移動(dòng)互聯(lián)網(wǎng)時(shí)代，我們幾乎是“生活在手機(jī)上”，每一天，登陸各種APP、使用任何互聯(lián)網(wǎng)服務(wù)的時(shí)間，幾乎占用了我們生活的大量時(shí)間。而驗(yàn)證碼，則是和我們“天天見”。
如今正悄然流行的“免密認(rèn)證”技術(shù)，其最大的作用正是在于取代“手機(jī)驗(yàn)證碼”。
當(dāng)然，有很多對(duì)于使用體驗(yàn)不那么敏感的用戶反而覺得，收發(fā)驗(yàn)證碼的時(shí)間對(duì)于他們而言，無(wú)足輕重。同時(shí)，驗(yàn)證碼于他們而言，更多意義上而言是一種提醒——提醒自己賬戶情況有變動(dòng)。
實(shí)際上，驗(yàn)證碼也就僅剩下提醒這一個(gè)比較實(shí)用的功能，更多情況下，驗(yàn)證碼帶來(lái)的不是安全，而是風(fēng)險(xiǎn)。
發(fā)生在身邊的案例
媒體的報(bào)道中，關(guān)于手機(jī)安全的案例比比皆是：又是誰(shuí)的信用卡被盜刷了，誰(shuí)的支付寶賬戶被黑了……
那么到底是怎么一回事？我們不妨看看兩個(gè)身邊的例子：
在網(wǎng)上盜刷案件中，詐騙分子冒充電商平臺(tái)客服人員，以“訂單出現(xiàn)異常需退款”發(fā)短信，或是虛擬銀行客服號(hào)碼發(fā)送“積分兌換”“網(wǎng)上銀行升級(jí)”等短信，誘騙受害者點(diǎn)擊木馬鏈接或登錄釣魚網(wǎng)站，獲取受害者身份證號(hào)、銀行賬號(hào)、密碼、驗(yàn)證碼等信息，竊取其賬戶存款。
2015 年 7 月，犯罪分子利用重慶三峽銀行研發(fā)的在線支付平臺(tái)“三峽付”，3 天之內(nèi)竊取 43 名客戶逾百萬(wàn)元銀行卡資金。犯罪分子先向受害者手機(jī)發(fā)送含有木馬病毒的短信，受害者點(diǎn)擊短信后，犯罪分子就能獲取手機(jī)內(nèi)的全部信息并攔截其后該手機(jī)收到的任何短信。犯罪分子從這些信息中篩選出開戶人姓名、身份證號(hào)碼、銀行卡號(hào)、開戶銀行預(yù)留手機(jī)號(hào)等信息，并利用這些信息注冊(cè)“三峽付”電子賬戶，將受害者銀行卡與“三峽付”賬戶綁定。
這些詐騙作案的共同特點(diǎn)就是“竊取用戶驗(yàn)證碼”。一種是通過花言巧語(yǔ)的方式騙取用戶驗(yàn)證碼，經(jīng)過公安同志和各大電商平臺(tái)的不斷提醒，大家對(duì)于這種方式的戒備心還是比較高的；另外一種方式，是通過所謂的“木馬”，截取用戶短信記錄的方式獲取用戶信息，警惕性不高的用戶容易上當(dāng)。
另外還有一種比較不容易防范的方式，尤其是在 Android 手機(jī)上，一些的應(yīng)用會(huì)“嘗試獲得讀取短信”的權(quán)限，很多時(shí)候，用戶為了貪圖一時(shí)輸入驗(yàn)證碼的方便，也不管是什么應(yīng)用都會(huì)“放權(quán)”。有時(shí)候，甚至是一些不安全開放式 Wi-Fi 也暗含著竊取用戶賬戶的短信驗(yàn)證碼的風(fēng)險(xiǎn)。
實(shí)際上，對(duì)于那些足夠謹(jǐn)慎的用戶而言，驗(yàn)證碼的安全性確實(shí)很高，但人總會(huì)有“百密一疏”的時(shí)候。尤其是對(duì)于老人和小孩兒而言，他們對(duì)于一些手機(jī)權(quán)限并不了解，更容易成為詐騙分子的“刀俎”。
