短信认证对于线上交易并不安全

短信认证对于线上交易并不安全 – 安全意识博客Skip to content

近来，黑客恶意复制或挂失电话卡的案例频频出现，他们此般恶劣手段的目标是击溃短信或电话认证，进而冒充他人身份，非法窃取他人的网络帐户和实施罪恶的线上交易活动。

一直以来，短信是网上银行和电商来校验用户身份的廉价和高效的机制之一，至少不必像动态口令那种多重身份验证机制需要投入硬件设备。短信的使用除了帮助验证网上交易的身份，还有一个好处是交易进行提醒，以便帐户被盗用后能及时响应，进而帮助挽回和防范进一步的损失。

黑客可能利用客户端的安全漏洞或人们脆弱的安全意识来传输和安装木马程序，进而通过个人电脑或架设钓鱼网站来窃取他人的网上交易帐户。多数网银和电商早已料到这点，并已经实施了多重的安全控管，特别是在交易环节进行额外的双重身份验证机制。

黑客现在面临的挑战是突破这第二重的身份验证机制，昆明亭长朗然科技有限公司的安全研究团队总结了黑客的如下几招方法并且进行了简单的分析。

第一种方法是通过远程控制，无论是远程控制软件还是社交工程诈骗都需要套取身份验证码，对于稍微有些安全常识的人们显然是很大的障碍。

第二种方法是绕过或突破二重身份验证，技艺超群的黑客可能挖掘和掌握了线上交易系统二重身份验证的安全漏洞，但这种情况并不多见，毕竟黑客的水平可能尚输一筹。

第三种方法则是欺骗二重身份验证措施，具体的方法类似中间人攻击，即穿插于线上系统和终端用户之间，套取用于的二重身份验证授权来骗得线上交易系统，这种方法对黑客技艺的要求和时间点的把握都比较高，成功的可能性相对较低。

第四种方法则是从用户端入手，即击溃二重身份验证的终端，简单粗暴的方式是盗窃和抢夺身份验证令牌如动态口令卡或手机，这显然风险较高，比较“稳妥”的方法是绕道获得这些设备或重置这些设备，其中针对电话和短信的认证很容易被击溃。

线上交易系统通过运营商发给终端用户的短信可能轻易被黑客通过网络窃取，黑客更能花少量投入便可克隆受害人的电话号码，当然最经济的还是持假身份证到运营商那儿挂失并重办一张电话卡。

运营商有充分的理由称其没有办法鉴定用户身份的真假，受害者又接受了在线交易服务条款，问题出在哪里？显然，多个环节是环环相扣，最大的问题当然是受害者的线上安全意识不足，至少没有充分认识到线上交易的风险特别是短信认证的先天缺陷。

同时线上交易提供商和移动网络运营商也应该有所做为，多数发达国家已经制定法律，要求网银对非客户授权的交易负责。即使银行仍然是政府的提款机，会受到一定程度的保护，但激烈的市场竞争、上市后的严格监管以及融入世界的大趋势，让垄断的“好日子”不会永久持续。

从技术层面来讲，短信认证和短信提醒功能不需废弃，而是需要增加第三重的身份验证措施。而道高一尺，魔高一丈，要有效遏制网络犯罪分子的罪恶活动，还需要加强对线上交易用户进行信息安全意识教育，这方面的重任无疑应该由线上交易服务提供商来担当。

俗话说“当局者迷，旁观者清”，线上交易服务商更多专注于核心的价值——提升身份验证方面的客户体验和改善交易的安全控管技术，在客户安全意识培训计划的制定和线上交易安全指导教程的开发方面则需要第三方的专业安全意识培训机构来帮忙，而昆明亭长朗然科技有限公司是安全意识教育方面的领导厂商，无疑是线上交易服务提供商的最佳的安全意识教育合作伙伴。

我们的方法是学习和分析造成线上交易安全事故的“人为”原因，并且根据客户的实际业务环境，量身定制适当的安全意识教育方案和制作开发相关的线上安全意识培训内容。

如果您有兴趣了解更多内容，欢迎联系我们获取更多详情。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

相似的文章 Similar Posts: