金融安全资讯精选 2018年第二期:正确区分ICO与区块链,加快区块链金融技术化工作,Intel CEO回应“漏洞门”,Gartner视角看安全与风险管理,八招应对短信验证码攻击

简介: 正确区分ICO与区块链,加快区块链金融技术化工作,Intel CEO回应“漏洞门”,Gartner视角看安全与风险管理,八招应对短信验证码攻击
54ec4a3d3e7777032035de0b46e35102993813df




概要:CFT50高级学术顾问、全国人大财经委委员、中国互联网金融协会区块链工作组组长、中国银行原行长李礼辉发表主旨演讲时指出,金融不再只是二维的平面世界,而是可以折叠的三维空间。金融制度创新应完善大数据应用的制度环境,建立统一共享的大信用系统,制定常态户数字金融审慎监管制度,最终实现穿透式监管。

他指出:应正确区分ICO与区块链,加快区块链金融技术化工作。ICO涉嫌非法集资,理应禁止;区块链采用共识算法,加密算法和智能合约等全新的底层核心技术,可以用于构建信任链接器。已经开始在系统领域并在参与方场景中表现出突出的技术优势,应加快区块链金融技术标准化工作,研发区块链金融技术国家标准,建立区块链金融技术审核和验证体系。”李礼辉表示。(来源:金融科技研究)


点评:比特币飞涨的价格加速了区块链技术的快速成熟和应用,但在比特币行业区块链并没有为币友带来绝对安全,撞库、盗币、洗钱都在威胁着经营者的生命安全,因为丢币导致的交易所倒闭时有发生。完善安全措施和风控手段已经是各个平台都在考虑的问题了。


【金融行业安全动态】Gartner视角看安全与风险管理


概要:在过去的一年里,Gartner指出在安全与风险管理领域的关键发现: 

1、随着数字化转型的持续升温,错综复杂的生态系统是数字业务不可缺的部分,而与其相关的安全风险将倍受关注。

2、回顾过往一年,全球领先的企业由于遭受恶意的网络攻击造成的损失达到3亿美元。

3、越来越多的安全技术转向了云计算,不管是订阅模式还是按需付费模式,企业将会有更多种方式来评估安全技术,缩短复杂的RFP流程

4、网络安全资格审查在市场整合并购环节中非常重要,但需要对行业、资产价值、监管环境以及交易金额等方面进行综合评判。(来源:互联网安全内参)



【金融行业安全动态】Intel CEO回应“漏洞门”:未发现隐患被用来获取用户数据


概要:英特尔CEO Brian Krzanich在美国时间星期一举行的2018年国际消费电子展(CES)中发表主题演讲,回应近期的“漏洞门”事件。他表示Intel将在本周内发布更新,预计将覆盖过去5年内推出的90%以上的产品,而针对其它产品的更新将在今年一月底前发布。他表示,这些安全更新对性能的影响在很大程度上取决于具体的工作负载。


同时,Krzanich谈到,“到目前为止,我们还没有发现任何利用这些潜在隐患问题来获取用户数据的情况。我们正夜以继日地努力解决这些问题,以确保用户数据的安全。确保最佳做法就是当操作系统提供商和系统制造商发布任何更新,您就立即采纳这些更新。” (来源:Engadget)


【云上视角】阿里云安全专家:八招应对短信验证码攻击


概要:如今,大量的网站、网站、手机app都在使用短信验证码作为验证用户身份的安全技术措施。尤其在年底,企业的促销、抽奖、互动活动会迎来一个高峰期,用到短信验证码的场景非常频繁。但近期,阿里云·云盾WAF团队监测到,不少用户业务的短信验证码功能被攻击,短信接口被恶意利用,导致业务无法正常访问。同时,被刷的短信成本也直接造成一定量的资金损失。