沒有驗(yàn)證碼，賬戶就安全了？
據(jù)公安部經(jīng)偵局相關(guān)負(fù)責(zé)人介紹，2016 年上半年，全國(guó)立案查處竊取、收買、非法提供銀行卡信息犯罪案件 177 起，同比上升 4.5 倍。銀行卡信息泄露方式從以往的改裝POS機(jī)、ATM機(jī)竊取數(shù)據(jù)和密碼等，發(fā)展為利用黑客技術(shù)或偽基站等批量盜取方式。同時(shí)，有些用戶習(xí)慣使用同樣的密碼，往往不法分子還能通過撞庫(kù)的方式竊取到此用戶的其他賬戶資料。
顯然傳統(tǒng)密碼這種方式應(yīng)對(duì)這一方面的攻擊顯得尤為脆弱——因?yàn)槿魏我环N認(rèn)證方式都算是弱認(rèn)證，必須獨(dú)立使用兩種甚至三種才算是強(qiáng)認(rèn)證，然而，開啟二次驗(yàn)證的用戶更是少之又少。 二次驗(yàn)證的最主要問題在于其繁瑣性，而這正是免密認(rèn)證的優(yōu)勢(shì)所在。電信的免密認(rèn)證可以精確識(shí)別當(dāng)前用戶的手機(jī)號(hào)碼，一鍵驗(yàn)證通過，省去了短信驗(yàn)證碼的繁瑣流程，避免了被劫取的風(fēng)險(xiǎn)，毫無(wú)疑問，我們登陸各種應(yīng)用的方式會(huì)變得簡(jiǎn)單而安全——我們僅需點(diǎn)擊“允許應(yīng)用獲取手機(jī)號(hào)碼”，一鍵認(rèn)證即可。
比如，在異地取款和消費(fèi)的時(shí)候，銀行不僅需要向中國(guó)電信核實(shí)用戶的所在地，還需要用戶登錄認(rèn)證應(yīng)用進(jìn)行手動(dòng)的“一鍵認(rèn)證”。這樣就極大地降低信用卡或借記卡被盜刷的風(fēng)險(xiǎn)。
同時(shí)，接入了“天翼免密認(rèn)證”服務(wù)的服務(wù)提供商必然會(huì)經(jīng)過中國(guó)電信方面的審核，意味著其在安全性上面有認(rèn)證。
如果我要銷號(hào)……
現(xiàn)在對(duì)于大多數(shù)人而言，一臺(tái)手機(jī)的價(jià)值或許還比不上手機(jī)里的手機(jī)號(hào)。手機(jī)號(hào)碼上面綁定了大量的用戶賬號(hào)，在移動(dòng)互聯(lián)網(wǎng)時(shí)代，手機(jī)號(hào)就相當(dāng)于我們的另一個(gè)身份證號(hào)。
如果要更換手機(jī)號(hào)，就需要大量的時(shí)間去解綁手機(jī)號(hào)碼，這對(duì)用戶，服務(wù)提供商和電信運(yùn)營(yíng)商而言，都是個(gè)大問題——用戶不記得自己手機(jī)號(hào)關(guān)聯(lián)了多少賬戶，服務(wù)提供商不知道用戶是否銷號(hào)，而運(yùn)營(yíng)商也不知道是否能“二次放號(hào)”。
在傳統(tǒng)驗(yàn)證碼的時(shí)代，用戶更換手機(jī)號(hào)，忘記解綁，需要提供大量的資料去證明“我是我”，細(xì)致到“什么時(shí)候”注冊(cè)賬號(hào)這樣的問題根本答不上來(lái)；服務(wù)提供商則需要花費(fèi)大量的人力和時(shí)間去驗(yàn)證用戶資料的真?zhèn)?，以及和用戶溝通反饋；至于運(yùn)營(yíng)商“二次放號(hào)”后，第二名用戶則可能會(huì)接收到一些與自己無(wú)關(guān)的驗(yàn)證碼。如果能有一個(gè)機(jī)制能打破這之間的信息不對(duì)稱，那么問題就迎刃而解了。
