《網(wǎng)絡(luò)竊密、監(jiān)聽和防泄密技術(shù)》第7章 基于“合法用戶惡意破壞”的攻擊竊密實(shí)戰(zhàn)

第7章基于“合法用戶惡意破壞”的攻擊竊密實(shí)戰(zhàn)7.1模擬目標(biāo)概況與分析7.2破壞內(nèi)網(wǎng)監(jiān)控、系統(tǒng)還原和審計(jì)機(jī)制7.3破壞邊界防護(hù)、身份認(rèn)證和物理隔離機(jī)制

7.1模擬目標(biāo)概況與分析

7.1.1模擬目標(biāo)概況

經(jīng)過多年信息化建設(shè)和設(shè)備更新?lián)Q代，目前某企業(yè)核心內(nèi)網(wǎng)共配置了數(shù)千臺(tái)微機(jī)和服務(wù)器等，根據(jù)承擔(dān)任務(wù)的不同，主要可分為以下三類：

(1)文檔處理：包括用于日常編寫、存儲(chǔ)、處理及交換的各類報(bào)告、文件、法規(guī)、計(jì)劃、圖像、報(bào)表等文檔類內(nèi)部信息的微機(jī)和服務(wù)器；

(2)業(yè)務(wù)自動(dòng)化：包括各業(yè)務(wù)部門運(yùn)行各種內(nèi)部應(yīng)用信息系統(tǒng)，如客戶管理系統(tǒng)、資源管理系統(tǒng)、財(cái)務(wù)管理系統(tǒng)等的工作微機(jī)和服務(wù)器；

(3)科學(xué)研究：包括由各部門購買的大型計(jì)算機(jī)、服務(wù)器、工作站和特種微機(jī)設(shè)備等，參與完成各類科研項(xiàng)目，涉及大型系統(tǒng)開發(fā)、系統(tǒng)仿真、科學(xué)計(jì)算、圖形圖像處理、虛擬場景、自動(dòng)控制等方面的研究任務(wù)，內(nèi)部的研究成果包括軟件源代碼、實(shí)驗(yàn)數(shù)據(jù)、圖形圖像、設(shè)計(jì)方案等。為確保網(wǎng)絡(luò)運(yùn)行安全并防止重要內(nèi)部信息泄露，根據(jù)規(guī)劃，內(nèi)網(wǎng)中部署了相應(yīng)的安全設(shè)備和軟件系統(tǒng)，主要可分為兩大類：

(1)網(wǎng)絡(luò)安全防御：主要采取實(shí)時(shí)被動(dòng)防御機(jī)制，包括基于802.1x的接入安全認(rèn)證系統(tǒng)、殺毒軟件、主機(jī)防火墻、網(wǎng)絡(luò)防火墻、網(wǎng)絡(luò)防病毒墻、漏洞掃描、管理和補(bǔ)丁分發(fā)系統(tǒng)、IDS、內(nèi)網(wǎng)安全監(jiān)控系統(tǒng)等，由網(wǎng)絡(luò)中心實(shí)施集中管理。

(2)數(shù)據(jù)安全防護(hù)：主要采取預(yù)防、控制、監(jiān)測與經(jīng)常性審計(jì)相結(jié)合的數(shù)據(jù)安全機(jī)制，包括部署于網(wǎng)絡(luò)邊界的內(nèi)容過濾墻、部署于終端的某國內(nèi)安全公司開發(fā)的主機(jī)數(shù)據(jù)安全系統(tǒng)和用戶行為監(jiān)察系統(tǒng)。安裝在終端上的兩套安全系統(tǒng)主要用于阻斷微機(jī)對外連接非法網(wǎng)絡(luò)，防止非授權(quán)存儲(chǔ)介質(zhì)私自拷貝資料和違反審計(jì)策略的操作行為，并實(shí)時(shí)偵測非法連接互聯(lián)網(wǎng)的行為。7.1.2目標(biāo)安全隱患分析和攻擊策略設(shè)計(jì)

