[[347439]]

需要指出的是，這是短信驗(yàn)證碼的價(jià)值發(fā)揮，而非義務(wù)所在!憑什么手機(jī)號(hào)碼就可以驗(yàn)證個(gè)人信息，什么時(shí)候賦予手機(jī)號(hào)碼這個(gè)職能了?驗(yàn)證碼就能替代口令與用戶意志的話，還要身份鑒證作什么?

手機(jī)驗(yàn)證碼成"背鍋俠"，我來(lái)為電信運(yùn)營(yíng)商鳴個(gè)冤!

近日一篇名為《一部手機(jī)失竊而揭露的竊取個(gè)人信息實(shí)現(xiàn)資金盜取的黑色產(chǎn)業(yè)鏈》的文章引起了極大關(guān)注，文中以為ID為"信息安全老駱駝"的信安老兵詳細(xì)記錄了其夫妻二人在手機(jī)丟失后與黑產(chǎn)對(duì)抗的每一步。

對(duì)抗的結(jié)局是黑產(chǎn)最終"技高一籌"，最終導(dǎo)致美團(tuán)借貸產(chǎn)生5000元貸款，ETC信用卡產(chǎn)生各類買卡、充值等消費(fèi)記錄。

為什么一個(gè)信安老兵都在跟黑產(chǎn)的對(duì)抗中敗下陣來(lái)呢?幾乎所有的分析文章都把矛頭指向一個(gè)關(guān)鍵點(diǎn)——手機(jī)短信驗(yàn)證碼。顯然，按照輿論導(dǎo)向，這個(gè)鍋感覺(jué)要電信運(yùn)營(yíng)商背了。

果不其然，針對(duì)這個(gè)問(wèn)題，工信部今天發(fā)表消息，稱已于 10 月 12 日約談了涉事電信企業(yè)相關(guān)負(fù)責(zé)人，要求三家基礎(chǔ)電信企業(yè)在服務(wù)密碼重置、解掛等涉及用戶身份的敏感環(huán)節(jié)，在方便用戶辦理業(yè)務(wù)的同時(shí)強(qiáng)化安全防護(hù)，加強(qiáng)客服人員風(fēng)險(xiǎn)防范意識(shí)培訓(xùn)，警惕業(yè)務(wù)異常辦理行為。同時(shí)，工信部也提醒廣大用戶及時(shí)設(shè)置SIM卡密碼，在丟失手機(jī)后應(yīng)第一時(shí)間掛失，強(qiáng)化安全風(fēng)險(xiǎn)意識(shí)。

從現(xiàn)實(shí)情況來(lái)看，當(dāng)前"短信驗(yàn)證碼"已經(jīng)成為了所有人網(wǎng)絡(luò)空間身份認(rèn)證的主要渠道，使用手機(jī)號(hào)+驗(yàn)證碼就可以完成很多重要操作，比如快捷登錄、更改密碼、轉(zhuǎn)賬、支付、申請(qǐng)貸款等等操作。但是，在很多案件中，短信驗(yàn)證碼完全沒(méi)有起到身份認(rèn)證的作用，反而成為了黑產(chǎn)有機(jī)可乘的漏洞，造成用戶財(cái)產(chǎn)損失。

這樣看來(lái)，電信運(yùn)營(yíng)商背這個(gè)鍋也不是太冤枉，至少短信驗(yàn)證碼作為事實(shí)上的認(rèn)證工具，其安全性似乎沒(méi)達(dá)到承載人們財(cái)產(chǎn)安全這樣的高度。

但是，作為通信行業(yè)從業(yè)者，我還是想為電信運(yùn)營(yíng)商鳴下冤，因?yàn)槲艺J(rèn)為手機(jī)驗(yàn)證碼沒(méi)有必要、沒(méi)有義務(wù)給用戶身份認(rèn)證背書(shū)!

