SMSマジックHTTPリンクを使用した電話番号の確認はOTPよりも安全性が低くなりますか？

Question

SMS OTPコードを送信してサーバーのWebページに書き戻すのではなく、SMSを介したHTTPハイパーリンクコールバック内で特別に細工され暗号化されたペイロードを使用して電話番号の所有権を確認したいと思います。ペイロードには、有効性と有効期限、乱数などが含まれます。

広告目的以外で、この方法または同様の方法を使用している人を見つけることができませんでした。

気付いていない明らかな脆弱性にぶつかっていますか？

Answer 1

あなたの提案は、SMS OTPコードを効果的に使用することですが、通常よりもはるかに長くします。

長いOTPコードはブルートフォース推測に対してより耐性がありますが、ブルートフォース攻撃の問題に対抗するためのより良い方法があります。たとえば、次のようになります。

• 数分後にOTPコードを期限切れにします（そしてユーザーに新しいコードを送信します）
• ユーザーが間違ったコードを何度も（たとえば3回）入力した場合は、OTPコードを無効にします
• ユーザーアカウントでOTP入力の試行回数が多すぎる場合は、しばらくの間ロックアウトしてください

SMSには多くのセキュリティ上の弱点があるため、SMSOTPは現在見下されています。SMSメッセージは他の誰かによって傍受される可能性があり（SIMスワップ攻撃、またはメッセージの転送中に何らかの傍受を使用）、その場合、より長いURLベースのOTPコードは追加のセキュリティを提供しません。

使いやすさが最後の問題です。電話でリンクを開きたくない人もいます（たとえば、コンピューターにログインしている場合）。彼らの電話には、動作するWebブラウザやインターネットへの接続さえないかもしれません。あらゆるデバイスに入力できる短いコードの方が便利です。