假設(shè)該內(nèi)部攻擊者能夠獲取他所需要的大部分內(nèi)網(wǎng)情況資料，在此基礎(chǔ)上，他從網(wǎng)絡(luò)安全和內(nèi)部數(shù)據(jù)安全兩個(gè)角度分別進(jìn)行目標(biāo)安全隱患分析，分析的角度主要有以下五個(gè)方面：

(1)內(nèi)部網(wǎng)絡(luò)的基本架構(gòu)、網(wǎng)絡(luò)設(shè)計(jì)和數(shù)據(jù)分布情況；

(2)網(wǎng)絡(luò)安全防御的總體指導(dǎo)思想、應(yīng)用的技術(shù)和人員隊(duì)伍建設(shè)；

(3)各種網(wǎng)絡(luò)安全和數(shù)據(jù)安全系統(tǒng)之間的協(xié)同與配合情況；

(4)各種網(wǎng)絡(luò)安全、數(shù)據(jù)安全系統(tǒng)和監(jiān)察系統(tǒng)的實(shí)現(xiàn)原理和功能機(jī)制；

(5)各種網(wǎng)絡(luò)安全、數(shù)據(jù)安全系統(tǒng)和監(jiān)察系統(tǒng)的運(yùn)行平臺(tái)和生存性依賴。

(1)內(nèi)部信息分散存儲(chǔ)。內(nèi)部信息存儲(chǔ)位置不定，在操作終端存儲(chǔ)介質(zhì)、數(shù)據(jù)中心、服務(wù)器集群以及其他移動(dòng)存儲(chǔ)介質(zhì)中，都有可能因?yàn)闃I(yè)務(wù)流程等存儲(chǔ)大量不同密級的內(nèi)部

信息。

(2)在網(wǎng)絡(luò)策略未實(shí)施有效隔離的情況下，彼此信任的內(nèi)網(wǎng)單元之間，包括各終端、數(shù)據(jù)中心及服務(wù)器，可任意交換內(nèi)部信息，同時(shí)對信息流動(dòng)過程缺乏有效的監(jiān)督和控制機(jī)制。其次，對現(xiàn)有數(shù)據(jù)安全防護(hù)體系，包括各數(shù)據(jù)安全系統(tǒng)和相應(yīng)的管理、檢查制度進(jìn)行分析，發(fā)現(xiàn)其在技術(shù)上不夠先進(jìn)，在管控上力度有限，無法對內(nèi)部信息進(jìn)行有效保護(hù)。具體原因有：

(1)無法實(shí)現(xiàn)對“人”的強(qiáng)力管控，完全信任內(nèi)部人員，沒有針對“主動(dòng)竊密”和“被動(dòng)泄密”，以及“內(nèi)部人員泄密”和“外來人員竊密”的特點(diǎn)，采取不同的應(yīng)對措施，無法有效防止間諜滲透和內(nèi)部人員惡意泄密的行為。缺乏足夠數(shù)量的專業(yè)安全技術(shù)人員、只能實(shí)現(xiàn)“事后追查”，缺乏快速的事故發(fā)現(xiàn)和控制能力。對于因使用雙硬盤、多操作系統(tǒng)、PE光盤操作系統(tǒng)或硬盤偷竊等造成的主動(dòng)竊密問題無法解決。

(2)現(xiàn)有防護(hù)手段缺乏對病毒、惡意軟件的防御。用于內(nèi)部數(shù)據(jù)交換的認(rèn)證加密移動(dòng)存儲(chǔ)介質(zhì)已經(jīng)成為最常見的病毒傳播媒體，絕大多數(shù)內(nèi)部計(jì)算機(jī)不同程度地感染了各類病毒木馬，甚至包括外界不常見、殺毒軟件長期不能發(fā)現(xiàn)和處理的病毒。某國產(chǎn)殺毒軟件經(jīng)常被病毒強(qiáng)行關(guān)閉，必須頻繁重裝安全系統(tǒng)，導(dǎo)致審計(jì)信息丟失的情況屢屢發(fā)生。

