在移動(dòng)互聯(lián)網(wǎng)時(shí)代，大量的網(wǎng)站、手機(jī)app和小程序等都在使用短信驗(yàn)證碼作為驗(yàn)證用戶(hù)身份的安全技術(shù)措施。在電商節(jié)和節(jié)假日期間，企業(yè)的促銷(xiāo)、抽獎(jiǎng)、互動(dòng)活動(dòng)等也讓會(huì)員營(yíng)銷(xiāo)短信迎高峰期，生活中企業(yè)與用戶(hù)之間用到短信的場(chǎng)景非常頻繁。
但根據(jù)創(chuàng)藍(lán)253多年的服務(wù)經(jīng)驗(yàn)來(lái)看，企業(yè)短信驗(yàn)證碼遭到盜刷刷量的現(xiàn)象也不在少數(shù)。曾經(jīng)出現(xiàn)不少企業(yè)用戶(hù)業(yè)務(wù)的短信驗(yàn)證碼功能被攻擊，短信接口被惡意利用，導(dǎo)致業(yè)務(wù)無(wú)法正常訪問(wèn)的情況。此外，短信遭受盜刷也會(huì)造成企業(yè)營(yíng)銷(xiāo)和運(yùn)營(yíng)資金的流失。
創(chuàng)藍(lán)253提出了八招防范短信接口被刷的方法：
第一，手機(jī)號(hào)碼的有效性和真實(shí)性檢測(cè)：在注冊(cè)登錄窗口增加號(hào)碼的真實(shí)性和有效性檢測(cè)，防止惡意盜刷者使用無(wú)效的或非法的號(hào)碼，第一時(shí)間屏蔽亂碼數(shù)字的號(hào)碼。
第二，隱藏的驗(yàn)證碼隨機(jī)校驗(yàn)在注冊(cè)頁(yè)添加個(gè)隱藏的的隨機(jī)驗(yàn)證碼，發(fā)短信前驗(yàn)證一下，確保短信驗(yàn)證碼的請(qǐng)求是在真實(shí)的頁(yè)面上點(diǎn)擊。
第三，增加一些簡(jiǎn)單的圖形驗(yàn)證碼：在用戶(hù)進(jìn)行“獲取動(dòng)態(tài)短信”操作前，先讓用戶(hù)識(shí)別圖片驗(yàn)證碼，通過(guò)圖形驗(yàn)證后，才能將動(dòng)態(tài)的短信驗(yàn)證碼發(fā)送到用戶(hù)手上，該方法可有效緩解短信轟炸問(wèn)題。
第四，同號(hào)碼短信發(fā)送頻率限制：一般來(lái)說(shuō)，無(wú)論是短信服務(wù)商還是企業(yè)，都應(yīng)該設(shè)置同一號(hào)碼的短信驗(yàn)證碼請(qǐng)求限制，當(dāng)單個(gè)用戶(hù)請(qǐng)求發(fā)送一次動(dòng)態(tài)短信之后，服務(wù)器端應(yīng)該限制在一定時(shí)長(zhǎng)之后(此處一般為30-60秒)，才能進(jìn)行第二次動(dòng)態(tài)短信請(qǐng)求。該功能可進(jìn)一步保障用戶(hù)體驗(yàn)，避免包含手動(dòng)攻擊惡意發(fā)送垃圾驗(yàn)證短信。
第五，不同號(hào)碼請(qǐng)求數(shù)量限制：根據(jù)業(yè)務(wù)特點(diǎn)，針對(duì)不同手機(jī)號(hào)碼、不同訪問(wèn)源IP訪問(wèn)請(qǐng)求進(jìn)行頻率限制，防止高并發(fā)非法請(qǐng)求消耗更多的短信包和服務(wù)器性能，提高業(yè)務(wù)穩(wěn)定性。
第六，場(chǎng)景流程限定：將手機(jī)短信驗(yàn)證和用戶(hù)名密碼設(shè)置分成兩個(gè)步驟，用戶(hù)在填寫(xiě)和校驗(yàn)有效的用戶(hù)名密碼后，下一步才進(jìn)行手機(jī)短信驗(yàn)證，并且需要在獲取第一步成功的回執(zhí)之后才可進(jìn)行校驗(yàn)。
第七，啟用https協(xié)議：為網(wǎng)站配置證書(shū)，啟用https加密協(xié)議，防止傳輸明文數(shù)據(jù)被分析。
第八，單IP請(qǐng)求限定：同一IP和同一手機(jī)號(hào)碼一樣，當(dāng)某個(gè)IP地址請(qǐng)求發(fā)送一次動(dòng)態(tài)短信之后，服務(wù)器端應(yīng)該限制在一定時(shí)長(zhǎng)之后(此處一般為30-60秒)，才能進(jìn)行第二次動(dòng)態(tài)短信請(qǐng)求。同時(shí)設(shè)置同一天同一IP的短信驗(yàn)證碼請(qǐng)求次數(shù)限制，免攻擊者通過(guò)同一個(gè) IP 盜刷大量的企業(yè)短信驗(yàn)證碼條數(shù)。
創(chuàng)藍(lán)253分控部門(mén)負(fù)責(zé)人認(rèn)為：任何事情都需要一定的安全防控措施，企業(yè)可以根據(jù)業(yè)務(wù)的實(shí)際情況考慮，從以上的8個(gè)方法中選擇并組合成最適合自身的最佳方案，防止短信接口被盜刷。并且提高技術(shù)人員在實(shí)際活動(dòng)中的安全意識(shí)，提前防范風(fēng)險(xiǎn)。