大概在2015年底開(kāi)始，由于網(wǎng)信辦發(fā)布的《互聯(lián)網(wǎng)用戶賬號(hào)名稱管理規(guī)定》，要求某些場(chǎng)景下互聯(lián)網(wǎng)用戶需實(shí)名，從此，中國(guó)互聯(lián)網(wǎng)企業(yè)紛紛開(kāi)始使用短信驗(yàn)證碼的方式進(jìn)行用戶鑒權(quán)，這是現(xiàn)成的最便捷的手段了。中國(guó)互聯(lián)網(wǎng)開(kāi)始建立一個(gè)基于"短信驗(yàn)證碼的身份認(rèn)證"實(shí)名制網(wǎng)絡(luò)空間，虛假賬號(hào)、仿冒賬號(hào)等等亂象得到了整治。可以說(shuō)，短信驗(yàn)證碼在維護(hù)互聯(lián)網(wǎng)秩序做出了巨大貢獻(xiàn)。

但需要指出的是，這是短信驗(yàn)證碼的價(jià)值發(fā)揮，而非義務(wù)所在!憑什么手機(jī)號(hào)碼就可以驗(yàn)證個(gè)人信息，什么時(shí)候賦予手機(jī)號(hào)碼這個(gè)職能了?驗(yàn)證碼就能替代口令與用戶意志的話，還要身份鑒證作什么?

短信驗(yàn)證碼雖然能充當(dāng)身份認(rèn)證手段，但其實(shí)并不能做到實(shí)人、實(shí)名、實(shí)證，只能做到實(shí)名、實(shí)證。前兩個(gè)問(wèn)題可以通過(guò)技術(shù)手段彌補(bǔ)，最后一個(gè)問(wèn)題卻是短信驗(yàn)證碼技術(shù)的天然缺憾。由此也引發(fā)了很多黑產(chǎn)犯罪事件。

事實(shí)上，我們的互聯(lián)網(wǎng)企業(yè)、尤其是互聯(lián)網(wǎng)金融企業(yè)，應(yīng)該與時(shí)俱進(jìn)地去更新自己系統(tǒng)的身份可信認(rèn)證工具，比如，涉及借貸這類高風(fēng)險(xiǎn)的業(yè)務(wù)，為什么不能引入動(dòng)態(tài)刷臉驗(yàn)證呢?在目前已公布的金融科技創(chuàng)新應(yīng)用中可以看到大量有關(guān)可信身份認(rèn)證與大數(shù)據(jù)風(fēng)控相關(guān)的應(yīng)用。

都互聯(lián)網(wǎng)時(shí)代了，很多人的思想還停留在2G時(shí)代!

附. 普及一下手機(jī)PIN碼的設(shè)置流程吧。

SIM卡設(shè)置PIN碼后，手機(jī)開(kāi)機(jī)時(shí)(比如換卡后重新開(kāi)機(jī))會(huì)要求輸入PIN碼，輸入錯(cuò)誤三次之后卡將會(huì)被鎖住，相當(dāng)于是增加了一道門檻。那SIM卡的PIN碼如何設(shè)置呢?

以小米手機(jī)為例(系統(tǒng)為MIUI12)，首先點(diǎn)開(kāi)設(shè)置>點(diǎn)擊【密碼與安全】>點(diǎn)擊【系統(tǒng)安全】，這時(shí)候在"SIM卡鎖定方式"這一欄的下方就會(huì)出現(xiàn)你手機(jī)的電話卡，點(diǎn)擊進(jìn)去就可以設(shè)置鎖定你的SIM卡了，同時(shí)可以進(jìn)行PIN碼的修改，默認(rèn)的PIN碼一般是"1234"。

本文轉(zhuǎn)載自微信公眾號(hào)「悲了傷的白犀牛」，作者悲了傷的白犀牛。轉(zhuǎn)載本文請(qǐng)聯(lián)系悲了傷的白犀牛公眾號(hào)。