بخشی از پاورپوینت
اسلاید 1 :
یک روش جدید احراز هویت ضمنی در اینترنت بانک
اسلاید 2 :
خلاصه
مقدمه
احراز هویت
روشهای احراز هویت
درباره این پژوهش
احراز هویت ضمنی
ردیابی در وب
روش احراز هویت پیشنهادی
چارچوب ارزیابی روشهای احراز هویت
ارزیابی روش و نتیجه گیری
اسلاید 3 :
مقدمه
خدمات بانکی از جمله مهمترین انواع خدمات تحت وب
دریافت صورتحساب، دریافت مانده حساب، انتقال وجه بین بانکی، انتقال کارتی و .
اهمیت بسیار زیاد تراکنشهای مالی
مورد توجه هکرها
این خدمات باید در سطح مطلوبی از امنیت و کارایی قرار داشته باشند
اساسیترین روش دفاعی : استفاده از یک روش احراز هویت
مرسومترین روش احراز هویت : نامکاربری و کلمه عبور
اسلاید 4 :
احراز هویت
هر سازوکاری که بتواند هویت واقعی یک فرد را بدون هیچ ابهامی، تائید یا رد کند یک روش جهت احراز هویت است
کاربران با استفاده از یک نشانهی فیزیکی و یا یک رشتهی دارای مفهوم خاص مانند آدرس ایمیل و یا شمارهحساب خود را به سامانه معرفی میکنند
کاربر
نقطه ورود
خدمت دهنده
اسلاید 5 :
مساله احراز هویت
مسئلهی احراز هویت برخلاف باور عموم یکی از پیچیدهترین مباحث امنیت شبکه به شمار میرود
بیتوجهی کاربر به مسائل امنیتی و عدم تطابق هدفش با هدف احراز هویت
متأسفانه هر چه روش احراز هویت مستحکمتر باشد، کاربر مجبور است تا سختی بیشتری را تحمل نماید و زمان بیشتری را در هنگام عملیات احراز هویت صرف کند تا بتواند به هدفش برسد
بنابراین اگر روش احراز هویت برای کاربر سخت و زمانبر باشد احتمالاً کاربر به دنبال یک راه میانبر خواهد رفت
بنابراین در روشهای احراز هویت همواره رابطهی مستقیمی بین امنیت و کارایی وجود خواهد داشت که کار طراحی را سختتر میکند
اسلاید 6 :
روشهای احراز هویت
هر روش احراز هویت حداقل در یکی از دسته های زیر قرار می گیرد:
چیزی که کاربر می داند: کلمه عبور متنی
چیزی که کاربر دارد: رمز دو مرحله ای یا نشانهی سخت افزاری
چیزی که کاربر هست: اثر انگشت کاربر
اسلاید 7 :
برخی روشهای احراز هویت
کلمه عبور متنی
یک رشته شامل حرف و رقم
پرکاربرد بدلیل سهولت در پیاده سازی و آشنایی کاربران
فراموشی مهمترین مشکل
رمز دو مرحله ای گوگل
کلمه عبور متنی و رمز یکبارمصرف پیامکی
امنیت بالا بدلیل فاکتور ترکیبی
هزینه مهمترین مشکل
اثر انگشت
گم و یا فراموش نمیشود
نیاز به سخت افزار جانبی مهمترین مشکل
اسلاید 8 :
درباره این پژوهش
شناسایی کاربر اینترنت بانک در ایران
بر اساس کلمه عبور
استفاده از توکن یا پیامک رمز یک بار مصرف
روش ارایه شده
سهولت استفاده کاربر (کارایی)
سطح امنیت مناسب
اسلاید 9 :
احراز هویت ضمنی
شناسایی کاربر با استفاده از دادههای استخراج شده از دستگاه او
بهصورت نامحسوس، بدون تعامل با کاربر و در پسزمینه
کاربران برای دسترسی به سامانهها معمولاً از محلهای مشخصی مثل رایانه شخصی در منزل و یا محل کار استفاده میکنند
این محلها دارای مشخصات نرمافزاری و سختافزاری نسبتاً پایداری هستند
انواع کاربران اینترنت و وب اعم از رایانههای شخصی، تلفن همراه و رایانههای همراه
اسلاید 10 :
