Visa組織在2001年推出一個(gè)他們稱為3DS的安全協(xié)議，也就是3 Domain Secure的縮寫。試圖減少在網(wǎng)絡(luò)購(gòu)物時(shí)發(fā)生的信用卡詐騙事件。3DS比較被人所知的是各發(fā)卡組織實(shí)作系統(tǒng)時(shí)所用的名稱–“Visa驗(yàn)證(Verified by Visa)”，“MasterCard Secure Code”，“J/Secure”(JCB國(guó)際組織)和“SafeKey”(美國(guó)運(yùn)通)。問(wèn)題是，3DS其實(shí)并沒(méi)有任何屏障的效果，甚至對(duì)一般的詐騙者來(lái)說(shuō)也是，至少在我所測(cè)試的過(guò)程看來(lái)是這樣。
在Visa所發(fā)表的常見(jiàn)問(wèn)答集里提到：“Visa驗(yàn)證可以保護(hù)您的卡片，防止未經(jīng)授權(quán)的交易，讓您在網(wǎng)絡(luò)購(gòu)物時(shí)可以完全的放心”。但同時(shí)他們也在常見(jiàn)問(wèn)答集里提到“如果您忘記了密碼，可以很輕松的重設(shè)它”，這里就出現(xiàn)了問(wèn)題。接下來(lái)和我所測(cè)試的發(fā)卡組織所實(shí)作的方式有關(guān)，并不一定代表全部的3DS系統(tǒng)。
問(wèn)題出現(xiàn)在一個(gè)很基本的設(shè)計(jì)缺陷。如果你跟一個(gè)使用此系統(tǒng)的商家買東西，你在付款階段會(huì)被導(dǎo)到 3DS 驗(yàn)證頁(yè)面。你在這個(gè)頁(yè)面確認(rèn)交易細(xì)節(jié)，輸入密碼。然后就跟變魔術(shù)一樣，交易完成了。到目前為止都還好，商家看不到我的密碼，也就無(wú)法利用我的數(shù)據(jù)來(lái)完成任何交易，我被保護(hù)的好好的，但是…
犯罪份子會(huì)怎么做呢？如果他們有了你的信用卡，卻沒(méi)有你的密碼？當(dāng)然了，還有一個(gè)方便的“我忘記我的密碼”鏈接。讓我們來(lái)看看這是怎樣的良好保護(hù)。
密碼重設(shè)的第一步是輸入你的卡號(hào)，顯然是要確保你是替正確的賬號(hào)重設(shè)密碼。一旦將卡號(hào)輸入系統(tǒng)，現(xiàn)在需要提供一些數(shù)據(jù)來(lái)確認(rèn)你是合法的賬號(hào)擁有者。
噢，不好，這看起來(lái)一點(diǎn)也不好！用來(lái)驗(yàn)證我的身分的四項(xiàng)信息中的三項(xiàng)都包含在信用卡本身，浮刻或壓印在信用卡上。犯罪份子不是已經(jīng)有這些信息了嗎？還有什么呢？有一個(gè)信息是不包含在卡片上的。問(wèn)題是，這是一個(gè)已經(jīng)在社交網(wǎng)絡(luò)、問(wèn)卷調(diào)查、注冊(cè)窗口還有許多其他地方被廣為分享的信息，也是能自由被公開(kāi)取得的信息。我們不能也不該認(rèn)為我們的出生日期是一個(gè)秘密。
輸入了所需的信息后，剩下的就是輸入一個(gè)自選的新密碼，然后你的交易也就被授權(quán)了。更糟的是，沒(méi)有電子郵件通知提醒持卡人他們的賬號(hào)已經(jīng)被訪問(wèn)或修改。持卡人將永遠(yuǎn)也不會(huì)發(fā)現(xiàn)，直到他們檢查自己的狀態(tài)。
所以該如何改善呢？這里沒(méi)有什么新奇或令人驚嘆的建議，只是有一些基本的步驟需要被加到流程里。
在注冊(cè)系統(tǒng)時(shí)，持卡人應(yīng)該被要求建立一個(gè)“秘密問(wèn)題”以作為密碼重設(shè)的驗(yàn)證依據(jù)，不該只是簡(jiǎn)單的出現(xiàn)密碼重設(shè)畫(huà)面，而是將一次性的密碼重設(shè)網(wǎng)址發(fā)送到注冊(cè)時(shí)登記的電子郵件地址。而且無(wú)論是要求更改賬號(hào)內(nèi)容或是更改成功，都應(yīng)該發(fā)送電子郵件進(jìn)行通知。
哦，還有一件事，如果可以在密碼中使用特殊字符就真的太棒了，拜托了。
