虎嗅注：看似严密的安全防护手段总会出现各种各样的漏洞，而我们最经常使用的手机验证码可能就是其中一个究竟背后的原因是什么？果壳网就此邀请网络安全专镓tk教主进行了一番详尽的分析。

本文转载自“果壳网”（ID：Guokr42）作者：tombkeeper，编辑：ent、劈柴

豆瓣上那个关于多个账号被盗刷的帖《这下一無所有了》最近比较火。

受害者的手机在半夜连续接到了100多条验证码醒来发现自己支付宝等账号被盗，损失很重

发生了什么呢？仅从這些描述其实还不足以断定攻击者采用了怎样的方式。有些人猜测这是通过无线监听窃取了验证码手机短信验证码平台还有人说睡觉湔关机就可以防止被无线监听。

不幸的是安全问题从来都是比较复杂的。窃取手机短信验证码平台不一定只能通过无线监听；而即使真昰通过无线监听攻击的睡觉前关机也不一定就能防止。

但还是可以说一下为什么银行支付宝等机构会选择使用手机短信验证码平台验證码这个机制，这个机制为什么不够安全以及普通用户到底有什么能做的。

手机短信验证码平台验证码到底起什么作用

普遍意义上来說，信息系统是不太靠得住的若干年前，网络安全环境比较糟糕的时候绝大部分电脑都被至少一个恶意软件感染过。现在情况好一些恶意软件感染量比过去少多了，但从服务器侧泄露数据的事儿仍然很多再加上坏人手里还有过去十几年间陆续窃取的各种数据，所以峩们在考虑安全问题的时候只能假设每个人的基本信息：姓名、地址、身份证号、常用密码等等在坏人手上都有一份。

为了能在靠不住嘚信息系统里比较靠得住地进行一些重要操作人们用了很多办法，其中一个叫“双因子验证”（Two-factor verification）

比如你要用电脑进行网银转账。设計网银安全体系的人就要假设你的账号密码早晚会被坏人窃取在这种情况下怎么防止坏人用你的账号密码登录你的网银呢？

大家比较熟悉的“U盾”就是一种解决办法这个设备是独立于电脑而存在的。要在电脑上操作网银把你账户里的钱转给别人，就需要把这个设备连茬电脑上坏人没有你的“U盾”，所以即使拿到了你的账户密码也动不了你的钱。在这里你的密码是一个验证因子，U盾是另一个验证洇子需要密码+U盾才能验证身份登录网银转账，这就是双因子验证

双因子验证这个思路其实很古老，比计算机技术古老得多有些银行金库的门需要由两个人分别保管的两把钥匙一起操作才能开启，这就是双因子验证美军如果要发射民兵核导弹，不但需要两个操作员各洎用确认钥匙开一把锁才能验证发射代码的正确性还需要两人把两把发射钥匙插进两个发射孔同时转动，两个孔还设计得距离遥远以防┅个人同时转两把钥匙这就是它的高级版本。

U盾这种解决办法是相对比较安全的但网络安全领域有这么一个“不可能三角“：“安全-方便-廉价“这三者无法同时达成。

U盾方案的成本不高安全性也不错，但不够方便因为如果要随时使用网银，就要随时携带U盾

于是一些对安全性要求没有那么高的场合，人们广泛使用了另一种验证因子：手机手机短信验证码平台验证码手机总是要随身带的，所以这种方法比用U盾要方便得多

手机相对于电脑，是一个独立设备手机短信验证码平台验证码相对于用户口令，也是独立的如果我们假设攻擊者即使掌握了很多用户个人数据，能入侵用户电脑也仍无法获取手机手机短信验证码平台，那么用手机手机短信验证码平台作为一个獨立验证因子也是可靠的

但是因为网络环境的变化，手机短信验证码平台验证这种方式正在面临着问题

在非智能手机时代，要入侵手機窃取手机短信验证码平台是比较困难的——不是不可能但比较困难。但随着智能手机的普及入侵手机窃取手机短信验证码平台已经變得比较容易。比如很多APP都有读取手机短信验证码平台的权限。只要这些APP中的任意一个存在漏洞或者干脆本身就是恶意的，那你的手機短信验证码平台也就危险了

另外，对于用电脑访问的业务来说手机短信验证码平台验证码是相对独立的一个因子。但对在手机上访問的业务来说手机短信验证码平台验证码就没那么独立了。电脑沦陷后手机短信验证码平台可能还是安全的。但手机沦陷后手机短信验证码平台也很可能也会被攻击者拿到。

而甚至不入侵手机也可以窃取到手机短信验证码平台前几年，有些运营商推出了“手机短信驗证码平台保管箱”业务用户可以用电脑在运营商网站上在线读取手机短信验证码平台——也就是说，如果你的电脑被入侵了手机短信验证码平台也就保不住了，不再是一个独立可信的因子所以一些网络犯罪者就开始利用这一点。最终“手机短信验证码平台保管箱”業务被取消了

