“ USB记忆棒”在线识别如何工作？

#1 楼

银行给您的是带有数字证书的USB安全令牌（如此类）。这些是标准化的硬件设备，几乎每个操作系统都支持即插即用的功能。它们对于在企业IT中实现对高安全性系统的多因素身份验证非常常见。

您的网络浏览器使用HTTPS和基于客户端的证书来访问银行的网站。它使用您的操作系统证书库查找与Web服务器请求的身份匹配的已安装证书。当您安装了标准USB安全令牌时，操作系统还将在令牌上查找任何证书。

操作系统无法单独通过Web服务器执行验证过程，因为令牌不允许直接读取存储在其上的证书的私钥。令牌包括执行验证的硬件。因此，私钥永远不会离开USB记忆棒。这意味着即使您的PC受到恶意软件的侵害，证书的私钥也不会有被盗的危险（但请记住，身份验证成功后，此方法无法提供任何保护。恶意软件仍会破坏您的网络浏览器）。

顺便说一句：那是哪家银行？如果我的银行也支持这种身份验证方法，我什至可以开始进行网上银行业务。

#2 楼

一种可行的方法是Chrome支持不带插件的FIDO U2F。鉴于Chrome现在是最受欢迎的浏览器，并且Chrome可以在Windows，Mac和Linux上运行，因此宣称“它可以在具有USB端口的任何设备，Windows，Mac，Linux等设备上运行，并且开箱即用”。

他们是否声称它可以在任何浏览器或任何操作系统中使用？

#3 楼

....它们不需要用户在计算机上安装任何软件...。
我认为，网页无需用户采取任何操作即可自由浏览文件系统的能力非常普遍。默认情况下受限制


是的，没有智能卡驱动程序绝对不可能实现。
这是任何浏览器的基本安全机制。无需单击“打开文件”对话框，Java对话框或预安装驱动程序即可读取证书？您说您选择了另一个验证选项。

这听起来像是中国银行使用的USB密钥。此处描述了这种技术。


与“具有USB端口的任何设备”兼容


具有PKCS＃11 cert，或者将＃12与密码结合使用，将在所有OS上都起作用。 >

#4 楼

它可能只是USB智能卡读卡器，并插入了SIM卡大小的智能卡。

不需要手动安装驱动程序，因为在大多数现代操作系统中至少已经安装了用于读卡器和卡的通用驱动程序。

请参见下图以获取此类设备的示例：



读取器内部的SIM卡上存储着带有私钥的证书。当您将其插入计算机时，智能卡中的证书将被加载到OS证书存储中。从那里开始，它的行为基本上与保存在计算机上的任何其他证书一样，可用于访问受保护的资源，对文档/邮件进行签名，对内容进行加密等。我的银行（网络银行）和国家信任的证书颁发机构（通常由我用于IRS相关资料和请求真实文件）。

#5 楼

它很可能是伪装成键盘的设备，因此无需特殊驱动程序即可被任何操作系统识别。在内部，它可能会使用HOTP（或者，如果有RTC芯片和电池，则是TOTP），并且每次按下按钮时都只是“键入” OTP，例如Yubikey或类似的U2F设备。

浏览器不说话，也不知道那里有USB；它只是指示用户按下设备上的物理按钮（告诉设备“键入”代码，因为浏览器本身无法与之对话），然后解释任何击键（直到代码长度）它接收来自设备的信息。

#6 楼

听起来像我十年前的理论想法。

几乎每个操作系统都支持USB网络设备。您的USB记忆棒可能假装为网卡，已连接到本地网络，并且该网络上也有Web服务器。该Web服务器也可以具有HTTPS证书。

您的Web浏览器可以向该Web服务器发出HTTPS请求，并发现USB记忆棒和银行网站彼此信任。这不是沙箱逃逸，因为浏览器和操作系统都不知道Web服务器实际上在USB记忆棒上。

