我一直在研究中间人攻击,其中有些事情让我感到担忧。
从WIKI中:
使用强身份验证工具只会在客户和银行之间产生了一个错误的信任级别,即交易是安全的。
在对抗MitB攻击中最有效的方法之一是通过带外(OOB)交易验证过程。这通过在浏览器之外的通道上将主机(银行)接收到的交易细节验证给用户(客户)来克服MitB木马。
所以我理解的是,唯一真正安全的方法是非浏览器确认方法。(比如电话或其他外部工具)
电子邮件是否算作带外交易?或者MitB可以发送虚假电子邮件吗?
有没有仅凭代码就可以防止MitB攻击的方法?
编辑:我之所以问这个问题,是因为我们当地的银行系统采用了一种物理密钥生成系统,您必须按下一个按钮以获得一个数字,然后将该数字输入到交易表单中的字段中。
我不知道这是否安全,因为它看起来像是MitB攻击只是让一切看起来都是安全和正确的,但实际上发生的是提交时表单数据已被更改,并且现在正在转移到其他银行账户。因此,它会访问此密钥生成器号码。