基本介紹
- 中文名：簡訊認證
- 類型：經濟術語
特點介紹,漏洞,發展,
特點介紹
簡訊認證之所以如此流行，主要在於其便捷性，用戶既不需要額外攜帶設備，也不必安裝任何軟體就能實現認證。儘管如此，隨著越來越多的網路攻擊者盯上簡訊認證的薄弱點，這一認證方式正逐漸暴露安全性的不足。簡訊認證只關心用戶是否有驗證碼，卻不管是誰在使用手機，一旦用戶的手機遺失則很容易發生身份盜用的情況。
儘管目前大量套用和網站在基於手機簡訊的身份認證，簡訊認證還是被美國國家標準與技術研究所(NIST)宣布不安全：“基於簡訊的身份認證已經過時，在未來將被禁止使用”。
漏洞
目前常見的攻擊手段主要有攔截簡訊木馬、補卡/克隆攻擊、無線電監聽以及其衍生出來的“降維攻擊”等。
攔截簡訊木馬的做法通常需要預先利用連結、二維碼、釣魚網站等或其他手段誘騙受害者將木馬程式下載並植入到自己的手機中，藉此監聽或轉發受害者的簡訊來重置對方的賬戶。由於這類木馬編寫十分簡單，所以已經形成了從製作到出售、出租、實施釣魚欺騙、洗號、轉移財務的完整地下產業鏈。
補卡/克隆攻擊則是基於手機SIM卡來實施的。攻擊者不需要通過受害者的手機設備，只需要辦一張和受害者相同的手機號碼，就能接收到受害者的簡訊驗證碼。這裡主要利用了運營商的管理漏洞，部分地區的運營商對補卡人員的身份沒有進行有效的驗證，以往一個隨意假造的證件和幾句蹩腳的說辭就能騙過工作人員成功補卡，由於近年此類攻擊被多次報導，因此各大運營商也加強了安全意識，如今補卡還是盤查地比較嚴格的，但同樣不能完全杜絕此類情況的發生。
無線電監聽主要是GSM監聽，直接監聽空中簡訊，這種方式有較高的技術門檻，通常用於針對企業高層或是政府機要人員。由於GSM通信協定本身加密強度很弱，而中國使用的GSM網路甚至是明文不加密，因此在幾年前就已被黑客破解。即使現在3G、4G網路已經普及，但是據有關資料統計，中國目前2G手機仍有6億-7億部左右，黑客用來監聽的設備幾十塊錢就能買得到。而且就算用戶使用的是CDMA、3G、4G等更安全的信號通道，也可以通過信號干擾等方式讓用戶信號強制降為（2G）GSM之後進行監聽。
發展
簡訊認證最終將會退出歷史舞台，認證方式很有可能朝著另一個方向發展。
手機令牌
首先是手機令牌，這種方式目前廣泛使用在各個領域，比如谷歌身份驗證器在國外網站非常流行，在國內的網站也越來越多地提供二次驗證服務。原本在企業內部流行的動態令牌硬體如今也逐漸被手機令牌所替代。然而，越來越多的人也發現，基於六位數的動態令牌的使用體驗很差，用戶在登錄時必須手動進入動態密碼展示界面，然後照著數字輸入到電腦上，在這期間如果動態密碼發生改變，則需要重新輸入，於是兩種新的方式就應運而生並迅速流行起來——掃碼認證和推送認證。
掃碼認證