点评:了解了风险之后,企业也不必过度担心,以下“指南”,可帮助了解如何防范短信验证码背后的安全风险。

1.手机号码逻辑检测

在手机号码窗口增加号码有效性检测,防止恶意攻击者使用无效或非法的号码,从而在第一窗口屏蔽非手机号的乱码等无效数字。

2.随机校验

在注册页添加个隐藏的<input>,设置保存在session中的随机验证码,发短信前验证一下,保证发验证码短信请求是在业务页面点击。

3.增加友好的图形验证码

即当用户进行“获取动态短信” 操作前,弹出图片验证码,要求用户输入验证码后,服务器端再发送动态短信到用户手机上,该方法可有效缓解短信轰炸问题。

由于当前验证码在攻防对抗中逐步被成功自动化识别破解,我们在选用安全的图形验证码也需要满足一定的防护要求。

4.同号码短信发送频率限制

采用限制重复发送动态短信的间隔时长, 即当单个用户请求发送一次动态短信之后,服务器端限制只有在一定时长之后(此处一般为60-120秒),才能进行第二次动态短信请求。该功能可进一步保障用户体验,并避免包含手工攻击恶 意发送垃圾验证短信。

5.不同号码请求数量限制

根据业务特点,针对不同手机号码、不同访问源IP访问请求进行频率限制,防止高并发非法请求消耗更多的短信包和服务器性能,提高业务稳定性。

6.场景流程限定

将手机短信验证和用户名密码设置分成两个步骤,用户在填写和校验有效的用户名密码后,下一步才进行手机短信验证,并且需要在获取第一步成功的回执之后才可进行校验。

7.启用https协议

为网站配置证书,启用https加密协议,防止传输明文数据被分析。

8.单IP请求限定

使用了图片验证码后,能防止攻击者有效进行“动态短信”功能的自动化调用。但若攻击者忽略图片验证码验证错误的情况,大量执行请求会给服务器带来额外负担,影响业务使用。建议在服务器端限制单个 IP 在单位时间内的请求次数,一旦用户请求次数(包括失败请求次数)超出设定的阈值,则暂停对该 IP 一段时间的请求。


若情节特别严重,可以将 IP 加入黑名单,禁止该 IP 的访问请求。该措施能限制一个 IP 地址的大量请求,避免攻击者通过同一个 IP 对大量用户进行攻击,增加了攻击难度,保障了业务的正常开展。



