短消息/短信(SMS)服务诞生于1992年，第一条短信内容是 “圣诞节快乐( Merry Christmas )”。
尽管缺点一大堆：没有已读回执，有字数限制，而且依赖手机号码等等;但短信真的已经伴随我们度过了27年的时光。世界上很多人都已经迁移到了更好、更安全的消息平台，比如iMessage、WhatsApp和有望很快推出的融合通信( RCS：Rich Communication Suite )。
短信由于其无可争议的泛在性而沿用至今，虽然微信等即时通讯软件几乎取代了短信的沟通方式，但在中国商业市场上，业务级的短信收入这两年反而有不断增长的趋势。这主要是因为，短信做为双因子认证的便易性。
令人担忧的是，短信的安全性似乎每天都在下降。尽管美国国家技术与标准局(NIST)在2016年时就建议不采用短信作为身份验证因子，但很多网站和移动应用仍要求短信形式的第二身份验证因子。短信的不安全性众所周知，所以关于短信作为身份验证系统的讨论，倒是更多落脚在到底什么技术能够替代它上。
绕过短信验证的方法多种多样，不用细想就能举出来一堆。以下这些是最常见的：
1. 手机号码转移
手机号转网相对容易的国家也就更容易发生双因子身份验证(2FA)绕过攻击。澳大利亚就是此类攻击的主要早期狩猎场。攻击者收集到目标的凭证后便可以研究受害者的手机号码，给运营商打个电话，就能将该号码分配到攻击者控制之下的手机上。至此，所有的2FA验证码可被攻击者截获，而受害者往往毫无所觉。等他们第二天醒来的时候才发现自己的手机已停止服务，而在申请找回号码的一周里，银行账户的钱已经被攻击者取走了。
2. 移动运营商端拦截
这是去年爆发的一种新型攻击方式。攻击者通过移动运营商的客户门户来获取2FA验证码。如果某人太过懒惰，电子邮件和移动账户都重复使用相同的密码，攻击者只需要登录用户的移动账户，在存储的短信当中查找，便能获取到2FA验证码。然后就可以重置银行口令，大摇大摆地清空用户的账户了。
3. 恶意软件截获
至少自2014年起，便有定制的恶意软件可以感染手机并截获基于短信的2FA验证码。有时候这种恶意软件是银行木马的一部分。其他情况下，该恶意软件仅仅是转发2FA验证码给攻击者。安卓生态系统中该问题尤其严重，但苹果系统中几乎没有见到过。
4. 遗失手机重置密码
现代社会，丢手机换号码就跟糖尿病一样常见。所以，使用短信身份验证系统的所有服务都必须有可供用户重置账户和更新手机号码的恢复服务。如果攻击者已经入侵了电子邮件账户 (比如利用用户重复使用密码的漏洞)，那他们就可以重置、更新或者绕过该2FA系统。遗失手机和密码重置页面是如今最常见的自动化攻击目标。检查一下忘记密码页面 (lost-password.html) 的访问日志，你会惊讶于这个页面被访问的次数和访问时间点。
5. 社会工程
针对特定组织或个人下手的攻击者会使用社会工程方法来绕过2FA。举个例子，攻击者给你打电话，声称自己是你银行的客户经理，正在进行账户欺诈检查，将给你发一个身份验证码，让你给他念一遍。然后，在你等待的期间，攻击者就用你念给他的验证码登录了你的账户。攻击者一边谢谢你的合作，一边眼都不眨地搬走你账户中每一分钱。
6. 中间人网站代理——Modlishka
一组研究人员创建了Modlishka网络钓鱼代理框架，向人们展示诱骗用户输入短信2FA验证码有多容易。演示视频堪称对安全社区的当头一棒。
理论上，非短信2FA的攻击界面要小得多(1-4点)。社会工程方法(第5点)则一直都很有效，这个问题是技术解决不了的。Modlishka框架(第6点)显示的最后一种攻击方法最为令人担忧。Modlishka能用于任意2FA系统，包括不基于短信的那些，因为一旦访问了该网络钓鱼筐架，用户会话就已经被黑了。
