Abstract
文字密碼一直是最被廣泛使用的使用者認證機制之一，因為它具有操作簡單與容易建置的特性。然而，在不同的威脅與弱點之下，使用者的文字密碼容易遭受竊取或破解。首先，受限於人類有限的記憶能力，使用者習慣設定弱安全強度的密碼，並且在不同網站上重複使用相同的密碼。重複使用密碼將會導致骨牌效應：當攻擊者破解了某個網站上的使用者密碼，他就可以利用這些使用者密碼來嘗試登入其他網站，以竊取重要的訊息。第二、在不安全的電腦上輸入密碼容易遭受密碼竊取的威脅。攻擊者可以很容易的在電腦上發動密碼竊取攻擊，如釣魚網站，鍵盤側錄軟體，惡意軟體等。在這個論文中，我們將提出一套全新的使用者認證機制(oPass)，藉由智慧型手機與簡訊服務的特性來抵擋密碼竊取攻擊與密碼重用攻擊。oPass只需要參與的網站擁有一組手機號碼，並且在註冊與還原階段有電信公司的輔助即可建置。在oPass系統中，使用者只需要記憶一組長期的密碼就可以登入任何網站。我們也實作出oPass的原型系統，透過分析與比較之後，oPass是一個有效率且接受度高的新認證系統。