IP警告：据我所知，我的前任雇主持有在大多数司法管辖区都拥有此想法的专利。复制此想法之前，请联系专利律师。

#7 楼

正如其他答案中提到的那样，这很可能是USB安全令牌。可以将其视为智能卡读取器+嵌入式智能卡（有时实际上是通过这种方式实现的）。想想美国国防组织使用的CAC卡。想想PGP卡。 Yubikey的某些型号还支持充当智能卡。

这种设备已在中国的银行中广泛用于保护其在线银行网站/桌面客户端软件，我的回答主要取决于我的个人情况。在中国使用这些令牌的经验。

如何使用它？

当您注册网上银行并选择USB令牌时，银行会为您提供令牌，创建一个公钥/私钥对和您的个人证书，并将它们加载到令牌中。您可以在令牌上设置一个密码，该密码与您的网上银行登录密码是分开的。 。每当您登录或执行敏感操作（转账，更改联系信息，授权在线购买等）时，浏览器/操作系统都会提示您输入令牌密码，令牌上的指示灯会闪烁几秒钟，然后进行交易

等等，我必须安装驱动程序吗？

是的。 Windows操作系统具有标准的智能卡接口，但是每种型号的U​​SB令牌仍然需要驱动程序。 Windows Update很少会为您安装正确的驱动程序，但是在大多数情况下，您将不得不从银行的网站下载软件包。

通常唯一受支持的操作系统是Windows，并且唯一受支持的操作系统浏览器是IE。 （他们喜欢它们一些ActiveX。）通常，智能卡/ USB令牌肯定有可能支持其他OS /浏览器，请参见上面的CAC卡。您必须检查与您自己的银行的兼容性。

那么它如何验证您的身份？

浏览器要求操作系统要求令牌对一小段数据进行签名（也许是您的交易详细信息）。令牌使用您的私钥和证书对其进行签名。浏览器将签名发送到银行。银行验证签名，并感到满意的是，只有他们给您的令牌具有用于生成此签名的私钥。

私钥永远不会离开令牌。如果设计正确，则令牌永远不要泄露私钥。

#8 楼

首先，请允许我说，我对一个非技术人员的说法表示怀疑，该说法是，该技术可以在“具有USB端口的任何设备”上运行，而不管浏览器或操作系统如何。如果支持的操作系统只是几个Windows版本（也许还有MacOS），我也不会感到惊讶。但是，思考这样的设备如何工作很有趣。

大多数不需要驱动程序的解决方案，例如USB键盘的AndréBorie建议，都需要一些额外的接口（例如硬件按钮）。 。

不过，user2720406的帖子给我提供了一个对于在任何具有USB端口的[已打开]设备上确实可以在某些地方使用的设备的想法：

USB设备仅包含一个SIM卡，可使用它通过GPRS / 3G自己访问Internet。然后，该设备将简单地发送数字签名的消息“带有令牌12312121的客户正在使用在线银行”。除非最近5分钟内收到在线会话，否则不允许在线会话（可能还有其他因素，例如客户的IP与设备的IP地址具有相似的地理位置）。因此，usb端口将仅用于供电，并且设备完全独立于计算机上安装的设备。

#9 楼

这听起来像Yubikey。它们是众所周知的，而且效果很好。
关于不需要驱动程序：Yubikey将自己标识为键盘，因此任何具有键盘驱动程序的计算机都可以读取其输出的文本。
如何工作：按下按钮，Yubikey会发出公共密钥（来自设备中嵌入的安全私钥） 。然后，银行可以
对您进行身份验证，并确认您拥有您所知道的东西（您的
密码）和您所拥有的东西（您的人身安全私人密钥
）。
为什么要安全：计算机上的软件无法访问您的私钥，因此恶意软件无法复制该密钥并假装为您。它必须从您的身体上被盗。 （这是可能的，但这就是为什么要将它与您知道的东西配对）
以及使用它们的人以及原因：Google帮助设计了yubikey，以便他们
解决在获取本地凭据的计算机上的恶意软件问题
，而用户不在场。每个Google工程师都有一个。我
使用了他们多年，并在它们周围部署了许多2fa解决方案。