CAPA-12306线上技术研讨会-会议速录

发表于 2016-11-10 13:33:19   阅读量(0)


吴英桦:实际解决办法已有,国际国内都一致,且无障碍的要求已写入标准。国际标准里要求可以被盲人使用、能够识别图片验证码,中国标准有更好的鼓励条款:无论什么方法、软件只要可以让盲人进入,就算是无障碍。如果能用语音验证码等方法、就可以给予更高等级的肯定、符合二级标准。国内外的意见都是行业的意见,问题在于12306不同意行业的观点,如何让他同意?

 

元则:是说语音验证码的方式,12306觉得安全级别不够吗?

 

吴英桦:不是的,他们连最简单的短信验证都没有,还没有到语音那一级别,那个要求网站做的更多一些。

 

元则:那是不认可方案,还是没来得及做?

 

吴英桦:他们就认为现在用图片验证码已经可以了,盲人用不了不是他们的问题。

 

渠忱:语音验证是否可以满足防范黄牛的需要?

 

吴英桦:基本要求是任何方法能让盲人登陆进去就可以视为无障碍。但现在只有唯一方式:图片验证,没有替代的让盲人进入的方法。

 

渠忱:那如果在原有的图片验证的基础上改进有没有什么好的办法?

 

Allen:图片改进没有意义,读屏软件能读,黄牛就能读。黄牛能读就可以用抢票软件抢。那12306他们肯定接受不了。

 

黄希彤:是的,所有的验证码方案都不可能通过读屏来解决的。

 

温和:想了一系列方案:他们的验证码采用腾讯云提供的验证码挺好的,安全也可以达标,腾讯云给他一套完整的解决方案。除图片的验证码之外,把语音和电话的验证码接入,加上白名单的配合进来是否可以?

 

黄希彤:12306验证码有独立的供应商(点触科技)提供解决方案,不会轻易更换供应商。白名单的问题,以前腾讯曾经尝试过,由残联提供盲人的账号给我们,印象中拿到了20万左右的名单,但本身残联名单的覆盖度有限、不够全、更新不够及时,只能解决部分问题,可以做备选方案之一。电话回拨(输入手机号,12306回拨电话告知验证码,本质上依赖于电话本身的实名制。淘宝以前做过效果不错)的方案也是我建议的方案之一。今天要讨论的就是他们的担忧,我们提供的方案能否解决他们的担忧,我们内部先讨论一些可行的方案,听取各方意见,来决定我们跟12306聊的时候提供什么样的方案。

 

元则:我觉得这几种方案的安全性针对抢票软件都是有保障的,只是工作接入的问题。

 

吴英桦:我觉得刚才黄总的意见特别重要,验证码是点触独家提供的,那么刚才说的白名单相对可行,不会影响到他们的供应商,推行阻力相对低。

 

黄希彤:是的,那就要看残联确认他们是否能够提供白名单,以及覆盖度如何,后面就白名单可以再单独讨论。

 

徐朋:能详细说一下白名单如何操作吗?

 

黄希彤:以前是残联把他们掌握的视障人群的账号打包给我们,我们导入数据库,系统就可以自动识别出盲人便可以不给他弹出验证码,但对于安全性有降低,如果别人知道了这些号码、直接攻击号码的话是不会被验证码保护的。

 

元则:嗯这个肯定不行的,可以是检测到是无障碍方式开启的时候,就把它切换成电话语音验证,正常人还是图片验证。

 

吴英桦:今天正好技术专家都在,我有个问题:比如我现在用招行的u盾,并不需要验证码,直接用u 盾密码。那是否可以用这种方式,比如残联给障碍人士发放u盾。

 

元则:u盾的成本有点高吧?

 

黄希彤:成本是一回事,u盾依赖于需要有银行的客户端,用手机或网站是没法用的。

 

温和:而且u盾的本质上就是白名单,那不如直接提供信息到白名单,可能成本更低。

 

黄希彤:u盾是另一种形式,不一定只面对盲人,所有人用u盾都可以免验证码。谁需要谁申请购买设备。但这样铁总就面临需要开发一个客户端而不是只优化。工作量需要单独评估,但至少是另一个项目了,而不是现有的。

 

渠忱:u盾不是一个最佳方案,我们有时候用u盾的时候还有有问题的时候,可能会造成更多的问题。所以目前听上去最可行的还是电话回拨的方法。

 

徐朋:我也咨询了我们总部的专家,他们推荐的也是正常人用图片验证,给残障人士开通短信和电话回拨两种方式。我问了一下联通那边的成本,12306的量的话

短信成本:0.03-0.04/条,成本不是特别高。电话的成本还没有联系到对接人来询问。

 

吴英桦:那短信或电话回拨是否需要12306的公司做改造或者配合?

