电子认证方法

电子认证系统一般可采用叁种不同方法：包括「使用者所知的资料」丶「使用者拥有的资料」，以及「使用者特征或行为的资料」。双重认证指配合使用其中两种不同方法核实用户身分，一般较单一认证更为安全。诈骗者虽有可能通过互联网取得使用者的密码，却很难在网上取得用户所拥有的智能卡或手提电话 。为了应对身分盗用所带来不断增加的威胁，大部分本地银行已使用双重认证，以进行高风险的网上银行交易。

以下部分介绍在认证系统中一些常用的方法：

以密码及个人辨认号码认证

密码及个人辨认号码是最常用以资料为基础（「使用者所知的资料」）的认证方法。通常密码愈长，保护则愈强，而长密码有时被称为密码短语。作为良好的保安作业模式，使用者应尽量使用包含数字丶符号及混合大小写的严谨密码。认证系统亦应提供可产生数据交换加密通讯渠道的传输层安全功能，以便在传输过程中保护密码（及其他认证资料）。

现时大部分的保安攻击均针对以密码为基础的认证系统，当中不少诈骗者是以仿冒电邮丶假网站丶木马程式或其他恶意程式等方法盗取使用者的身分及密码。由于这些攻击的目标都是终端使用者，因此提升使用者的认知十分重要，以便他们可在日常交易中保障自身利益。

可见图像（图形密码）也可作为以资料为基础的独特认证方法。例子之一是随机产生五个逼真的图像让使用者选择，而使用者须重复在一系列载有图像的格子中抽选相关图像。藉着选出正确的图像，使用者实际上已输入其密码。

只有受适当密码政策管限的妥善密码系统方被视为足以适用于需要第 2 保证等级的应用。

以公开密码匙基础建设认证

公开密码匙基础建设是一个采用公开密码匙加密技术的管理架构。公开密码匙密码学提供一个配对密码匙（私人密码匙和公开密码匙）的认证方法。私人密码匙只由使用者拥有，不会与其他伺服器或使用者共用，而公开密码匙则由核证机关发出的公开密码匙证书认可，可供任何使用者或伺服器使用。

公开密码匙认证可通过硬体或软件权标形式进行，视乎不同情况的需要。软件权标是将私人密码匙储存于操作系统的密匙库，或以加密档案形式储存于数据储存装置内。一些系统会把私人密码匙储存于硬件权标内（如智能卡），在认证过程中必须持有权标。由于硬体权标不能汇出私人密码匙（即密码匙只得一份），遗失密码匙的情况会较易被察觉和得到补救。使用者激活权标时，需输入密码或进行生物特征测定以核实合法的使用者。

应注意的是，在进行重要交易时，公开密码匙方案采用了「数码签署」，可提供额外的安全保障。为提交的数据加上数码签署，不但可认证身分，亦可确保交易的完整性及不可否认性。

如与多重认证硬体加密权标一起使用，公开密码匙基础建设可用于第 4 保证等级。如只有软体加密权标，公开密码匙基础建设仍可用于第 3 或以下保证等级。

以短讯服务认证

短讯服务这个渠道可用作传送由资讯系统产生的一次性密码。使用者阅读手提电话中的短讯收取密码，然后输入该密码以完成认证。用户识别卡的独特识别码有效地令手提电话拥有人拥有认证权标，能让不同的应用程式登记及使用。短讯服务在手提电话普及的地方是有效的认证方法。

短讯服务也可作为一种「带外」认证方法，以防范中间人攻击。如中间人是通过假网站截取敏感资讯，短讯（不经互联网）可用作「带外」渠道以确定认证和交易资讯，而中间人则因为不能通过互联网取得短讯内容而无法令攻击成功。

大多数手提电话都有短讯服务，是一种普及的通讯渠道。与其他实体认证方式比较，短讯服务认证的好处是用户无须另外携带一次性密码权标或智能卡等手提装置。短讯服务与密码认证一起使用时，便可成为简单的双重认证方案。

对称密码匙认证

就传统的对称密码匙认证而言，使用者会拥有一个与认证伺服器相同独一无二的密码匙（通常置于硬体权标内）。使用者在认证时要向认证伺服器传送自己的使用者名称和一个以密码匙加密的随机产生讯息（质疑），如伺服器能利用共用密码匙配对所收到的加密讯息（应答），便能认证使用者身分。

一次性密码权标是与对称密码匙有轻微不同的方案，使用时钟或计算器（有时两者都会使用）及置于装置内的对称密码匙产生一次性密码。另有其他采用「质疑／应答」系统的认证方式，由权标以共用密码匙配合认证伺服器的随机质疑产生应答（主要是一次性密码）。由于密码只能使用一次，因此可有效对付密码猜测丶窃听或中继类型的攻击。

对称密码匙与密码认证一起使用时，也可成为双重认证系统的可行方案，被视为足以适用于需要第 3 保证等级的应用。

生物认证

生物测定学是一种将生理或行为特征数据数码化以产生个人认证资料的方法。生物认证通过将有关生物特征测定的编码值与储存值作比较，核实使用者所声称的身分。

常见的生物认证方法包括：

生物认证所能提供的「保证等级」，需视乎生物测定装置的实体控制及保安而定。如生物测定装置不受控制，这种机制便只适用于第 1 保证等级的应用。不过，如生物认证与生物测定装置实体控制等其他缓解措施一起使用，则「保证等级」可作调整。这种认证方法在进出控制方面（如进入电脑中心）的应用最为有用，因为生物测定扫描器的保安和控制都可以得到业务拥有人保证。