“天翼免密認(rèn)證”，就是一個(gè)平衡雙方信息的橋梁。在免密認(rèn)證機(jī)制中，中國(guó)電信扮演的是“信息庫(kù)”的角色，服務(wù)提供商有權(quán)限要求它核實(shí)一些信息：比如用戶入網(wǎng)時(shí)間是否早于某一具體的時(shí)間，當(dāng)前用戶是否在網(wǎng)等等。在這個(gè)過程中，服務(wù)提供商能確定當(dāng)前手機(jī)號(hào)是否已經(jīng)注銷。
如果今后中國(guó)電信方面能進(jìn)一步開放可供比對(duì)的權(quán)限，比如提供實(shí)名認(rèn)證的比對(duì)。只要用戶提供賬戶實(shí)名信息， 那么解綁注銷號(hào)碼的步驟將會(huì)極大地簡(jiǎn)化——用戶向電信提供自身實(shí)名信息，中國(guó)電信做為信息庫(kù)和平臺(tái)，負(fù)責(zé)核實(shí)信息的正確與否；服務(wù)提供商全程不獲取任何用戶實(shí)名信息，從電信給出的回答中，確認(rèn)申請(qǐng)解綁用戶和手機(jī)號(hào)主人是否為同一人。
就目前而言，中國(guó)電信的“天翼免密認(rèn)證”服務(wù)還處于推廣階段，其應(yīng)用場(chǎng)景將來(lái)不僅僅局限于“替代驗(yàn)證碼”這么簡(jiǎn)單。作為未來(lái)密碼的潛在替代品，這項(xiàng)服務(wù)能夠在很多領(lǐng)域發(fā)揮作用。（本文首發(fā)鈦媒體）
快報(bào)
根據(jù)《網(wǎng)絡(luò)安全法》實(shí)名制要求，請(qǐng)綁定手機(jī)號(hào)后發(fā)表評(píng)論
從認(rèn)證登錄的安全性方面來(lái)看，免密認(rèn)證登錄從技術(shù)上來(lái)說，是在安全性和快捷性的平衡中又取得了一個(gè)新的突破。就這點(diǎn)而言，這是電信運(yùn)營(yíng)商在移動(dòng)互聯(lián)網(wǎng)應(yīng)用上的一次大膽嘗試。但從應(yīng)用場(chǎng)景來(lái)看，無(wú)非是從2B和2C兩個(gè)方面來(lái)看：首先，2C方面，中國(guó)電信首先可以在自有的應(yīng)用上大膽嘗試，這種教育用戶的成本是更低的。這取決于中國(guó)電信在眾多的自有應(yīng)用方面的落地決心和執(zhí)行力；其次，2B方面，這是免密認(rèn)證登錄能否更廣泛的得到應(yīng)用的關(guān)鍵突破方向，畢竟單純地靠電信的自有應(yīng)用是不夠的。而企業(yè)，尤其是本身已經(jīng)有了自己成熟的賬號(hào)體系的企業(yè)，為什么要用?；蛘咴赒Q號(hào)、微信號(hào)或者微博賬號(hào)已經(jīng)成為普遍使用的登錄認(rèn)證的情況下，為什么要使用免密登錄。另外，運(yùn)營(yíng)商的手機(jī)號(hào)碼實(shí)際上與微博、微信等這些都已經(jīng)綁定，如果使用了手機(jī)號(hào)碼的免密認(rèn)證登錄，是否能夠?qū)崿F(xiàn)原有微博等賬號(hào)的信息的同步，如果不能，讓用戶在這些會(huì)員成長(zhǎng)體系上重新打怪升級(jí)是不可能的。