繼2017年美國權(quán)威機(jī)構(gòu)美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）指出基于短信的驗證存在威脅后，近日國內(nèi)權(quán)威機(jī)構(gòu)全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會（ISSTC）也首次指出“短信驗證碼”存在攻擊威脅，并發(fā)布相關(guān)指南。
該機(jī)構(gòu)稱：當(dāng)前，使用短信驗證碼驗證用戶身份的技術(shù)被廣泛應(yīng)用于各類移動應(yīng)用、網(wǎng)站服務(wù)。由于GSM網(wǎng)絡(luò)存在單向鑒權(quán)和短信內(nèi)容無加密傳輸?shù)染窒扌?，且短信截獲攻擊呈現(xiàn)工具化和自動化趨勢，使利用此類威脅實施攻擊的門檻大幅降低，基于短信驗證碼實現(xiàn)身份驗證的安全風(fēng)險顯著增加。
該類攻擊主要利用了短信驗證碼在用戶身份驗證方面存在的安全缺陷，具有如下特點：攻擊手法工具化、攻擊影響范圍廣、缺陷修復(fù)難度大、攻擊過程全鏈條化、攻擊過程隱匿化。
;){kind=link}