说实在的，银行有必要搞基于 ActiveX 或者 NPAPI 的安全密码控件吗？

[tony1016]

刚入安全团队不久，也可能正是因为不久，所以才会停下来思考这个问题：是否有必要？？银行做这些安全控件，目的都是防止键盘窃听。但是，为了做到这一点，就需要为各个浏览器量身定做，也就造成了对于各平台各浏览器支持不全的遗憾。但是我在想：

• 1.图形密码键盘，实际上已经可以解决键盘窃听了，且其通用性极好，虽然看似比控件安全程度低，但是真的低多少呢？
• 2.Google ， Paypal 等厂商，难道就不怕键盘窃听吗？
• 3.现在的银行，也基本都有二次验证了（短信密码），也可以增强安全性啊？

不知道做过安全的，或者做过调查的，有多少人的密码失窃，是因为键盘被窃听呢？

[yeyeye]

近些年都很少关注 不过以前盗号都是键盘记录的 图形密码键盘就安全了？记录你点击的范围，顺便截图，完全可以自动化识别嘛！（除非你的图形键盘做得跟验证码一样变态，就没办法自动识别啦，但是也可以记录下来人工识别啊）

除非你能做出一个防止截图的图形键盘，那还是可以考虑的，慢着！网页端又如何有权限去建造一个这样的图形键盘呢？结果又回到老话题， ActiveX,NPAPI,PPAPI ……

而且图形键盘还有另一个问题，就是别人在你身旁的时候，你输入密码很容易被记下来（除非对方自觉转头……），因为现在的密码都不准长密码了！

除了防止键盘记录，还有一个是加密算法，防止被窃听真实密码和算法（如果只是 web 端，总是有办法为伪造的，就算 SSL ，还可以注入 CA 证书不是么……除非指定证书链……[那就只能用外挂的方式注入浏览器了]）

现在的网银类支付类都是 HTTPS 的，劫持是不可能的，那不就只能走键盘记录，浏览器插件把你的密码转发出去或类似的方法。

所以安全控件其实是不错的（比如我用招商的，连各类远程桌面软件都没办法输入，一下子安全感倍增）

[powergx]

有权限记录你的键盘，没法给你加一个 ca ？

[RqPS6rhmP3Nyn3Tm]

前几天买 ConoHa ，招商的 Verified by Visa 网关用的还是 IE Only 的控件，支付还得开个虚拟机。
招行的自有的支付网关还是不错的，不知道为什么 VbV 这么烂。

[mgcnrx11]

联想到的：为什么防止键盘窃听不直接做在浏览器内，作为默认开启功能，针对所有 input 类型是 password 的输入框开启？

[sobigfish]

前端时间刚看了个，银联的， https://merchant.unionpay.com
OS X 下的 控件，发现了在表单里有个 hidden 的 input
他们所谓的安全控件就是提交时把控件的内容复制到 hidden 的那个 input 里...
W.T.FFFFFF!

[tony1016]

@yeyeye 图形键盘也可以做到每次重排位置的，所以截图分析位置，就可以防御了

[tony1016]

@powergx ca 倒是没关系，因为银行在密码数据上，除了依靠 SSL 外，还有单独的点对点加密

[est]

没有必要。但是领导觉得有必要。你坳得过领导吗？

“小李啊，隔壁银行都支持什么 active 叉，我们也要支持。”

[tony1016]

@mgcnrx11 还是有开源内核的 chrominum 。这本身属于浏览器实现问题。

[tony1016]

@sobigfish 应该没那么怂吧。应该是把加密完的数据回填 hidden 域

[tony1016]

@est 如果是领导，他就不知道这个东西叫 active 叉，他会说：“浏览器插件……”，云云

[caoyue]

没必要，但是客户有（看起来）安全的心理需要……

[iyaozhen]

记得看过一篇文章，一部分原因是需要做双向验证。网站的 HTTPS 化只能解决用户识别网站正确性的需求，无法解决服务端验证客户端身份的需求。

好像知乎上还有一个问题，“为什么招商银行的掌上生活 APP 比别的银行都做的好？” 有当事人 PM 回答过，答案里面就由一些安全问题和用户便捷性的博弈。

[shiji]

@iyaozhen 纯粹的双向验证只要在本地安装一个证书就可以了。 升级一点就把证书放在 U 盾里，这些都不需要插件支持

[yeyeye]

@tony1016 难道你可以动态换位置 我就不能识别嘛 我已经说得很清楚了 换位置也是可以识别出来的啊 找图找色技术也是很成熟的技术啊 找个坐标不要太容易了！

[tony1016]

@yeyeye 我同意你的说法，安全本身就是个相对的概念。只是某个黑客是否有必要这么做，对于一般人，钓鱼可能比这个来的容易

[yeyeye]

@tony1016 安全是相对的 但是多做一些措施 会更加安全 就比如说有一群人觉得杀毒软件没必要 然后你会发现过段时间就有人来 V2EX 问 怎样消毒（杀毒） 这还是裸奔后知道中毒了 不知道的中毒一万年都不知道

[julor]

干嘛要密码？以前中行有个 60 秒随机密码。我觉得这挺好的！支付时候用短信等确认！最重要的是尽快对接手机支付！

[czb]

大通银行这些就没
chase.com

[lshero]

U 盾需要驱动和插件的尤其是中国特色的交互 U 盾,液晶屏上显示交易信息,防止浏览器前端交易信息被篡改,需要用户按一下授权,防止远程控制之类的场景