如果要同步，那么問題是這些應(yīng)用服務(wù)提供商為什么要跟運(yùn)營(yíng)商共享這些核心數(shù)據(jù)？答案只有一個(gè)，電信運(yùn)營(yíng)商手上有這些應(yīng)用服務(wù)商不具有的獨(dú)特的能力。或者，電信運(yùn)營(yíng)商能夠拿出包括流量資源在內(nèi)的相關(guān)資源來(lái)互換，從而推動(dòng)免密認(rèn)證登錄獲得主流的互聯(lián)網(wǎng)應(yīng)用企業(yè)的支持。從目前已有的合作案例來(lái)看，今日頭條是一個(gè)。后續(xù)，借助同一個(gè)品類的應(yīng)用的競(jìng)爭(zhēng)性關(guān)系突破是一個(gè)方向。歸納起來(lái)，核心還是，免密認(rèn)證登錄，除了更安全和快捷之外，合作企業(yè)為什么要去推，這個(gè)價(jià)值點(diǎn)要解決。期待中國(guó)電信接下來(lái)解決這個(gè)關(guān)鍵問題。
記得有一次登錄扣扣的時(shí)候，是用驗(yàn)證碼登錄，然后發(fā)來(lái)一條短信說驗(yàn)證碼在鏈接里面，我點(diǎn)開后，我的扣扣就被盜了，淚奔?。?/p>
發(fā)文的渠道聯(lián)系一下我，謝謝！
想放棄一個(gè)手機(jī)號(hào)是特別難的事，因?yàn)榻壎烁鞣NAPP。不過現(xiàn)在天翼賬號(hào)有了對(duì)于銷戶用戶的解決方案就太好了，只要提供賬戶實(shí)名信息，電信就會(huì)核實(shí)賬戶的信息，如果確認(rèn)了申請(qǐng)解綁用戶和手機(jī)號(hào)主人是同一人， 就可實(shí)現(xiàn)綁定手機(jī)號(hào)的更換了。現(xiàn)在換手機(jī)號(hào)都不用愁了，挺好的。
當(dāng)今短信驗(yàn)證是挺便利的，但是安全性也是可想而知的。看到文章中的案例，其實(shí)我們生活中的也有不少這樣的事發(fā)生，發(fā)生在自己身上的也有，更希望說能不能在驗(yàn)證方式更方便一點(diǎn)，更安全性一點(diǎn)。最近看朋友在用免密登錄，他說安全性高，快捷，還不用密碼就能登錄。天翼賬號(hào)，189郵箱之類的都可以用。自己也嘗試了下，確實(shí)是挺不錯(cuò)的。值的推薦給大家。不要讓大家飽受短信驗(yàn)證的折磨了。
有一次用了個(gè)手機(jī)銀行APP，想著要登錄轉(zhuǎn)個(gè)賬，然后發(fā)了驗(yàn)證碼一直收不到，最后才發(fā)現(xiàn)我銀行卡的錢都沒了，還好那張卡只有300塊，但是我還是好心痛，300塊夠我吃兩個(gè)星期了，就這么沒了，我到現(xiàn)在才清楚原因，原來(lái)驗(yàn)證碼被木馬攔截了。
特別希望有越來(lái)越多的APP可以使用天翼賬號(hào)免密登錄，因?yàn)樵谝淮闻既坏那闆r下，我發(fā)現(xiàn)我的189郵箱居然可以免密登錄，就一鍵按下去就登錄，不用輸入密碼，然后就覺得不用輸入密碼這件事真好！
軟廣
風(fēng)險(xiǎn)什么的，大家都是一直這樣過來(lái)的了，什么大風(fēng)大浪沒見過。關(guān)鍵是夠方便就行，你講的免密登錄現(xiàn)在又不能登錄到主流APP，不頂用啊大哥