梆梆安全移动应用开发手札之保护双因子认证体系-国土报中文版

本篇文章1912字，读完约5分钟

如今，每当人们想修改或重置网络账户密码、通过网上银行转账、账户异常操作时，往往需要通过短信验证码来验证身份和操作，确认后才能进行后续操作。甚至有些网银在线支付只需要账号+短信验证码，这说明了短信验证码的重要性。双因素认证也是移动终端认证的主要形式，广泛应用于许多移动应用中。

恶意攻击者试图通过劫持短信验证码来破坏双因素身份认证保护系统。据邦邦移动安全实验室统计，目前有4000多种病毒阻挡短信验证码。这种拦截和窃取短信验证码的病毒主要是拦截大银行的短信验证码。只要交易、账号、96***、95***、100**等关键词出现在用户的短信中，他们就会拦截并转发给恶意攻击者。近年来，许多网上银行盗窃案件都是由劫持认证短信引起的。短信验证码，一度被认为是一种安全的验证机制，正面临着严峻的挑战。

梆梆安全移动应用开发手札之保护双因子认证体系

事实上，细心的用户可能已经发现了一些线索。许多移动应用程序在安装到用户的移动电话上时，要求手机系统的权限高于优先级，例如短信阅读。一旦这些应用被恶意攻击者使用，所有用户的短信都可能被泄露和窃取。通过对数百个知名应用的安全审计，邦邦移动安全实验室发现，超过70%的应用具有权限违规的特征。此外，短信验证码以纯文本形式发送给用户，使得恶意攻击者在窃取短信后很容易识别和使用验证码。

梆梆安全移动应用开发手札之保护双因子认证体系

据安全专家称，由于安卓系统的开放性，你可以通过申请授权获得更高的权限或优先权。本质上，许多拦截和转发身份验证消息的病毒通过应用于系统获得了更高的权限，因此它们可以劫持身份验证消息并实施欺诈。有鉴于此，“安全短信保护”被引入“安全短信保护”。

反认证短信劫持插件ssp可以帮助第三方业务系统在用户发起认证和支付请求后发送加密认证短信，并通过专有的sdk插件对加密认证短信进行解密，从而防止恶意程序劫持短信验证码，保护短信认证过程的安全性。针对短信验证码纯文本内容的风险，针对短信验证码的反劫持插件ssp进行了高强度加密，使得恶意攻击者无法识别短信验证码的加密内容。

梆梆安全移动应用开发手札之保护双因子认证体系

“安全认证短信劫持插件”ssp使用随机密码、高级加密算法、手势安全密码等。对认证短信内容进行多重高强度加密。加密密钥通过分片存储在so包中，而so包由shell保护，形成双重保护。解密后的验证码将显示为图片。总体而言，ssp是基于cs架构进行加密和解密的，相关密钥会根据服务器安全策略的变化而定期更新。

此外，邦邦安全还在反认证短信劫持插件ssp的基础上加强应用，形成第三层保护。保护客户端，防止账户劫持、账户窃取、屏幕截图等攻击，保护账户密码+短信认证的双重认证机制，形成第四层保护。使用清除反病毒引擎杀死和杀死拦截恶意短信的病毒，从而形成第五种保护。

不要担心用户的手机是否丢失。只有成功初始化的客户端才能正常解密安全短信验证码。通过初始化手势密码，可以防止攻击者进入ssp客户端。此外，判断第一次初始化和非第一次初始化可以防止攻击者通过卸载和重新加载来重置密码。

“安全验证短信劫持插件”ssp有两个产品:短信屏蔽(独立应用客户端)和短信保护sdk。它可以实现高强度加密，而无需对第三方业务系统进行重大更改，并且基本上无需修改现有的业务流程。此外，加密和解密过程对用户完全透明，无需任何输入操作。移动应用开发者只需通过sdk的方式集成ssp，就能有效保护其应用的双因素认证系统。

梆梆安全移动应用开发手札之保护双因子认证体系