手机密码保护措施

手机密码保护措施1.手机密码保护的主要手段目前，各种手机操作系统的键盘上都有漏洞. 黑客可以通过各种技术安装木马程序来监视用户手机中的键盘. 这些木马程序可以记录用户从键盘输入的所有信息. 由于当前的黑客技术变得越来越开放，即使是初学者，黑客也可以轻松使用这些工具，从而对用户造成更大的伤害. 一旦在用户的手机上安装了这种木马，就有可能会窃取用户的个人密码. 尽管移动银行采用数字证书认证机制并对传输的数据进行加密以提高安全级别，但是它只能保护传输到网络的数据，而不能保护单个用户的手机. 为了减少由诸如密码之类的敏感信息泄漏引起的风险，市场还提供了多种安全预防和控制措施. 这些预防和控制措施基本上可以分为两类，一类是为纯软件实现定制的密码键盘手机防护软件，另一类是与硬件设备结合使用，由硬件生成的一次性密码由后台应用程序验证. （1）自定义密码键盘设计键盘监视程序是驻留在内存中的内存监视程序. 用户按下的每个键都将存在于内存中的特定地址区域（键盘缓冲区）中，而键盘监控程序是可以读取存储在键盘缓冲区中的数据并进行记录的工具. 另外，手机上的物理键盘或系统自身的软键盘的键码是固定的，黑客可以通过监视键码来窃取用户输入.

还有一个键盘监视程序，可通过挂钩系统功能或消息事件获取用户输入，以窃取用户输入数据. 因此，在设计自定义密码键盘时，应考虑以下几个方面: 1.自定义键盘上的每个键都是我们定义的对象，不能直接反映或包含用户输入数据. 2.自定义键盘的位置必须随机放置，并且每次重新打开软键盘时，随机位置都会有所不同. 3.实际密码不能存储在系统输入框中，也不能显示在输入框中. 设计和实现主要采用以下技术方法: 1.随机键盘布局: 密码键盘的输入由程序绘制. 每次必须随机确定数字或字母键的位置. 每次生成的密钥的排列是不同的. 获取密码键盘程序，该程序可以通过分析并单击热点以恢复数据来防止攻击者窃取用户输入. 2.图形键盘密码键盘上的每个键都必须使用图形显示. 您无法通过创建按钮并设置按钮文本来创建按钮，因为如果按钮是使用“按钮+文本”方法创建的，则攻击者可以收听按消息事件，当消息事件发生时，您可以获得用户的输入数据. 您可以使用“按钮+图片”方法创建按钮，以便该按钮将不包含实际的输入内容，并且显示的内容在图片中，攻击者更难恢复用户输入的数据.

3. 语义偏移在创建随机密码键盘时，客户端会同时生成1个字节的随机数d，用于偏移密码. 当用户按下按键输入时，将产生1次按键操作. 对于消息事件，将对输入内容进行偏移处理并将其存储在自定义对象中. 客户端将偏移结果与一个随机数连接起来，然后以加密方式将其提交给后端服务器. 4.系统控件不允许显示防摘机输入信息，特别是密码不能直接设置为文本值或系统控件的值，需要用****代替，并设置密码无法将偏移量设置为系统控件的任何变量后，需要自定义变量存储；对于每个按键动作产生的消息事件，程序应在处理完消息后中断消息，以避免消息进一步传输；加密后立即清除密码控件. 输入信息. 5.加密用户完成输入后，加密的密码将立即被加密. （2）基于硬件的密码预防和控制的组合手机终端上密码预防和控制的另一种方法是硬件组合的方法，可以大大提高密码预防和控制的强度. 支持验证系统等，存在系统构建和硬件升级的成本. 主要技术方法是动态密码认证技术和移动数字证书技术. 1.支持动态密码卡身份验证的动态密码系统部署在业务应用程序系统的网段上，并由业务应用程序系统调用，以向业务系统提供各种方式的动态密码验证和管理服务.

