security - 如何防止浏览器中的 Man 攻击？

Question

一直在阅读 MitB 攻击，有些事情让我担心。

来自 WIKI :

The use of strong authentication tools simply creates an increased level of misplaced confidence on the part of both customer and bank that the transaction is secure.

One of the most effective methods in combating a MitB attack is through an Out-of-Band (OOB) Transaction verification process. This overcomes the MitB Trojan by verifying the transaction details, as received by the host (bank), to the user (customer) over a channel other than the browser

因此，如果我明白这一点，唯一真正安全的方法是非浏览器确认方法。 (如电话或其他一些外部工具)

电子邮件会算作 OOB 交易吗？或者 MitB 可以发送假电子邮件吗？

有没有办法只用代码来防止 MitB？

编辑:我问这个是因为我们本地的银行系统正在使用 physical keygen system您必须按下才能获得一个数字，然后将该数字输入到交易表格的一个字段中。

我不知道这是否被认为是安全的，因为它看起来像 MitB 攻击只是让它看起来你所做的一切都是安全和正确的，但实际发生的是表单数据在提交时发生了更改，现在正在转移到其他银行账户。所以它可以访问这个 key 生成号。

Answer 1

Would an email count as a OOB Transaction?

鉴于 GMail 等 Web 邮件服务的流行，我会说不。即使此类攻击的目标不是使用 Web 邮件，控制目标浏览器的攻击者也可以发送假电子邮件，正如您所建议的.