■高 敏 叶 晰 温州医学院信息与工程学院

随着电子商务迅速的发展，网上交易成为一个新兴的购物方式，使得传统的商店与行销环境受到冲击。网上交易有着快捷，方便和足不出户等优点，但即使在网络技术日新月异和飞速发展的今天，网络安全仍然是制约电子商务发展的一个主要瓶颈。目前部分大型电子商务网站和中国银行采用了的动态电子口令牌来验证用户的身份。但对于大部分中小型电子商务网站来讲，使用电子口令牌的成本太高，推广起来有一定的难度。而软件口令牌的实现无需购买任何硬件，故基于软件口令牌的动态口令认证技术方案能解决的当前中小型电子商务网站身份认证的燃眉之急。

一、传统的静态口令身份认证方案的安全隐患

由于电子商务活动买卖双方的个人信息和交易信息进行传输和交换的载体是一个开放的网络（如Internet），故在交易之前我们必须确认交易双方的真实身份。目前大部分网站使用的是基于静态密码的身份验证技术，但大多数用户没有定期变换静态密码的习惯，而且往往采用一些常用词组或者生日等简单数字作为静态密码，故静态密码方案已经不能很好的抵御字典攻击和重放攻击，所以其安全性比较低，不能很好满足当前电子商务中身份验证的需求。

二、客户证书U盾（USB Key）方案

目前国内几大商业银行，如交通银行、农业银行和工商银行等都采用了U盾方案。使用该方案时，黑客如果窃取了用户的密码，则黑客可登录进用户银行帐号并浏览各种账户信息，但如要进行一些转账，外汇买卖等敏感操作时，则必须插入U盾进行身份的再验证。U盾方案的优点是安全性很强，但U盾使用前需要安装驱动（或下载一些插件），由于计算机操作系统众多（如目前流行的Windows XP、Windows 7、Windows 8以及各种Linux版本操作系统），故客户在安装时常常会因为一些兼容性问题而安装失败，这大大降低了客户使用满意度。此外U盾的发布涉及到了硬件实体，故其实施成本较高，某些商业银行会因此向客户收取一定的费用，这也进一步限制了U盾方案的推广。

三、动态口令认证方案

动态口令又称为一次性口令，其特点是每个登录口令只使用一次，窃听者即使窃听成功，但也无法用窃听到的口令来做下一次登录。基于软件口令牌的动态口令认证方案的实施步骤如下：

1.首先用户在注册时要选择自己的动态口令生成类型为软件口令牌用户，并输入需要输入运行该软件口令牌的计算机的网卡MAC地址，由于每张网卡的MAC地址是全球唯一的，这也体现了用户信息的唯一性。系统服务器把用户的MAC地址信息存放在用户信息数据库中，并按照一定的算法生成软件口令牌并发放给用户（可通过网页直接下载或电子邮件附件形式发放）。由于软件口令牌运行时会直接读取本地网卡MAC地址信息并作为被加密因子之一，而网卡MAC地址是全球唯一的，故即使黑客窃取了该软件口令牌也无法在非注册机器上得到正确的动态口令。

2.用户收到系统发来的软件口令牌后，直接点击运行就可以得到当时（精确到分钟）的动态口令。当然如果用户需要，也可为该软件设置启动密码，这样可防止同机操作的其他人员使用该软件。

动态口令的安全性主要由单向散列函数在计算上的不可逆性来保证。常用的单向散列函数包括：MD4，MD5，SHA-1，SHA-256 和SHA-512等。由于MD4和MD5的安全性已经受到人们的质疑，而SHA-256和SHA-512的计算量偏大，故最终本项目选择了SHA-1作为产生动态口令的单向散列函数。此外根据不确定因素的选择方式，动态口令可以分为：时间同步机制、事件同步机制和挑战/应答机制。这几种实现动态口令的技术各有优缺点，最终我们选取了国际上较通用且实现相对简单的基于时间同步的机制来产生动态口令。图为软件口令牌运行的效果图。

软件口令牌运行效果图

为了验证本方案的平台兼容性和可移植性，我们分别用VB，C#，VB.net,C++,C和Java等编程语言实现了OTP生成算法，并在Windows和Linux操作系统环境下调试通过。这有效的保证本方案可兼容绝大部分主流设备和系统，但由于计算机软件的多样性，我们无法仍保证本方案可运行于所有软件环境下。比如跟绝大多数认证技术一样，本技术可兼容微软IE浏览器，但无法在Firefox（火狐浏览器），chrome(谷歌浏览器)和Safari（苹果公司浏览器）等非主流浏览器中运行。要兼容所有的浏览器需要大量人力和物力对各种浏览器的原理进行研究，即使是诸如中国银行，工商银行等大型企业的网上银行业务目前也只能保证兼容IE浏览器。

四、结束语

作为一种全新的商务活动，电子商务很大程度上改变了人们的生活方式，然而电子商务的安全性问题却始终是信息技术工作者挥之不去的梦魇。本文简单阐述了基于软件口令牌的动态口令技术的实现方案，该技术可以与目前流行的各种电子商务系统无缝融合，并可有效的解决静态密码易被攻破和易泄露问题，从而提高了电子商务活动的安全性。

李传目.一次性口令技术的研究[J].集美大学学报(自然科学版),2003,8(2):160-163