ردیابی در وب
شناسایی کاربر با استفاده از دادههای استخراج شده از مرورگر
روش فعال : استفاده از جاوا اسکریپت (JavaScript)
روش غیرفعال : استفاده از اطلاعات درخواست کاربر (HTTP Request)
روشهای ابتدایی: آدرس آی پی و کوکیها
شاخصهای انتخاب عوامل :
همواره قابلاستخراج
ارزیابی سریع
پایداری مشخصه
عدم نیاز به کسب اجازه از کاربر
اسلاید 11 :
روش احراز هویت پیشنهادی
افزودن یک لایه احراز هویت ضمنی به لایه نام کاربری و کلمه عبور
ردیابی کاربر در وب و ساخت یک بردار ویژگی با استفاده از عوامل مختلف
مقایسه بردار ویژگی کاربر با بردارهای گذشته ذخیرهشده برای او
درصورتیکه تشابه مورد انتظار وجود نداشته باشد، سامانه، کاربر را مجبور میکند تا برای ورود، از سطح پیشرفتهتر رمز یکبارمصرف پیامکی استفاده نماید
اسلاید 12 :
روش احراز هویت پیشنهادی
اسلاید 13 :
خروجی الگوریتم ردیاب
اسلاید 14 :
تعیین وزن
میزان گستردگی اثر هر یک از این عوامل متفاوت است
برخلاف روشهای پیشین برای اعمال تأثیر هر یک از این عوامل در روش پیشنهادی یک وزن تخصیص داده میشود
تعیین وزن با توجه به شرایط سامانهها قابل تنظیم است :
گستره جغرافیایی کاربران
تنوع زبانی کاربران
اسلاید 15 :
الگوریتم احراز هویت
در گام اول باید یک مجموعه از سوابق کاربر تشکیل شود (فاز یادگیری)
روش اول: دادههایی که مربوط به سوابق ورود موفق کاربر هست به الگوریتم معرفی شود
روش دوم: الگوریتم میتواند با سوابق خالی اجرا شود و بعد از هر ورود موفق اطلاعات لازم را به سابقهی کاربر اضافه نماید
مقادیر هر یک از ویژگی ها استخراج و یک عدد به آن نسبت داده می شود
در هنگام عملیات احراز هویت، تصدیق کننده میزان شباهت کاربر را با هر یک از سوابق او مقایسه میکند :
در صورتی که شباهتی تشخیص داده شود به کاربر اجازهی ورود میدهد
در غیر این صورت احراز هویت باید با پیامک رمز یکبارمصرف صورت بگیرد
اسلاید 16 :
چارچوب ارزیابی روشهای احراز هویت در وب
برای ارزیابی و مقایسه روش های احراز هویت در وب باید از یک چارچوب یکسان استفاده کرد
هر روش از سه منظر قابلیت کارایی، قابلیت استقرار و قابلیت امنیت سنجیده می شود
معیار کارایی
معیار برپاسازی (استقرار)
اسلاید 17 :
چارچوب ارزیابی روشهای احراز هویت در وب
معیار امنیت
اسلاید 18 :
چارچوب ارزیابی روشهای احراز هویت در وب
برای محاسبه ی امتیاز هر روش دو رویکرد معرفی شده است:
رویکرد اول: محاسبه ی امتیاز روش بر اساس مجموع امتیاز کسب شده در هر معیار از رابطه ی زیر:
رویکرد دوم: با توجه به حوزه ای که در روش آن استفاده می شود به هر یک از معیارها وزنی نسبت داده شود
مثلا روشی که برای یک تجارت حساس استفاده می شود باید معیارهای امنیت آن وزن بیشتری داشته باشد
اسلاید 19 :
مقایسه روش ها بر اساس هر سه معیار
اسلاید 20 :
نتیجهگیری
سبب بهبود معیار امنیت میشود
فضای حالت بسیار گسترده: مقاوم در برابر حملات آزمون و خطای محدود شده و محدود نشده
ضمنی بودن: مقاوم در برابر دید فزیکی
ضمنی بودن: کارایی در استفاده
ضمنی بودن: کاهش هزینه به ازای هر کاربر