(3)各類安全系統(tǒng)建立在不可靠的基礎(chǔ)上。國內(nèi)開發(fā)的軟件安全防御技術(shù)難以深入計(jì)算機(jī)系統(tǒng)底層，其自身安全性和防御性能一直無法保證?？傮w而言，目前該企業(yè)內(nèi)網(wǎng)數(shù)據(jù)安全存在的最大缺陷在于：終端能力過強(qiáng)，用戶權(quán)限過高，安全防御體系的實(shí)時(shí)監(jiān)測和控制能力受限。

基于以上分析，這里假設(shè)攻擊者是內(nèi)部人員或滲透間諜，已獲得合法用戶訪問權(quán)限。以惡意破壞安全防御系統(tǒng)為手段，實(shí)施主動(dòng)竊密的基本策略設(shè)計(jì)如下：

(1)功能性破壞：通過分析安全系統(tǒng)實(shí)現(xiàn)原理和功能機(jī)制，破壞其履行正常管理、監(jiān)測和監(jiān)察任務(wù)的環(huán)境，使其在正常運(yùn)行的情況下，無法對竊密行為實(shí)施有效監(jiān)測。

(2)生存性破壞：通過分析安全系統(tǒng)運(yùn)行平臺(tái)和生存性依賴，必要時(shí)對其本身進(jìn)行破壞，采用停止運(yùn)行、核心文件刪除、文件修改等手段，使其無法運(yùn)行。

7.2破壞內(nèi)網(wǎng)監(jiān)控、系統(tǒng)還原和審計(jì)機(jī)制

7.2.1破壞內(nèi)網(wǎng)監(jiān)控系統(tǒng)

常見的內(nèi)網(wǎng)監(jiān)控系統(tǒng)在中心控制臺(tái)的統(tǒng)一策略下，綜合運(yùn)用中間層驅(qū)動(dòng)、驅(qū)動(dòng)攔截、線程注入等技術(shù)手段，對內(nèi)部網(wǎng)絡(luò)計(jì)算機(jī)進(jìn)行實(shí)時(shí)監(jiān)控和審計(jì)。這類系統(tǒng)可有效防止內(nèi)部計(jì)算機(jī)隨意使用外設(shè)、非法撥號上網(wǎng)，防止外來計(jì)算機(jī)隨意接入內(nèi)部網(wǎng)絡(luò)等違規(guī)行為。軟件采用常規(guī)的方法無法卸載，進(jìn)程間互相監(jiān)控，安全模式下無法結(jié)束進(jìn)程；軟件安裝時(shí)注冊新的I/O驅(qū)動(dòng)，攔截了系統(tǒng)本身的驅(qū)動(dòng)，在用非常規(guī)方法強(qiáng)行刪除進(jìn)程及文件后，還是不能使用U盤、軟盤等外接存儲(chǔ)設(shè)備。如果強(qiáng)行刪除驅(qū)動(dòng)，則會(huì)導(dǎo)致系統(tǒng)崩潰。對于這類系統(tǒng)，其最大的危險(xiǎn)在于系統(tǒng)是建立在操作系統(tǒng)的基礎(chǔ)上，無法應(yīng)對內(nèi)部員工的故意破壞行為?？刹捎靡韵氯N方法進(jìn)行突破：

(1)如果主機(jī)支持光驅(qū)、USB啟動(dòng)，則可使用光盤、USB啟動(dòng)盤等啟動(dòng)第三方系統(tǒng)，如WindowsPE、袖珍版Linux等，繞開監(jiān)控系統(tǒng)拷貝文件。

(2)安裝虛擬機(jī)。因該類軟件的開發(fā)得到了微軟的直接支持，具有極高的系統(tǒng)權(quán)限，因此在虛擬機(jī)上進(jìn)行的任何操作都無法被監(jiān)控系統(tǒng)所阻斷。