订阅 NEWS FROM THE LAB


一键订阅刊物

云栖社区专栏获取最新资讯

微博专栏获取最新资讯

一点号获取最新资讯


029307c2bf99a126e3c7d4b050286cfed9f71a06


扫码参与全球安全资讯精选

读者调研反馈 

目录
相关文章
|
25天前
|
存储 人工智能 供应链
区块链技术在金融领域的应用与挑战
区块链技术在金融领域的应用与挑战
69 0
|
4月前
|
安全 物联网 网络安全
网络安全的屏障与密钥:揭秘网络漏洞、加密技术与安全意识的重要性新技术趋势与应用:区块链、物联网与虚拟现实的未来展望
【8月更文挑战第27天】在数字时代的浪潮中,网络安全成为了我们不可忽视的话题。本文将深入浅出地探讨网络安全中的漏洞问题、加密技术的应用及其重要性,以及提升个人和组织的安全意识的必要性。通过分析常见的网络攻击手段和防御策略,我们将了解到保护信息资产的紧迫性,并掌握一些基础的防护措施。文章还将分享几个实用的代码示例,帮助读者更好地理解加密技术在实际应用中的作用。
|
4月前
|
安全 物联网 区块链
未来已来:探索区块链、物联网与虚拟现实的融合趋势网络安全与信息安全:关于网络安全漏洞、加密技术、安全意识等方面的知识分享
【8月更文挑战第30天】本文将带领读者穿梭于新兴技术如区块链、物联网(IoT)和虚拟现实(VR)的发展浪潮之中,揭示这些技术如何相互交织,共同塑造我们的未来。我们将从技术的基本原理出发,逐步深入到它们的应用场景,并探讨它们如何在未来形成一股不可逆转的融合趋势。通过深入浅出的分析,本文旨在为读者提供一个关于这些技术发展趋势的全景视图,同时激发思考它们将如何影响我们的生活和工作方式。
|
4月前
|
安全 物联网 网络安全
网络安全与信息安全:关于网络安全漏洞、加密技术、安全意识等方面的知识分享未来技术浪潮中的领航者:区块链、物联网与虚拟现实
【8月更文挑战第30天】在数字化时代,网络安全和信息安全已成为我们生活中不可或缺的一部分。本文将介绍网络安全漏洞、加密技术和安全意识等方面的知识,帮助读者更好地了解网络安全的重要性,并提供一些实用的技巧和建议来保护个人信息和数据安全。
|
5月前
|
供应链 监控 区块链
探索区块链技术在金融领域的革命性应用
区块链技术,这一最初作为比特币底层技术的概念,已迅速渗透到金融领域,引发了一系列创新和变革。本文将深入探讨区块链如何重塑金融服务,包括支付系统、资产管理和供应链金融等各个方面。我们将通过具体实例,揭示区块链技术如何提高交易透明度、降低成本并增强安全性,从而为金融行业带来前所未有的效率和信任。 【7月更文挑战第27天】
97 8
|
4月前
|
供应链 区块链 数据安全/隐私保护
构建未来的桥梁:区块链技术在现代金融中的应用
【8月更文挑战第16天】区块链技术,这一去中心化的数字账本技术,正逐渐渗透到金融领域的每一个角落。从提高交易透明度、降低操作成本到促进金融包容性,区块链正在重塑金融行业的未来。本文将探讨区块链技术如何在现代金融中发挥作用,以及它如何为金融服务的未来发展铺平道路。
|
4月前
|
安全 区块链 Python
元宇宙中的金融新纪元:区块链与虚拟经济的融合
【8月更文第8天】随着元宇宙概念的兴起,金融行业正在探索如何利用这项新兴技术来创新服务和产品。区块链技术因其去中心化、不可篡改的特点,在元宇宙中构建可信的金融体系中发挥着关键作用。本文将探讨区块链如何支持元宇宙中的虚拟经济,并通过一个简单的示例来展示基于区块链的交易机制。
195 0
|
4月前
|
供应链 安全 区块链
探索区块链技术在金融领域的革新之路
随着科技的迅猛发展,区块链技术已从最初的加密货币基础架构逐渐渗透至各个行业领域。本文将通过案例和数据分析深入探讨区块链在金融行业中的实际应用及其带来的变革,旨在为读者揭示这一技术如何重塑金融生态,并预测其未来的发展方向。
61 0
|
6月前
|
安全 算法 定位技术
[Solidity][区块链安全入门]Solidity语言关于密码学知识的运用以及存在漏洞
密码学在区块链中扮演关键角色,确保机密性、完整性、身份认证和不可否认性。对称密钥加密用于快速加密,但不支持不可否认性。非对称加密(如RSA)解决了这一问题,每个用户拥有公钥和私钥。散列函数(如SHA-1、SHA-2)用于数字签名,保证信息来源和完整性。同态加密允许在不解密情况下处理加密数据,增强隐私保护。零知识证明则能验证信息正确性而不泄露额外信息,如ZCash使用该技术隐藏交易详情。环签名技术(如在门罗币中)隐藏签名者身份。区块链隐私保护措施包括混币技术,旨在混淆交易路径。网络和应用层面上也存在隐私挑战,需要综合策略来防御。
|
6月前
|
安全 区块链 数据安全/隐私保护
探索区块链技术在金融领域的创新应用
【6月更文挑战第23天】本文旨在深入探讨区块链技术如何革新传统金融行业,从理论到实践案例,全面分析其在提高交易效率、降低成本、增强安全性等方面的潜力与挑战。文章将重点介绍智能合约、去中心化金融(DeFi)以及跨境支付等应用,并讨论实施这些技术时所面临的法律和监管障碍。
195 5