iOS App中通過短信綁定設備安全攻擊

Question

我們為銀行創建了一個應用程序。 在該應用程序中，我們通過短信與電話號碼和設備詳細信息進行設備綁定。

現在，攻擊者以某種方式使用短信轉發技術將自己的設備與受害者的電話號碼綁定。

我們不確定攻擊者使用受害者電話號碼綁定自己設備的作案手法。

我們認為攻擊者在發送短信並將相同的短信轉發給受害者后，可能會使用 iMessage 從 App 同步短信。

注意：在我們的應用程序中，我們使用 MFMessageComposeViewController class 向銀行發送設備綁定消息。

我們正在尋找解決方案。 因此，攻擊者無法使用/復制應用程序中創建的短信中的文本消息以進行設備綁定並轉發給受害者。

Answer 1

正如評論中所指出的，您根本無法使用 SMS 進行注冊或為交易/登錄提供 OTP，因為攻擊向量太多。 以下將是更安全的注冊：

• 在用戶的網上銀行資料中使用限時二維碼或一次性代碼，如果他們沒有網上銀行，則在分行使用。 推薦這種方法。
• 通過安全問題和通過電子郵件發送給他們的密碼來完成應用內注冊。 如果沒有 email，則再次僅在分支中。

注冊完成后，您應該對 OTP 等使用推送通知而不是 SMS。還建議不要在推送通知本身中包含 OTP，而只是讓推送通知提示應用程序通過 https 請求 OTP。