強化身分安全，眾至郵件伺服器新型網頁信箱增設無密碼登入

零信任是臺灣資安界近來最受重視的防護概念，許多廠商紛紛打造相關的產品，以網路防火牆與郵件伺服器產品著稱的眾至資訊（ShareTech），積極開發與拓展零信任解決方案，今年陸續在多場活動與展覽，如臺灣資安大會、臺灣國際半導體展、台中資訊月論壇，向大家宣導零信任、介紹他們響應政府提倡的零信任網路架構三大核心機制，以及因應這些需求而供應的多種防護功能。

關於使用者身分辨識，眾至資訊10月正式推出FIDO（Fast IDentity Online）無密碼登入解決方案，針對郵件伺服器產品線的New Webmail網頁信箱功能，提供支援FIDO的身分驗證機制，若企業與組織使用該公司的郵件伺服器軟體版本，或是硬體機型，例如，MS-30X、MS-6400X、MS-6410X、MS-6420X、MS-6430X、MS-6440L，系統軟體或韌體可升級到3.1.5版，即可使用這項功能，無需加購。

細部運作流程如何進行？首先，用戶需在自己的智慧型手機或平板電腦當中，安裝行動App軟體ShareTech Authenticator，接著以密碼登入眾至郵件伺服器的New Webmail，進到安全性設定完成綁定行動設備無密碼驗證的程序（再輸入一次密碼進行身分驗證、開啟ShareTech Authenticator掃描New Webmail網頁介面此時顯示的QR Code）。

當用戶登入New Webmail網頁介面時，會顯示一組提問碼（Challenge code），

並對已預先完成綁定程序的智慧型手機或平板電腦，發出通知訊息，接著用戶的行動裝置會收到且顯示這個訊息，此時可立即點選或開啟ShareTech Authenticator，會看到驗證帳號的資訊清單，上面顯示被登入的帳號、提問碼、有效時間、登入者所在區域為內部網路或網際網路、登入New Webmail人員操作的裝置與瀏覽器類型，若綜合這些資訊而判斷這是你自己的登入動作，可點選「確認」，

隨後會進行指紋、臉部這類生物辨識解開鎖定，在背景處理程序當中，行動裝置將使用私鑰對提問碼進行簽名，並將簽名傳回伺服器，伺服器收到簽名之後，會使用公鑰驗證簽名，比對無誤後即可登入，ShareTech Authenticator當下也會跳出身分驗證記錄的通知資訊，上面載明帳號名稱、New Webmail登入者網路位置、登入New Webmail所用的裝置與瀏覽器類型，以及最近一次（本次）驗證身分登入的時間。

眾至表示，導入FIDO之後，他們提供的郵件伺服器New Webmail登入，能夠使用公私鑰加密技術進行身分驗證，公鑰儲存在伺服器中，私鑰儲存在用戶的設備內部，不會傳送到伺服器，如此一來，可避免過往密碼式身分驗證的缺點，像是伺服器端儲存使用者密碼，一旦遭入侵，或是使用者因為網路釣魚手法，而將帳號、密碼輸入假網站進行身分驗證，都有可能導致帳號與密碼外流，因而無法抵擋帳密填充攻擊（撞庫）。

對於為何要採用提問碼的互動方式，眾至表示，這主要是為了簽章和防止重送攻擊，目的是抵禦中間人複製封包的攻擊手法。

值得注意的是，這項FIDO功能目前僅支援New Webmail信箱登入使用，行動裝置軟體ShareTech Mail App尚未支援。未來，這項功能也將擴大運用同廠牌其他產品，眾至預告，NU系列防火牆的管理介面、上網驗證，也將提供無密碼登入，目前尚在測試階段，12月初將開始宣傳此項突破。

產品資訊

眾至FIDO
●原廠：眾至資訊
●建議售價：廠商未提供
●適用產品：硬體設備涵蓋的機型MS-30X、MS-6400X、MS-6410X、MS-6420X、MS-6430X、MS-6440L，系統韌體更新至3.1.5版；軟體系統：ShareTech Mail Server 3.1.5
●適用功能項目：New Webmail信箱登入
●身分驗證方式：使用者智慧型手機或平板電腦安裝行動App軟體ShareTech Authenticator

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】