阻止网上银行网络钓鱼的最佳方法是什么？

Question

网络钓鱼是我们面临的一个非常严重的问题.但是,银行是最大的目标.银行可以使用哪些方法来保护自己免受网络钓鱼攻击？应该用什么方法来保护自己.为什么它会阻止攻击？

Answer 1

网络钓鱼通常通过将消费者引导到网站的抽取版本来工作.一种开始变得更常见的方法是动态网站,其中在输入用户名之后和输入密码之前,银行网站显示消费者选择的一些图像或短语,我将其称为计数器密码.实质上,不仅消费者必须提供有效的密码,银行也是如此.相互认证.

网络钓鱼站点无法在不查询银行的情况下显示正确的计数器密码,这使银行有机会检测,混淆和起诉代理.

这可以通过使用带外通信信道来增强.如果发出请求的IP地址(可能是代理,可能通过洋葱路由)不是消费者之前登录过的,则向消费者发送一条带有一次性代码的短信,他们必须在柜台前另外使用密码显示并启用登录.

其他方法是浏览器缓存正确的服务器证书,并告诉消费者何时访问没有缓存证书的站点,从而警告消费者这不是他们以前使用的熟悉站点.

Answer 2

防止网络钓鱼攻击的最佳方法应该依赖于不需要用户了解问题的技术手段。目标受众总是足够大，可以找到被愚弄的人。

防止攻击的一个好方法是使用一种身份验证机制，该机制不依赖于攻击者可以窃取的简单密码或交易身份验证号 ( TAN )。

现有方法例如使用动态 TAN（索引 TAN 或iTAN），或通过 SMS 在单独通道上提交的 TAN（移动 TAN 或mTAN），或者 - 最安全并且还可以防止实时中间人攻击 -要求用户签署每笔交易，例如使用DigiPass或智能卡。

之所以没有广泛实施，可能是因为银行支付网络钓鱼攻击造成的损失仍然比投资安全更具成本效益。