP隨機認證秘密基礎應用於行動網管

邱泰源 ； 方仁威 ； 劉興華

《資訊安全通訊》 22卷4期 (2016/10) Pp. 27-38

摘要

近年來手機應用朝向多元發展，涉及資訊安全高度安全性的行動商務模式，諸如：行動FTP、企業EIP、行動網路商銀等應用，使用者需要高度安全性的保護。現今，行動上網方式選擇眾多，企業資訊人員使用行動網管的人數正與日倍增，造就行動安全的議題被逐漸關注。目前許多資訊人員將智慧型手機作為行動網管之主要可攜式設備，如：Router、Switch的管理工具，無論公務出差或是下班時間面臨緊急事務都能即時處理，達到「不在辦公室、也能辦公事」的行動辦公室精神，確實將行動商務徹底實踐。據國際賽門鐵克Symantec研究指出，隨著攻擊者手法精進已可透過網路病毒及網頁語法偵測用戶端電腦資訊並藉此竄改網路設備之系統設定檔，將使用者網路連線導向危險區域；藉此顯示網路設備常用的以密碼為基礎之身份認證機制無法有效的防範攻擊者攻擊，為此，改善此一資訊安全風險為刻不容緩的課題。本研究將藉由建置單次通行密碼系統(OTP)於手機，藉由身份認證雙因子鑑別的核心概念獲得系統合法授權，增強行動網管的安全性以保護網路設備，並改善使用者通行碼遭受病毒攻擊、網路攻擊問題。系統設計以不改變使用者操作為前提，建置採三層式架構方式，兼顧安全控管、獨立運作與擴充性較佳等特性，故本研究可為企業建構行動網管電子商務平台之實作參考。

關鍵字

單次通行密碼(One-time password) ； 雙因子鑑別(Two-factor authentication) ； 三層式架構(Three-tier Architecture)

參考文獻

(J. J. Hwang, Partition and Recovery of a Verifiable Digital Secret, US patent pending, Patent No. 7596704, 2009).

(J. J. Hwang, User Authentication by Linking Randomly-Generated Authentication Secret with User-Chosen Secret Password, US patent pending, Application Publication No. 2006/0036857, 2006).

(ISO/IEC 27001: 2005, Information technology – Security techniques – Information security management systems – Requirements, 2005).

()。

吳院長聽取經濟部“推動華文電子商務發展執行成效報告”，http://info.gio.gov.tw，2011