SMS 매직 HTTP 링크를 사용한 전화 번호 확인이 OTP보다 덜 안전합니까?
Aug 21 2020
SMS OTP 코드를 보내고 서버 웹 페이지에 다시 쓰는 대신 SMS를 통해 HTTP 하이퍼 링크 콜백 내에서 특수하게 제작되고 암호화 된 페이로드로 전화 번호 소유권을 확인하고 싶습니다. 페이로드에는 유효성 및 만료, 난수 등이 포함됩니다.
나는 광고 목적을 제외하고는 이와 유사한 방법을 사용하는 사람을 찾을 수 없었습니다.
내가 알지 못하는 명백한 취약점에 부딪 혔습니까?
답변
1 Daveoc64 Aug 21 2020 at 16:25
귀하의 제안은 SMS OTP 코드를 효과적으로 사용하는 것이지만 평소보다 훨씬 더 길게 만드는 것입니다.
긴 OTP 코드는 무차별 대입 추측에 더 강하지 만 무차별 대입 공격의 문제를 해결하는 더 좋은 방법이 있습니다. 예를 들면 다음과 같습니다.
- 몇 분 후에 OTP 코드가 만료되도록하고 사용자에게 새 코드를 보냅니다.
- 사용자가 잘못된 코드를 너무 많이 입력하면 OTP 코드를 무효화합니다 (예 : 3 회).
- 사용자 계정에 너무 많은 OTP 입력 시도가 표시되면 잠시 잠급니다.
SMS에는 많은 보안 약점이 있기 때문에 SMS OTP는 이제 무시됩니다. SMS 메시지는 다른 사람이 가로 챌 수 있으며 (SIM 스왑 공격 또는 메시지가 전송되는 동안 일종의 가로 채기 사용) 이러한 경우 더 긴 URL 기반 OTP 코드는 추가 보안을 제공하지 않습니다.
사용성은 마지막 문제입니다. 어떤 사람들은 전화기에서 링크를 열지 않을 것입니다 (예 : 컴퓨터에 로그인하는 경우). 휴대 전화에 웹 브라우저가 작동하지 않거나 인터넷에 연결되어 있지 않을 수도 있습니다. 모든 장치에 입력 할 수있는 짧은 코드가 더 편리합니다.