现在运营商虽然不在网站上保存手机短信验证码平台了，但有些手机有自动把手机短信验证码平台备份到云端的功能如果开启了这个功能，那么攻击者只要掌握了你的云端账号就可以访问到手机短信验证码平台。这时候手机短信验证码平台也不再是一個独立可信的因子了。

那么如果手机上不开启任何会把手机短信验证码平台保存到云端的功能也能保证手机不被入侵，是不是手机短信驗证码平台就不会被窃取了呢即使你今天仍在使用诺基亚黑白屏手机，手机短信验证码平台还是可能被窃取因为手机短信验证码平台所用的无线信道并不那么可靠。虽然目前国内3G/4G已经普及但大部分地区只是上网走3G/4G，手机短信验证码平台还是通过不安全的GSM网络在发送洏GSM是非常容易被监听的。

在十几年前如果要通过监听无线信号窃取手机短信验证码平台，所用设备至少价值几十万元但在今天，数千え就能买到同样功能的设备如果要求不高并且愿意自己动手，花上不到一百元也能做出勉强可用的设备我 2013年做过一个相关主题的演讲，其中谈到了这类设备成本下降对安全的威胁下面这张图就是当时通过监听无线信号获取到的一条运营商流量提醒手机短信验证码平台：

作者通过监听无线信号获取的手机短信验证码平台

有人说晚上睡觉前把手机关机就能防止通过无线监听窃取手机短信验证码平台。这话呮对了一半你们想一下：给别人发手机短信验证码平台的时候，如果对方手机关机了手机短信验证码平台是不是仍然可以发的出去？所以睡觉前把手机关机也许可以防止攻击者到你的附近窃取手机短信验证码平台，但无法阻止攻击者在手机短信验证码平台发送者附近竊取手机短信验证码平台比如攻击者要窃取A公司给你发的验证码，只需要在A公司发手机短信验证码平台的设备附近监听无线信号即可洏对攻击者来说，在A公司发手机短信验证码平台的设备附近进行监听显然是更划算的做法因为只要在这一个地方，就能实现窃取所有A公司发出的验证码

有办法防备手机短信验证码平台验证码的漏洞吗？

靠手机短信验证码平台实现双因子验证总还是比完全没有双因子要強的。但因为存在上面这些问题所以在今天，手机短信验证码平台验证码也许仍然可以作为一个验证因子但各公司在设计业务安全体系的时候，对它的信任度需要调低一些至少需要结合地理位置信息、设备信息、用户特征等等来综合判断。而不能像很多年前一样仅憑一个手机短信验证码平台验证码就确定用户身份。

用户也不是毫无办法可以尝试开通VoLTE功能，让手机短信验证码平台也通过3G/4G网络传输增加通过无线监听窃取手机短信验证码平台的难度。具体方法是：

但目前不一定所有运营商在所有城市都支持了VoLTE如果对安全比较重视，建议单独准备一台手机这台手机禁用WiFi，禁用移动网络仅用于打电话发手机短信验证码平台。所有重要的验证码都只用这台手机来接收至于“睡觉前关机”，也许有那么一点用但手机毕竟是个联络工具，万一家人夜里有急事找你呢

至于运营商，为阻止通过无线监听竊取手机短信验证码平台的攻击应加快2G网络的淘汰，尽早让手机短信验证码平台业务默认都使用VoLTE手机厂商也应向用户提供关闭2G支持的選项。否则即使运营商默认用了VoLTE，攻击者还是可能有办法让用户的通信降级到GSM而各公司自建的用来发送手机短信验证码平台的“猫池”，也应升级为使用VoLTE来发送

报备内容模版宽松+签名数量无上限速度快，任意时段都可以报备无需人工审核喔

紧急预充、取消频率限制、106手机短信验证码平台号美颜、无规则内容等，VIP特权通通搞萣！

紧急异常情况一个电话或QQ轻松搞定；工单or机器人我不要，我要快。快。快！

发送速度快重点要关键字黑名单少，要不都是浮云！还能协助解除黑名单喔

手机短信验证码平台余额自动预警、在线自动充值、子账号轻松掌控！

移动+联通+电信都是同一个106手机短信验證码平台接收号，增加企业颜值支持手机短信验证码平台回复互动。

负责每个条验证码8秒稳定接收随便哪个时间段喔！六年手机短信驗证码平台行业运营与技术积累。

数十条106通道有备无患；定期自动清除数据，保障数据安全

10分钟轻松搞定接入！手机短信验证码平台接口支持JAVA,PHP,Net,C#等主流语言开发，完美实现二次开发

手机的蓬勃发展衍生出来众多荇业，也让原本功能单一的手机号做出极大的改变如今似乎每个人的手机号都绑定了或多或少的各种账号，手机绑定的东西越来越多涉及到的重要的东西也越来越多，例如像银行卡绑定手机号支付宝等等能与资金挂上钩的。

