在短信驗(yàn)證碼的產(chǎn)品設(shè)計(jì)過程中需要考慮的問題有哪些？

現(xiàn)如今短信驗(yàn)證碼的應(yīng)用范圍極為廣闊，各種網(wǎng)站、手機(jī)APP以及網(wǎng)上銀行，都需要通過短信驗(yàn)證碼完成相關(guān)業(yè)務(wù)。在使用過程中，由于對產(chǎn)品風(fēng)控意識的薄弱，經(jīng)常會出現(xiàn)短信被攻擊盜刷的事件，引起一些不必要的損失，甚至影響到正常業(yè)務(wù)的運(yùn)行。下面我們就一起了解下短信驗(yàn)證碼產(chǎn)品設(shè)計(jì)過程中需要考慮的問題及風(fēng)控策略。

短信惡意攻擊的目的

目前存在的短信惡意攻擊無非是有兩種目的：

1.以攻擊某個(gè)特定手機(jī)號為目的

這類攻擊目標(biāo)主要是攻擊者借助web網(wǎng)站短信接口對目標(biāo)手機(jī)號進(jìn)行短信轟炸。攻擊者會先收集互聯(lián)網(wǎng)上多個(gè)未經(jīng)防護(hù)的網(wǎng)站短信接口，設(shè)定要攻擊的手機(jī)號碼通過模擬用戶，循環(huán)向后臺發(fā)送短信驗(yàn)證碼請求，達(dá)到攻擊手機(jī)號的目的，使手機(jī)號的擁有者不堪其擾。

2.以惡意刷取目標(biāo)網(wǎng)站短信費(fèi)用為目的

這類攻擊主要目的是刷掉目標(biāo)網(wǎng)站的短信費(fèi)用，在第一種基礎(chǔ)上攻擊者會不停變換各種接口參數(shù)如手機(jī)號、IP（采用高匿代理）等去請求后臺發(fā)送短信驗(yàn)證碼，進(jìn)行惡意刷短信，后臺根本無力辨別用戶真?zhèn)?，可刷取?shù)以萬計(jì)甚至更高的短信費(fèi)用。攻擊目標(biāo)明確，難以防護(hù)，因其變換不同IP、手機(jī)號，一些簡單措施基本失效。被攻擊的公司在損失費(fèi)用的同時(shí)，也必定會收到用戶的投訴，公司形象也會受損。

容易受到攻擊的場景

最常被攻擊的場景是用戶注冊頁面，或者是手機(jī)短信驗(yàn)證碼快捷登錄頁面、網(wǎng)絡(luò)在線投票等頁面。此類場景下的發(fā)送短信驗(yàn)證碼的接口，往往未對調(diào)用方進(jìn)行相關(guān)的身份驗(yàn)證。

如何對短信進(jìn)行風(fēng)控

發(fā)送時(shí)間間隔

設(shè)置同一個(gè)號碼重復(fù)發(fā)送的時(shí)間間隔，一般設(shè)置為60-120秒。該手段可以在一定程度上防止短信接口被惡意攻擊，且對用戶體驗(yàn)沒有什么傷害。但是不能防止黑客更換手機(jī)號進(jìn)行攻擊，防護(hù)等級較低。

獲取次數(shù)限制

限制某個(gè)手機(jī)號在某個(gè)時(shí)間段內(nèi)獲取短信驗(yàn)證碼次數(shù)的上限。采用這種策略時(shí)在產(chǎn)品設(shè)計(jì)過程中，有幾點(diǎn)需要注意。

1. 定義上限值。根據(jù)業(yè)務(wù)真實(shí)的情況，甚至需要考慮到將來業(yè)務(wù)的發(fā)展定一個(gè)合適的上限值，避免因用戶無法收到短信驗(yàn)證碼而帶來的投訴。
2. 定義鎖定時(shí)間段?？梢允?4小時(shí)，可以是12小時(shí)、6小時(shí)。需要根據(jù)業(yè)務(wù)情況進(jìn)行定義。

IP限制

設(shè)置單個(gè)IP地址某個(gè)時(shí)間段內(nèi)最大的發(fā)送量。該手段可很好的預(yù)防單一IP地址的攻擊，但是也有兩個(gè)很明顯的缺點(diǎn)：