(3)不刪除監(jiān)控系統(tǒng)文件，但可使用7.2.2節(jié)中的技巧，繞開對磁盤和文件系統(tǒng)的監(jiān)控，直接恢復(fù)未安裝系統(tǒng)前的注冊表信息，使其失能。7.2.2突破系統(tǒng)還原保護(hù)

為防止破壞后的監(jiān)控系統(tǒng)受到系統(tǒng)還原保護(hù)，還必須破壞可能存在的還原保護(hù)機(jī)制。

系統(tǒng)還原保護(hù)，一般通過加裝還原卡、還原軟件的形式實(shí)現(xiàn)，通常用于數(shù)量較多、使用模式較為統(tǒng)一的單位。因硬件還原卡成本較高，故常采用軟件還原的形式。

軟件還原基本原理是磁盤設(shè)備過濾驅(qū)動(dòng)。比較常用的方法是自建一個(gè)磁盤卷設(shè)備進(jìn)行文件過濾。過濾驅(qū)動(dòng)型還原系統(tǒng)會(huì)在磁盤上分配預(yù)留的區(qū)域，應(yīng)用程序調(diào)用系統(tǒng)API訪問磁盤的過程被截獲，實(shí)際上被轉(zhuǎn)移到一塊內(nèi)容區(qū)域中，真實(shí)磁盤沒有被寫入。

還原系統(tǒng)的脆弱性在于跟磁盤設(shè)備沒有緊密聯(lián)系，只要被攻擊者使用摘除或者繞過方法，使讀寫請求不經(jīng)過還原系統(tǒng)的物理驅(qū)動(dòng)，而是到了下層的物理磁盤設(shè)備，就可以把磁盤請求發(fā)送到真實(shí)磁盤上。具體可采用以下幾種方法：

(1)破壞操作系統(tǒng)過濾設(shè)備鏈。只要還原軟件不強(qiáng)行鎖定注冊表，就可將系統(tǒng)注冊表中的過濾設(shè)備域清零，導(dǎo)致還原系統(tǒng)設(shè)備被清除，所有請求就不通過還原系統(tǒng)而直接到達(dá)過濾磁盤設(shè)備。

(2)自建虛擬磁盤設(shè)備。將自建的虛擬子盤設(shè)備作為磁盤卷掛載到文件系統(tǒng)上，對虛擬磁盤的讀寫映射到真實(shí)磁盤，將請求下發(fā)到下層設(shè)備。這種方法不需要摘除磁盤系統(tǒng)，可通過文件對虛擬磁盤操作，操作結(jié)果與對真實(shí)磁盤操作是一樣的，可以成功穿透還原。

(3)不使用驅(qū)動(dòng)程序，直接在用戶模式穿透還原系統(tǒng)。磁盤系統(tǒng)提供一套PassThrough指令，不向磁盤發(fā)送直接請求，就可以獲取磁盤信息甚至直接讀寫磁盤扇區(qū)。IDE/SCSI/ATAPassThrough指令穿透還原，RING3下使用某函數(shù)發(fā)送請求。大多數(shù)還原系統(tǒng)對此過濾不嚴(yán)或根本未過濾，導(dǎo)致在RING3下即可達(dá)成攻擊。

(4)還原軟件建立在確定的操作系統(tǒng)上，使用其他操作系統(tǒng)引導(dǎo)，繞開原系統(tǒng)，即繞開了還原保護(hù)。其前提是該機(jī)器可使用光驅(qū)。7.2.3突破計(jì)算機(jī)取證系統(tǒng)

目前計(jì)算機(jī)取證系統(tǒng)所采取的方法，除本書第二部分將介紹的網(wǎng)絡(luò)監(jiān)聽技術(shù)外，一般采用主機(jī)監(jiān)控、磁盤數(shù)據(jù)恢復(fù)和分析技術(shù)，包括：

