[发明专利]线上认证服务器以及线上认证方法

说明书

技术领域

本发明关于一种线上认证技术，尤指一种可跳脱钓鱼(Phishing)流程或避免中间人窃听的线上认证服务器以及线上认证方法。

背景技术

随着网际网络与资讯装置的普及化，通过网络提供的服务型态也愈来愈多样化，使用者可通过如个人电脑、笔记型电脑、智慧手机，由网络取得多样化的资讯服务。举例来说，使用者可利用电脑通过网络下载软件、进行线上购物，甚至在手机银行软件上进行转账或股票买卖。

通过网络取得多样化服务固然方便且有效率，但一直存在资安疑虑，使用者的相关资讯容易被非法截取、复制、破坏、篡改或盗用，当然也包括使用者的资讯装置受到病毒或其他恶意程式的攻击。近几年来，网络诈骗横行，各种模仿真实官方网站的钓鱼网站林立，诈骗者常利用高度仿真的钓鱼网站让使用者误以为连线至真实的官方网站，进而窃取使用者的帐号与密码，甚至是关键的认证资讯。

为解决此类钓鱼网站诈骗的问题，以往已提出许多解决技术方案，像是于使用者浏览器上安装附加套件，以于使用者误连线至钓鱼网站时，由浏览器提出此为钓鱼网站的警告，避免使用者进行后续操作。然此方法需于浏览器端安装客置化软件，并需建置且需时常维护用于比对那些网址为钓鱼网站的数据库。

然而并非所有使用者都有权限或高度资安观念，故会影响使用者安装此类客置化软件于浏览器内的愿意，倘若怀疑其可信任性而放弃安装，则可能造成更严重的中间人攻击(Man-in-the-Middle)或中介攻击(Man-in-the-Browser)，危害度更甚于仅窃取帐号和密码的钓鱼网站。故此方案在推广时常遭逢相当阻力，也难以全面普及。

另外，也有方法致力于钓鱼网站的预防搜寻与识别技术，利用搜寻引擎可预先索引以及快取网站内容的机制，提前识别网站是否为诈骗网站。日后使用者搜寻网页时，可予以排除、过滤、避免列出此钓鱼网站，或在搜寻结果上加以标记提醒，以避免使用者连上诈骗网站或钓鱼网站。此方法虽然有效，但仅限于网页搜寻，是难以避免其他方式的诈骗手段，例如:诈骗者利用伪造的电子邮件、或是日益普及的即时通讯软件传递钓鱼网站的网址，进而诱骗使用者点击或连线至恶意网站，故此方法将无法有效的解决问题。

为了避免钓鱼网站有机会骗取使用者的认证资讯，或避免连线资讯封包遭截取，许多网站采用SSL凭证加密传递连线资讯，或是采用二阶段验证(Two-factor authentication)，也就是除了输入帐号密码外，需额外输入一组动态产生的动态密码(One Time Password，OTP)，又称一次性密码，期待借此降低帐号密码流出的风险，因为就算账号密码遭窃取，但因动态密码难以预测或无法重复使用，故可有效保护使用者。

然而前述方法虽大幅降低帐号密码流出后的风险，但若使用者一开始即连线至诈骗网站或钓鱼网站，在使用者不察下，可能一并将帐号、密码及动态密码输入至钓鱼网站，此导致动态密码的保护机制形同虚设，诈骗者在取得使用者的帐号、密码与动态密码后，即可转送至真实官方网站，并进行例如转账、变更帐号密码、变更数据等特权存取，如图1所示。

鉴于上述动态密码遭窃的风险，故有将动态密码通过第二通道回传的技术方案，借此降低使用者误将关键的重要资讯输入于原先请求登入的网站(第一通道)，以避免动态密码遭窃。如图2所示，于异质通道(第二通道)上传送或回传动态密码的方式，可有效避免有心人士于相同通道上(例如使用网络窃听技术，于电脑上安装键盘侧录程式等)窃取动态密码等资讯，可大幅提高窃取关键资讯的难度。

虽有上述解决技术方案，但若使用者一开始即连接到钓鱼网站，则仍有数据遭窃的可能。如图3所示，主要在于钓鱼网站的仿客户端模拟程式，可模拟成真实使用者与官方网站进行互动，并从中窜改真实使用者提交的相关资讯，其中，待使用者主动于第二通道回传认证资讯后，仿客户端模拟程式接获官方网站的验证成功的信息后，旋即介入流程，回复真实使用者伪造的执行成功信息或系统维护中等错误信息，而钓鱼网站同时间持续与官方网站进行互动，进行特权存取(例如变更数据、进行转账等)，待真实使用者发现异状时，权益早已遭受损失。

异质通道传送动态密码的方式虽好，但仍有其风险，特别是一旦使用者连线到钓鱼网站且未能察觉时，此时钓鱼网站形同一隐形中间人装置，存在于使用者与官方网站之间，监控着一切往来的资讯，进而窜改使用者数据或执行服务，因为上述方案中，官方网站无法确保与之连线者，是否为真正的使用者或者是中间人装置。