1. 對于經(jīng)常變更IP地址進(jìn)行攻擊的黑客，該手段沒有很好的效果。
2. IP的限制經(jīng)常會造成誤傷。如在一些使用統(tǒng)一無線網(wǎng)的場所，很多用戶連接著同一個(gè)無線網(wǎng)，這個(gè)IP地址就容易很快達(dá)到上限，從而造成連接該無線網(wǎng)的用戶都無法正常的收到驗(yàn)證碼。

圖形驗(yàn)證碼

在發(fā)送短信驗(yàn)證碼之前，必須通過通過圖形驗(yàn)證碼的校驗(yàn)。這種手段相對來說可以防止某些攻擊，因此也是目前非常普遍的短信防攻擊機(jī)制。但是在使用過程中涉及到用戶體驗(yàn)問題，不能簡單粗暴地套用這一策略。以下幾個(gè)點(diǎn)值得仔細(xì)考慮：

1. 是不是每次獲取短信驗(yàn)證碼之前都需要用戶輸入圖形驗(yàn)證碼，一般來說這樣做會極大地影響用戶體驗(yàn)，雖然是相對安全，但是用戶用著不爽了。
2. 可以給一個(gè)安全范圍。結(jié)合手機(jī)號限制、IP限制來考慮，比如同一個(gè)手機(jī)號當(dāng)天第3次獲取短信驗(yàn)證碼的時(shí)候，出現(xiàn)圖形驗(yàn)證碼；比如同一個(gè)IP地址當(dāng)天獲取驗(yàn)證碼次數(shù)超過100次后，出現(xiàn)圖形驗(yàn)證碼。

加密限制

通過對傳向服務(wù)器各項(xiàng)參數(shù)進(jìn)行加密，到了服務(wù)器再進(jìn)行解密，同時(shí)用token作為唯一性識別驗(yàn)證，在后端對token進(jìn)行驗(yàn)證，驗(yàn)證通過才能正常將短信發(fā)送。該手段可以在保證用戶體驗(yàn)的情況下，可以有效防止某些攻擊，因此也是目前比較常見的短信防攻擊機(jī)制。同時(shí)也有很明顯的缺點(diǎn)：

1. 使用的加解密算法可能會被破解，需要考慮使用破解難度較大的加解密算法。
2. 在算法不被破解的情況下可以有效防止報(bào)文攻擊，但是無法防止瀏覽器模擬機(jī)式攻擊。

以上是幾種常見的短信風(fēng)控策略，在具體的產(chǎn)品設(shè)計(jì)過程中，可以綜合使用。

短信防火墻

為了在產(chǎn)品安全和優(yōu)秀的用戶體驗(yàn)之間尋找一個(gè)極佳的平衡。新昕科技的產(chǎn)品研發(fā)團(tuán)隊(duì)結(jié)合各種風(fēng)控策略的優(yōu)點(diǎn)研發(fā)出了一款短信防火墻。 從以下幾個(gè)方面概括一下：

1. 為保障優(yōu)秀的用戶體驗(yàn)，擯棄了目前影響用戶體驗(yàn)最為嚴(yán)重的圖形驗(yàn)證碼等人機(jī)校驗(yàn)程序，做到無感驗(yàn)證。從而達(dá)到完美的用戶體驗(yàn)。

2. 結(jié)合用戶的手機(jī)號碼 、IP地址 、設(shè)備指紋三個(gè)唯一身份標(biāo)識設(shè)置不同維度的風(fēng)控策略。將各個(gè)維度之間相互配合，達(dá)到一個(gè)最為合理的風(fēng)控限制指標(biāo)。

3. 根據(jù)業(yè)務(wù)情況自動(dòng)伸縮風(fēng)控限制，在檢測處受攻擊時(shí)自動(dòng)加大風(fēng)控限制力度，在正常是再歸回到正常風(fēng)控標(biāo)準(zhǔn)。

4. 考慮到存在新老客戶的區(qū)別，特意增加老客戶VIP通道，在受到攻擊時(shí)，風(fēng)控指標(biāo)緊縮的情況下，保證老客戶通道暢通無阻，從而降低誤傷率。

5. 通過以上策略可以有防止黑客通過隨意切換手機(jī)號及IP地址的方式可以刷取短信。同時(shí)加入模擬器檢測，以及參數(shù)加密等風(fēng)控策略，有效防止黑客攻擊。

6. 可通過風(fēng)控防火墻控制臺，實(shí)時(shí)觀測風(fēng)控結(jié)果，在受到攻擊時(shí)達(dá)到第一時(shí)間預(yù)警的效果。