(1)對磁盤空間、未分配空間和自由空間中包含的信息的發(fā)掘技術(shù)；

(2)對交換文件、緩存文件、臨時(shí)文件中包含的信息的復(fù)原技術(shù)；

(3)計(jì)算機(jī)在某一特定時(shí)刻活動(dòng)內(nèi)存中的數(shù)據(jù)的搜集技術(shù)。其中，最常用的是磁盤數(shù)據(jù)恢復(fù)和分析技術(shù)，在磁盤特殊區(qū)域中提取相關(guān)數(shù)據(jù)。特殊區(qū)域至少包括下面兩類：

(1)未分配磁盤空間：目前沒有被使用，但可能包含先前的殘留數(shù)據(jù)。

(2)文件Slack空間：如果文件的長度不是簇長度的整數(shù)倍，那么分配給文件的最后一簇中，會(huì)有未被當(dāng)前文件使用的剩余空間，其中可能包含了先前文件遺留下來的信息，可能是有用的證據(jù)。

目前，計(jì)算機(jī)取證系統(tǒng)主要采取磁介質(zhì)信息恢復(fù)、提取和分析技術(shù)，主要存在以下漏洞：

(1)多格式存儲(chǔ)方式的復(fù)雜性。數(shù)字證據(jù)以計(jì)算機(jī)為載體，其實(shí)質(zhì)是以一定格式存儲(chǔ)在計(jì)算機(jī)的磁或光存儲(chǔ)介質(zhì)上的二進(jìn)制代碼，這些代碼在絕大多數(shù)情況下是不可直接分析的，由文件格式、編碼方式、保護(hù)方式等因素決定的“亂碼”，在恢復(fù)和還原的過程中需要大量的且通常難以獲得的輔助性信息。

(2)可破壞性。計(jì)算機(jī)技術(shù)已經(jīng)普及，可利用各種工具對潛在的數(shù)字證據(jù)進(jìn)行攔截、監(jiān)視、修改、擦除等操作。有時(shí)，由于計(jì)算機(jī)操作人員的誤操作或供電系統(tǒng)、通信網(wǎng)絡(luò)的故障等客觀原因，都會(huì)造成數(shù)字證據(jù)的不完整性。突破計(jì)算機(jī)取證系統(tǒng)的方法就是采用計(jì)算機(jī)反取證技術(shù)，即隱藏行為證據(jù)使取證工作無效。目前的反取證技術(shù)主要有數(shù)據(jù)擦除、數(shù)據(jù)隱藏、數(shù)據(jù)加密、行為隱藏等。

(1)數(shù)據(jù)擦除：用一些毫無意義的、隨機(jī)產(chǎn)生的“0”、“1”字符串序列來覆蓋所有可能的證據(jù)，包括索引節(jié)點(diǎn)、目錄文件和數(shù)據(jù)塊中的原始數(shù)據(jù)等，使取證調(diào)查人員無法獲取有用的信息。

(2)數(shù)據(jù)加密：用一定的加密算法對數(shù)據(jù)進(jìn)行加密，使明文變?yōu)槊芪摹?/p>

(3)數(shù)字隱藏技術(shù)：將暫時(shí)還不能被刪除的文件偽裝成其他類型或者將它們隱藏在一些其他非加密數(shù)據(jù)中，如圖像、聲音，甚至流媒體文件等，作為“載體”，對目標(biāo)進(jìn)行隱藏。也有人將數(shù)據(jù)文件隱藏在磁盤上的Slack空間、交換空間或者未分配空間中。

(4)虛擬機(jī)：將平時(shí)工作的操作系統(tǒng)建立在虛擬機(jī)上，所有行為痕跡均保存在虛擬機(jī)文件中，可隨時(shí)恢復(fù)到原始狀態(tài)和刪除。

(5)多系統(tǒng)/主系統(tǒng)旁路：使用其他操作系統(tǒng)，或者使用可引導(dǎo)載體在啟動(dòng)時(shí)繞過主操作系統(tǒng)，可使大部分的操作行為不保存在可能接受檢查的操作系統(tǒng)文件中。

7.3破壞邊界防護(hù)、身份認(rèn)證和物理隔離機(jī)制

7.3.1突破邊界防護(hù)