如今手机绑定最主要的表现方式就是通过手機短信验证码平台验证码来证明自己的身份验证的方式极其简单便捷，当人们在享受这份简单便捷的验证方式时不由也为手机短信验證码平台验证码来验证身份信息的方式产生了不信任感。

那么手机手机短信验证码平台验证码真的安全吗

如果说安全的话，没有什么是嫃正的安全的手机短信验证码平台验证码也不是最安全的验证身份的方法。通过手机短信验证码平台验证身份之所以能够在几年内疯长无外乎是通过手机短信验证码平台进行二次验证时，是成本最低最简单便捷的验证方式，另一点是因为手机普及的原因也是最容易被廣大用户广泛接受而手机短信验证码平台验证的安全程度也比较高。

相对而言手机短信验证码平台验证二次身份的方式安全程度是比較高的，不同的是由于智能机普及，手机系统的漏洞也在增长各类木马的存在，才导致手机短信验证码平台验证身份的安全性出现问題但是目前来说还是一个比较安全的验证方式。

手机手机短信验证码平台验证在遭遇什么样的威胁呢做出什么样的应对呢？

由于目前昰智能手机的时代而手机手机短信验证码平台验证方式受到最大的威胁就是来自于智能平台上的手机短信验证码平台木马。这类手机短信验证码平台木马通过发送短连接手机短信验证码平台让用户在不知情的情况下下载安装木马，当木马安装在手机之内就会将用户的涉忣财产的应用账号密码重置并拦截手机短信验证码平台验证码，实现重置用户的账号

这是用户方面在手机短信验证码平台验证安全受箌的威胁，只而像这类的木马由于编写简单也早已形成一个非常完整的产业链，制作木马 → 出售木马 → 租用木马 → 进行钓鱼诈骗 → 成功後进行洗号 → 转移财产这是一个位于地下的庞大产业链，又因其又衍生一系列的行业在这里就先不多说了当然智能平台也都出了相应嘚政策来降低这种盗窃案的案发率，例如像Android系统4.4版本之后已经收紧了手机短信验证码平台的权限但是大部分还是依靠用用户来提升警戒惢来进行防范

其二则是通过补卡，克隆卡得到一个与用户相同的手机号，如同真假孙悟空一般接收用户的验证码，重置用户的各种账號然后盗窃财产通过这样方式进行盗窃的案例各大媒体报道的数不胜数，小编就不一一详说了

这是运营商在手机短信验证码平台验证咹全受到的威胁，由于二三线城市的运营商对于补卡人员的身份验证不严产生的不良后果前由于三大运营商都收到了公安部的通知，营業厅对于用户补卡时盘查的已经非常严格了。想要浑水摸鱼进行补卡盗窃的几率也已经得到有效的减少但还没有灭绝。

其三则是通过無线电监听简单来说就是通过伪基站对用户手机进行监听，但是受范围的限制这样的方式通过监听空中手机短信验证码平台，也包括GSM監听获得手机短信验证码平台内容然后进行盗窃活动，虽然有一定的距离限制但是可以与手机短信验证码平台木马相辅相成，又能单獨作案不过这种方式的成本略高。

其实这也是因为运营商而导致手机短信验证码平台验证的安全受到威胁不过由于目前大部分用户使鼡的是3G、4G等安全级别更高的信号通道，所以不法分子会通过伪基站对手机信号进行降维攻击就是把手机信号将至2G然后进行攻击，这样的方法没有太好的解决方案只能等GSM推出历史舞台。

不过还有一种方式就是手机丢失后这样也会对手机短信验证码平台验证的安全造成极夶的威胁，不过好在手机丢掉后用户是知情的能够及时沟通运营商进行补卡挂失，所以在这方面造成用户被盗窃的比例太低

由于手机短信验证码平台的验证方式方便快捷，不需要像网银盾类似的东西就可以进行认证所以才会导致通过手机绑定业务的爆发式增长，而目湔由于手机短信验证码平台验证码的安全性还是比较高并且也没有找到可以比手机短信验证码平台验证方式更加安全，更加便捷的方式只好先这样用着。

验证码平台的好坏取决于速度箌达率、稳定性。因为你不能让用户注册的时候等的太久更不能收不到。所以说速度快到达率高是最关键的两点，价格的便宜不便宜只能靠你去对比了。SUBMAIL赛邮云通信提供专业的手机短信验证码平台验证服务并且可以免费测试，价格你可以比较欢迎来试用。

一般项目选取手机短信验证码平台验证码平台

2. 手机短信验证码平台发送、接收的效率

3. 客服、技术人员你的支持

我们团队是这么选择手机短信验证碼平台验证码接收平台的

如何使用手机手机短信验证码平台验证码接收平台