中移动推出动态短信验证码安全防护详解

《中移动出品动态短信验证码安全防护方案》是中国移动于2014年9月发布的一份重要文档，旨在解决因“短信炸弹”攻击导致的短信验证码滥用问题。短信炸弹是一种恶意互联网攻击手段，通过循环利用不同网站的动态短信服务，向受害者发送大量验证短信，干扰用户正常业务并引发大量投诉。这种攻击特别针对那些无需用户登录认证，仅在用户注册、好友邀请或密码找回等环节使用动态短信验证码的服务。 方案首先定义了问题背景，强调了集团客户和代理商报告的频繁验证码短信现象，以及这些骚扰短信对用户体验和投诉量的影响。攻击者利用web前端收集受害者手机号码，并通过后台脚本发送HTTP请求到各个网站的动态短信发送URL，从而绕过一些系统的限制。 针对这一问题，方案提出了动态短信验证码的安全防护措施，涵盖了以下几个关键点： 1. 安全防护方案：方案详细阐述了如何实施安全策略，以防止恶意请求的发送。这可能包括设置频率限制、IP封锁、验证码复杂度提升等技术手段，以确保短信验证码的正常使用不被滥用。 2. 图片验证码：为了增强安全性，方案强调了图片验证码的使用，即在发送动态验证码时添加图形验证码，这需要确保图形验证码的实现机制安全可靠，同时满足一定的安全设计要求，如防破解、识别难度适中等。 3. 适用范围：方案明确指出，所有公网可访问且在非认证场景下发送短信的业务，无论是否涉及短信验证码，都应遵循此方案，以确保用户信息安全。 4. 实施方案：中移动总部市场经营部负责方案的制定，而各省公司则需要根据自身情况制定细化操作规程，并自方案下发之日起执行。 《中移动动态短信验证码安全防护方案》不仅关注于提升短信验证码的到达率，更着重于防范恶意攻击，保护用户隐私和业务系统的稳定运行。通过执行严格的防护措施，企业可以有效降低短信炸弹带来的风险，保障业务的正常进行。