一直以來，安全防御理念局限在常規(guī)的網(wǎng)關(guān)級別、網(wǎng)絡(luò)邊界等方面的防御，重要的安全設(shè)施大致集中于機(jī)房和網(wǎng)絡(luò)入口處，在這些設(shè)備的嚴(yán)密監(jiān)控下，來自網(wǎng)絡(luò)外部的安全威脅大大減小。在不增加額外深度數(shù)據(jù)流分析模塊的情況下，典型的邊界防護(hù)手段—防火墻和IDS都是網(wǎng)絡(luò)層的設(shè)備，使得內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)或Internet互相隔離，并對非法的網(wǎng)絡(luò)層訪問行為加以識別和告警，以此來保護(hù)內(nèi)部網(wǎng)絡(luò)或主機(jī)。突破方法包括：

(1)內(nèi)部用戶私自構(gòu)建直接通往Internet的連接，如手持移動(dòng)設(shè)備上網(wǎng)、電話撥號等，繞過防火墻，造成內(nèi)外連通，再以這個(gè)內(nèi)部用戶的機(jī)器為跳板，發(fā)起繞過防火墻的不受限制的攻擊；

(2)通過社會(huì)工程學(xué)，欺騙和誘導(dǎo)內(nèi)部網(wǎng)絡(luò)用戶主動(dòng)下載外網(wǎng)的帶毒文件，打開帶木馬的郵件、帶木馬的URL等，由中木馬的機(jī)器主動(dòng)對攻擊者連接；

(3)大規(guī)模分布式多方法攻擊，癱瘓防火墻計(jì)算能力。7.3.2突破內(nèi)容監(jiān)控系統(tǒng)

為防止出現(xiàn)敏感內(nèi)容流出內(nèi)部網(wǎng)絡(luò)、在大型論壇上發(fā)布秘密和反動(dòng)言論等情況，不少關(guān)鍵網(wǎng)關(guān)串聯(lián)部署了內(nèi)容監(jiān)控系統(tǒng)，通過特征匹配等方式，直接攔截傳輸?shù)男畔?。?nèi)容安全監(jiān)控設(shè)備在使用中常存在以下問題：

(1)可用性低。內(nèi)容安全設(shè)備通常在專用服務(wù)器上實(shí)現(xiàn)安全檢查功能，采用通用操作系統(tǒng)，需要串接在網(wǎng)絡(luò)中，一旦內(nèi)容安全設(shè)備發(fā)生故障，就會(huì)造成所有網(wǎng)絡(luò)應(yīng)用和客戶的中斷，導(dǎo)致難以估計(jì)的損失。

(2)性能有限。內(nèi)容安全設(shè)備往往串接于網(wǎng)絡(luò)中，所有數(shù)據(jù)流量都需要依次流經(jīng)各個(gè)內(nèi)容安全設(shè)備，使設(shè)備處理的數(shù)據(jù)量非常大，在將內(nèi)容安全產(chǎn)品用于具有高速Internet連接的繁忙網(wǎng)絡(luò)時(shí)，常常嚴(yán)重影響網(wǎng)絡(luò)傳輸速度。

(3)擴(kuò)展性差。內(nèi)容安全系統(tǒng)隨著時(shí)間的增長和情況的需要而進(jìn)行關(guān)鍵字?jǐn)U展，增加新功能，增設(shè)新的內(nèi)容安全模塊等，串接設(shè)備越多，速度越慢，會(huì)導(dǎo)致后期擴(kuò)展難以實(shí)現(xiàn)。

(4)安全性差。內(nèi)容安全設(shè)備由于采用通用操作系統(tǒng)，可能使安全設(shè)備本身成為攻擊目標(biāo)。當(dāng)網(wǎng)絡(luò)中存在大量的拒絕服務(wù)攻擊或其他應(yīng)用級別的攻擊發(fā)生時(shí)，內(nèi)容安全設(shè)備也將因無法處理大量的數(shù)據(jù)包而造成網(wǎng)絡(luò)中斷。突破方法：

