logo标签列表

银行如何记住“你的计算机”？

httpsonlinebankingsessiontracking
24

如你所知，现在许多在线银行都有一个安全系统，在输入密码之前会要求回答一些个人问题。一旦回答正确，你可以选择让银行“记住这台电脑”的选项，以便于日后登录只需输入密码。

“记住这台电脑”的功能是如何工作的呢？它不可能是通过Cookie实现的，因为即使我清除所有Cookie，该功能仍然有效。我曾认为它可能是根据IP地址，但我的动态IP朋友声称该功能对他也适用（但他可能错了）。他认为它是MAC地址或其他类似东西，但我强烈怀疑！那么，是否有https-only cookies这样的概念，我没清除过？

最后，关于编程部分的问题：我如何在PHP中实现类似的功能呢？

10个回答
20

实际上，他们很可能使用 cookies。对于他们而言，另一种选择是使用“Flash Cookies”（官方称为“本地共享对象”）。它们类似于 cookies，因为它们与网站绑定并有一个最大容量限制，但是它们由 Flash 播放器维护，因此不可见于任何浏览器工具。

要清除它们（并测试此理论），您可以使用 Adobe 提供的说明。另一个巧妙（或者根据您的观点，可能是令人担忧的）的特性是 LSO 存储由所有浏览器共享，因此使用 LSO 您可以识别用户，即使他们更换了浏览器（只要他们以相同的用户登录）。

6

我感兴趣的银行是美国银行。

我确认，如果我只清除了我的cookies或LSOs，该网站不需要我重新输入信息。但是，如果我清除了两者，我需要进行额外的身份验证。因此，在我的情况下，这似乎是答案！

但是，感谢大家提醒其他银行和可能性，例如包括用户代理字符串。

5
这种会话跟踪很可能是使用一个带有唯一标识当前会话的cookie和网站将该ID与您连接到其服务器时使用的上一个IP地址配对来完成的。这样，如果IP地址发生更改，但您仍然有该cookie，您就可以被识别并登录; 如果cookie不存在，但是您具有与在服务器上保存的相同IP地址，则他们将设置与该IP地址配对的ID的cookie。
实际上，确切的第二种情况才是难以正确处理的。如果缺少cookie，并且只有IP地址用于身份验证，那么仅依靠它来登录某人是非常不安全的。因此，服务器可能会存储关于您的其他信息，LSO似乎是一个不错的选择，地理位置IP也是如此，但是用户代理则不是，因为它们并不能真正说明您的信息，每个使用与您相同浏览器版本的人都有相同的用户代理。
另外，上面提到过它可以使用MAC地址。我强烈反对！您的MAC地址永远不会到达银行的服务器，因为它们仅用于标识以太网连接的两端，并且要连接到银行，您需要进行一系列的以太网连接：从计算机到家庭路由器或ISP，然后从那里到您经过的第一个互联网路由器，然后到第二个等等...每次建立新连接时，每台机器上的每一侧都会提供自己的MAC地址。因此，您的MAC地址只能被直接通过交换机或集线器连接到您的机器的机器所知道，因为任何路由您数据包的其他设备都会用它们自己的MAC替换您的MAC地址。只有IP地址在整个过程中保持不变。 如果MAC地址一路走来，那将是一个隐私噩梦，因为所有MAC地址都是唯一的，并且属于单个设备，因此属于单个人。
这只是一个稍微简化的解释，因为这不是问题的重点，但它似乎有助于澄清可能存在的误解。
1

这可能是cookie和IP地址记录的组合。

编辑：我刚刚检查了我的银行账户并清除了cookie。现在我必须重新输入所有信息。

1

我认为这取决于银行。我的银行确实使用了cookie，因为当我清除cookie时就会失去它。

1

Flash文件可以在您的计算机上存储少量数据。银行也可能使用这种方法来“记住”您的计算机，但依赖用户是否拥有（并未禁用）Flash是有风险的。

1

我的银行网站每次Firefox有新版本时都要重新验证身份，因此肯定有一些用户代理字符串组件。

0
你在使用笔记本电脑吗？如果你从不同的WiFi网络访问，删除了cookies后它是否还能记住你？如果是这样，IP/物理位置映射就极不可能了。
0

根据所有这些帖子，我得出的结论是（1）它取决于银行，（2）可能涉及多个数据片段，但请参见（1）。

-1
MAC地址是可能的。
将IP映射到物理位置也是可能的。
用户代理和其他HTTP头对每台机器来说都是独特的。
我在考虑那些阻止你使用加速下载管理器的网站。一定有办法。
2
错误，MAC地址在第二层，它们只能访问第三层或更高层。 - Nils
网页内容由stack overflow 提供, 点击上面的
可以查看英文原文，
原文链接