動態密碼產生的形式可以分為4種,第一種是動態密碼產生器,形狀有點類似很久之前盛行的BB Call機器,只不過在重量和體積上都輕薄許多。機器本身有螢幕和按鍵,而動態密碼就內建在機器裡面,所以開機之後,只要按一次按鈕,螢幕上會自動產生動態密碼。第二種則是動態密碼卡片,它的大小如同一般的信用卡或金融卡,卡片本身已印製多組動態密碼,使用者依照順序,每次需要鍵入動態密碼時,便以刮除方式來取得密碼。
第三種是第二代晶片卡讀卡機,第二代晶片卡讀卡機和第一代最大的差異在於具有數字鍵,而密碼產生程序也與第一種動態密碼產生器相同,使用者均可以透過螢幕讀出動態密碼,不同之處在於讀卡機本身並未內建動態密碼,而是建在晶片卡中,因此,晶片卡必須插入讀卡機中,螢幕才能顯示出密碼資料。最後一種則是透過手機簡訊,系統自動發送動態密碼簡訊於使用者手機中。
動態密碼最大的好處在於降低資訊被竊時可能發生的財務損失,目前消費者在使用網路銀行時,密碼多為固定式,它不會隨著交易而不同,必須經過使用者設定才能更改,而使用者為能方便記憶,多半不會一再更改,也就是維持在一開始設定的密碼數字。
因此,當消費者的交易資料在網路上傳輸時,若被駭客成功攔截,除了資料可能被竄改的風險外,駭客往往也會透過竊取來的固定式密碼進行不法行為,例如:將使用者的存款轉存到別的戶頭中或是盜刷信用卡等等,造成使用者的財務損失。但是若改用動態密碼的話,由於密碼僅對該筆交易有效,即使駭客竊取了密碼,也無法將之用於其他不法行為上。
由於全球都曾發生過不法人士用釣魚技法欺騙使用者,透過偽造的銀行網站得到使用者的帳號和密碼後,再去銀行真正的網頁上進行轉帳,造成使用者的損失,因此,對於像銀行這種必須處理大量客戶資料或是交易的企業來說,動態密碼可說是相當重要。
對消費者來說,如果銀行提供的資料保護手法相當安全但是不方便的話,會降低使用意願,如同之前的SET轉帳機制般,相當安全但是沒人願意使用,因此,銀行運用動態密碼時,還必須考慮到消費者使用的方便性。
以網路銀行業務來說,通常,使用者在登入網路銀行的頁面時,必須輸入帳號與密碼,如果銀行將這個密碼設計成動態密碼的話,那麼使用者每次登入都必須透過系統產生動態密碼,才能順利進入網路銀行的頁面,然而使用者並不會每次登入都想進行交易,有時,只是為了查詢帳戶資料,此時的動態密碼設計雖然安全,但似乎未滿足使用者方便性需求。
因此,為了同時兼顧安全性與方便性,銀行可以結合動態密碼和固定式密碼,並行於網路銀行的運作中,透過固定式密碼進入網路銀行的頁面,若有進行交易,則須輸入動態密碼確認,交易才會成功。
舉個例子來說,使用者想要透過網路銀行進行轉帳,此時可先用已設定好的帳號和密碼登入頁面,然後輸入欲轉入帳戶的帳戶碼和金額,接著頁面會要求使用者輸入一組動態密碼,最後才能按下確定鍵。即使這組動態密碼被駭客截取,使用者也無須擔心,因為每一組動態密碼只適用一次交易,因此,駭客無法透過被截取來的動態密碼進行交易。
此外,動態密碼不僅適用於B2C的網路銀行業務中,在企業B2B網站也能適用。以轉帳付款來說,A企業若要透過轉帳付款給B企業,通常必須經過內部3∼4關的流程審核,前面幾關是經辦、複核主管等,最後一關就是確定可以支付款項的財務主管或是更高階長官。在目前的運作模式中,為保障資料的安全性,通常在最後一關會設計PKI機制,而前面幾關則是使用固定式密碼,但現在的話可以用動態密碼來運作,提昇安全性。
另外,在文件的傳遞上也可以利用動態密碼。譬如以前企業要交付給銀行的文件資料,為了成本及時間問題,通常不會當天收到就當天送交銀行,而是先以傳真方式遞送副本代替,等到有去銀行時才遞交正本部份。以前,只能在文件上蓋章證明文件的真實性,但有了動態密碼後,可在文件內設置一動態密碼的欄位,並將動態密碼填入後再行傳真,而文件的受文者則可將該組動態密碼輸入至電腦中,驗證此份文件的真確性。
在銀行內部機器或是資訊系統上,也可以使用動態密碼,譬如進入機房時,可以採用輸入動態密碼的機制,或是以前銀行系統有問題時,資訊人員往往必須親自到銀行檢查,才能修復系統,但有了動態密碼後,因其具有一次有效的特性,因此,銀行業不必擔心資訊人員透過網路方式連結上銀行系統,會被駭客竊取密碼,進而破壞系統,而資訊人員在家就能檢查系統問題所在,省時又省力。
News from: DIGITIMES 企業IT-應用