(1)組織大規(guī)模的信息傳輸行為，對網(wǎng)關(guān)造成巨大通信壓力。一方面造成系統(tǒng)監(jiān)控功能飽和，出現(xiàn)信息泄露；另一方面迫使其他用戶因?yàn)榫W(wǎng)絡(luò)速度緩慢而對管理部門造成巨大壓力，迫使其降低監(jiān)控級別甚至關(guān)閉監(jiān)控系統(tǒng)。

(2)對需要傳輸?shù)男畔⑦M(jìn)行加密、打包、內(nèi)容格式化或采用數(shù)字水印技術(shù)等，使其無法正確讀取和識別。7.3.3突破雙因素認(rèn)證

為了密鑰安全，一些對安全性要求較高的機(jī)構(gòu)和企業(yè)核心部門在認(rèn)證系統(tǒng)中采用了“雙因素認(rèn)證”，即不僅需要傳統(tǒng)的“用戶名?+?密碼”，還需要更多的驗(yàn)證手段，如智能卡、指紋識別等。雙因素認(rèn)證系統(tǒng)提供了一個(gè)額外的保護(hù)層，有助于減緩攻擊者的進(jìn)攻。但是，這個(gè)系統(tǒng)不能完全阻止入侵者。首先，如果不能通過技術(shù)手段直接攻擊對方的網(wǎng)絡(luò)，那么可以通過偷竊、間諜偽裝滲透、騙取和搶奪等社會(huì)工程學(xué)手段，非法獲得合法用戶的某一個(gè)雙因素憑證。例如，可以先通過技術(shù)手段獲取某用戶的ID和口令，然后再利用該用戶的心理弱點(diǎn)，騙取其智能卡或PIN碼，有很多方法可以提取嵌入在智能卡中的芯片的數(shù)據(jù)，還可以時(shí)刻監(jiān)視用戶的工作狀態(tài)，在用戶發(fā)生疏忽時(shí)，將其無意間留在辦公桌上的令牌偷走。此外，私鑰通常都是通過一個(gè)PIN碼來保護(hù)的，而PIN只是一些簡單的字符組合。如果密碼簡單，則使用暴力和猜測破解的方式來竊取；如果密碼復(fù)雜，則用戶可能會(huì)在某處記錄下來，可以根據(jù)其工作習(xí)慣等進(jìn)行偷竊。因此，如果PIN失密，并且因此而可以使用私鑰，則整個(gè)PKI就毫無安全可言。其提供的安全服務(wù)越全面，受到的損害就越大。其次，攻破雙因素認(rèn)證系統(tǒng)的另一種方法是中間人攻擊。這種攻擊利用在用戶的工作站和此認(rèn)證系統(tǒng)之間惡意建立的一個(gè)代理服務(wù)器，可以在代理服務(wù)器上實(shí)時(shí)捕捉通過這個(gè)代理服務(wù)器的全部證書。一旦捕捉到這種信息，這個(gè)黑客就可以重置靜態(tài)的用戶ID和口令，命令一個(gè)新的一次性口令并且接管這個(gè)賬號。攻擊者攻擊雙/多因素認(rèn)證系統(tǒng)可采取以下方式：

(1)從一個(gè)用戶的計(jì)算器或者杯子上提取指紋；

(2)采用可以模擬人類指紋的設(shè)備；

(3)對用戶聲音錄音；

(4)從照片上復(fù)制面部；

(5)當(dāng)生物信息被轉(zhuǎn)換成數(shù)字?jǐn)?shù)據(jù)后，如果傳輸過程中和存儲(chǔ)狀態(tài)下不進(jìn)行加密，那么分別進(jìn)行網(wǎng)絡(luò)監(jiān)聽和物理竊??；

(6)采用中間人攻擊威脅動(dòng)態(tài)密碼卡(智能卡)認(rèn)證系統(tǒng)，截取服務(wù)器和認(rèn)證系統(tǒng)之間的信息，盜取證書，然后使用證書重設(shè)用戶