基本的系统部署模式如下: 动态密码可以使用SMS令牌模式或电子令牌模式. 其中，服务器令牌生成的一次性密码由服务器发送给用户，用户使用该密码进行登录或交易确认；硬件电子令牌通过令牌生成一次性密码，用户输入密码进行登录验证. 1）动态密码介质: 动态密码系统提供的密码认证服务主要支持矩阵密码卡，刮刮卡，手机令牌，硬件令牌和SMS等多种认证方法. 2）动态密码媒介和用户绑定: 每个动态密码媒介，无论是令牌，卡还是手机短信令牌，都提供统一管理，用户在申请时可以绑定动态令牌卡. 丢失，损坏或由于其他原因需要更换，也可以通过业务系统对其进行重新绑定. 3）系统登录和交易确认: 动态密码和登录密码可用于电子银行和移动银行系统中的用户登录或交易确认. 动态密码和登录密码通常用于双重验证. 进行交易时，一般采用动态密码和交易方式. 密码双重验证. 通过双重密码验证，可以确保交易的安全性. 2.移动数字证书移动数字证书是指使用智能卡（带有CPU的IC卡，例如USBKey）存储数字证书和私钥的方法. 使用智能卡时，必须将其插入计算机或移动设备的USB或其他接口（例如MINI USB），SDIO接口，Apple Dock接口或音频接口）.

这种用于移动数字证书的存储方法的最大特点是高度的安全性手机防护软件，因为智能卡具有芯片，并且生成公用密钥和专用密钥对的程序（指令集）已在芯片ROM中刻录. 由智能卡制造商提供. 密码算法程序也在ROM中触发. 在智能卡中生成公私钥对后，可以将公钥导出到卡的外部，并将私钥存储在芯片的密钥区域中，该密钥区域不允许外部访问. 卡中的程序必须调用密钥文件的读取，写入和修改. 在卡界面的外部，没有命令可以读取，修改，更新和删除密钥区域的内容. 除非设计和编写卡操作系统（COS）的人在COS上留下后门，否则只有他知道如何从外部调用密钥区的内容. 但是我们可以排除黑客以极低的可能性与COS设计师勾结的可能性. 在加密和签名计算过程中，外部计算机或移动设备中的应用软件使用智能卡API调用方法来输入参数，数据和命令，开始在智能卡内部进行数字签名计算，密码计算等，并获得返回的结果. 智能卡内部的CPU可以完成这些操作. 在整个过程中，无法在智能卡介质中找到私钥. 黑客的攻击程序没有机会拦截私钥，并且智能卡可以设置密码锁定的数量. 当连续输入错误的证书密码（私钥）时，保护密码）几次后，智能卡将被锁定，无法再使用，这使得蛮力破解智能卡证书密码的可能性大大降低. 移动数字证书可以有效地保证电子活动的高度安全性，这种方法已经在传统的金融领域和电子政务领域得到了广泛的应用，但是它还涉及到证书的验证，需要为用户提供电子设备，用户. 需要携带电子设备，这会影响用户的便利性.

第二，手机密码的预防和控制思想根据现有的手机密码预防和控制措施，提出了以下预防和控制思想: （1）设计和开发自定义密码键盘是最基本的措施. 用于预防和控制. 试用次数的组合，增强密码的强度以及限制交易量可以最大程度地控制系统风险. （2）使用硬件预防和控制措施可以增强预防和控制的强度，但是需要部署相应的密码管理系统来支持它. 另外，由于硬件防控需要为用户提供必要的电子硬件，相应地增加了投资成本，因此更多的保护措施也限制了客户的便利性. （3）无论是软件还是硬件的预防和控制，加密算法都需要国家秘密算法的支持，相应的硬件设备也必须支持国家秘密算法. （4）软件预防与硬件预防和控制相结合是一种普遍采用的预防和控制措施. 同时，结合业务流程的预防和控制，很少使用单一的预防和控制. （5）手机的密码保护和控制可以分层次，分层次进行控制. 不同的密码策略可以不同，即可以实现密码预防和控制的异质性，也可以有密钥级别.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-231744-1.html