iOS App中通过短信绑定设备安全攻击

Question

我们为银行创建了一个应用程序。 在该应用程序中，我们通过短信与电话号码和设备详细信息进行设备绑定。

现在，攻击者以某种方式使用短信转发技术将自己的设备与受害者的电话号码绑定。

我们不确定攻击者使用受害者电话号码绑定自己设备的作案手法。

我们认为攻击者在发送短信并将相同的短信转发给受害者后，可能会使用 iMessage 从 App 同步短信。

注意：在我们的应用程序中，我们使用 MFMessageComposeViewController class 向银行发送设备绑定消息。

我们正在寻找解决方案。 因此，攻击者无法使用/复制应用程序中创建的短信中的文本消息以进行设备绑定并转发给受害者。

Answer 1

正如评论中所指出的，您根本无法使用 SMS 进行注册或为交易/登录提供 OTP，因为攻击向量太多。 以下将是更安全的注册：

• 在用户的网上银行资料中使用限时二维码或一次性代码，如果他们没有网上银行，则在分行使用。 推荐这种方法。
• 通过安全问题和通过电子邮件发送给他们的密码来完成应用内注册。 如果没有 email，则再次仅在分支中。

注册完成后，您应该对 OTP 等使用推送通知而不是 SMS。还建议不要在推送通知本身中包含 OTP，而只是让推送通知提示应用程序通过 https 请求 OTP。