 

元则:如果点触只开发验证码,那回拨可以找另外一个公司做。

 

黄希彤:其实就相当于开通一个入口,交给联通移动电信之类的。

 

徐朋:能防黄牛吗?破解难度是否高于图片验证码?

 

元则:破解成本肯定会更高。

 

黄希彤:他需要实名,看我们是否结合白名单。现在电话都实名制,目前的系统是没有结合实名制的手机。看实名做到哪一步,如果实名到手机,攻击成本就很高。如果实名到残联认证的或其他方式认证的残障人士甄别体系,那成本就更高。如果只是所有人都可以启动语音或者短信验证的话,那么攻击成本就大幅度降低。所以就不能随便任何人都可以用,至少要结合实名制手机或者残障人士账号才可以用。

 

徐朋:那虚拟运营商呢?黄牛搞手机号应该不难。

 

黄希彤:国家规定就算是虚拟运营商也要求实名制。下半年已经越来越严,但是不排除假的实名认证的漏洞存在的。如果只是纯实名,那么跟电信诈骗的门槛差不多,电信诈骗能做,黄牛就能做。目前都比较倾向短信下发+语音回拨。看是否还有其他的?

 

徐朋:除了我们专家的建议,我个人还有想其他方式:还在复杂图片验证码的基础上,加上识别编号,盲人把图片截给朋友,朋友告诉他输入编号即可。

 

黄希彤:有可能降低安全性,切换成键盘操作的话。

 

吴英桦:这个问题在于我们花了那么大的努力去说服他做,如果只做成这个程度,和我们的努力和希望不太匹配。我们的方案可以分优先级别,留出底线和退路。

 

张昆:1、无障碍包括盲人、听障、老年人,不光是给盲人的,也包括色盲、色弱的低视力但不习惯用读屏软件的人。语音+短信+白名单都可以实现,什么样的验证码不是关键,关键是考虑验证码的契合度,要能契合各类人群。

2、推翻原有的验证码是有风险的,因为我们不能保证新的方式能阻挡黄牛。所以我们还是提出优化方案,在原有方案的基础上增加一个入口。

3、验证码的问题国外也有类似的情况,Google为了防止刷屏、、恶意攻击、交易风险等也设计了有障碍的验证码,但是多加了无障碍的接口:比如鼠标点击、键盘的点击等方式可被识别是人使用而非机器软件

4、传统的语音+短信破解几率还是有的,防黄牛的风险还是有的。还要结合白名单,增加无障碍的接口。

 

徐朋:弹出验证码的时候,如果弹出手势图形验证码的话,现在有技术可以做到识别出是人还是机器在操作吗?能被破解吗?

 

张昆:可能对于盲人来说有点难。需要把每个点标注label等,有一定的开发成本,难度比语音和短信验证码大很多。

 

蔡勇斌:移动端手势密码是可以操作的。手机可以用语音或震动反馈提示手指的位置,指纹的手势密码是九宫格类的,触控点有限,是可以被感知的。但购票的话大部分都在网站,而且不能限制用户只能手机购买。

 

吴英桦:把可能的方案都提出来,他也不能全被拒绝吧。

 

元则:现在的图片验证码久了也会降低安全性。

 

张昆:分发方式不能只局限于语音和短信,比如说发到邮箱呢?

 

黄希彤:发到邮箱风险很大,不实名制,而且容易自动化,下发完直接灌入,那么黄牛就便利了。

 

徐朋:所有我们讨论的方式都是辅助的,正常人还是用图片验证码。而且供应商的供应力要考虑,短信每分钟发放有上限的。所以只能是辅助图片验证码。

 

吴英桦:现在很多都已经多登陆方式了。而且是否可以有另外一个办法,就是联盟帮助代购,联盟的网站来嫁接进购买渠道。

 

张昆:邮箱的验证码,不离开机器界面的验证码方式。

 

黄希彤:这个可以讨论,但是我们需要知道在这个基础上有没有保证安全性的方案。现在比起手机号的实名制,邮箱等互联网账号的实名制伪造成本更低。

 

张昆:保证安全性可以加上白名单。我的意思就是在当前的互联网的环境下可以接受到验证码,而不需要通过其他比如说电信网络。

 

黄希彤:也就是说在当前互联网环境下,我们需要再做一套识别非人为操作的识别方案。残障人士专用票,别人不能使用残障人士票。

 

渠忱:是否所有的方案都需要在白名单的前提下?

 

黄希彤:应该是的,这样就算安全性比原来的验证码差,但是有白名单的保障,也不会造成大的问题。如果他们意识到开通的最差效果就是黄牛刷也只能刷到残疾票,所以不影响正常人的权益。而残疾票不能被正常人使用。那么开通另外的方式的就不是难事。