但即便有上述多种绕过方法，双因子身份验证和多因子身份验证依然是防御者工具箱中的必备。只不过，基于短信的2FA系统明显老态龙钟了。
戳这里，看该作者更多好文
双色球中了一等奖去哪里领奖呢
1、拿着彩票到市福彩中心兑奖窗口验票（大概10分钟左右，期间会让你在彩票背面签名，记得带身份证哦）。 2、核对奖金金额，确认缴税金额，签字。 缴税开发票(税额从奖金里扣除)。 3、给一张兑奖通知单，等待省福彩中心划拨奖金。 （大概10个工作日，等电话通知）。 4、拿兑奖通知单，身份证到窗口领取支票。 5、拿支票到指定银行领取奖金（一般银行经理会直接接你到VIP室全程服务）。 双色球的中奖率是极低的，仅次于大乐透：想要中双色球二等奖这个中奖概率为118万分之一，这个概率已经是非常低了，那么想要中一等奖的概率就是1772万分之一，难度翻了几番，可是双色球每期都有人中奖。 这真的只能说是运气加上运气，再加上那么一点技巧与坚持，这里没有多少技术含量，每次中奖的人基本上都是每次都买，买的不多，有自己偏爱的号码，其他各种方法计算推测都只是参考，毕竟面对这么庞大的基数，怎么算投资都是巨大的，中奖概率并没有减少多少，所以说购彩就是心态，花上10块8块买个梦想，自己该努力工作还是要努力工作。
一天喝多少杯酸奶最佳？
早上一杯牛奶，晚上一杯酸奶是最为理想的。 但是有些人特别喜爱酸奶，往往在餐后大量喝酸奶，可能造成体重增加。 这是因为酸奶本身也含有一定热量，饭后喝酸奶就等于额外摄入这些热量，引起了体重上升。 对于健康的人来说，每天喝一两杯，也就是说，一天大约食用250-500克是比较合适的。 最好饭后半小时到一个小时饮用，可调节肠道菌群，对身体健康有利。
怎样去除雀斑
无论是中医还是西医都认为，局部的色斑应透过人体全身状态的调整予以治疗，而不是局限于对局部斑块的处理，也就是所谓的“治表必须治里”。 故，使用珍珠粉对付色斑，必须从内、外两个方面着手： 一、内服珍珠粉或其它抗氧化产品.药物治疗:辅助用药可口服维生素C，1次0.2～0.4g，1日3次；或维生素E，1次50mg，1日3次，连续数月。 中成药可选六味地黄丸，其滋阴补肾，蜜丸1次1丸，片剂1次8片，胶囊1次8粒，均1日2次，有一定疗效。 近年来应用二氧化碳激光或液氮冷冻治疗雀斑，也有较好疗效，但仅限于比较表浅的雀斑。 日常生活:应注意避光，防止日光直射面部，外出时应戴个遮阳帽或打旱伞，也可在暴露部位外涂防晒膏. 用半只番茄绞碎至糊状，再加两滴甘油，放入冰箱，每天敷脸上一次，坚持一段时间雀斑自然隐退~！！ 二、做珍珠粉面膜：目前为止淡斑效果比较好的方法是坚持做珍珠粉牛奶面膜。 方法是：洁面后，取珍珠粉0.3G，配合适量牛奶混匀后敷面，对于有斑区域可轻轻按摩以促进血液循环，十五分钟后洗去，每周二到三次，效果很好。 也可以在面膜里加入适量VE、蜂蜜，将会更加滋润，并有良好的抗氧化和防衰老作用。 但此方法不适宜有痘肌肤。 对于有痘肌肤而言，首要任务是先把痘痘解决掉.需要说明一点，斑是所有皮肤里最难解决的问题之一，色素位于真皮层，各种对付斑的有效成分难以达到，故只能通过长期护理解决，使用任何天然的去斑产品都是如此，使用珍珠粉淡斑，见效时间在3个月以上，而且一般只能淡化而无法消除。 而且，还必须注意防晒，紫外线的确有加重斑的作用 。 由此看来，从平日里就注意保养，避免斑的出现更加合算一些。 淡斑，切忌急功近利，有一些产品淡斑虽然在短期内非常有效，但是重金属含量超标，或者添加了地塞米松之类的激素成分，短期内一用就白，但会严重损坏皮肤，使其变得极其脆弱.自制面膜； 白茯苓研磨；用蜜调和每夜敷面。 黑丑研磨；用鸡蛋清调和夜间竺妗⒃缡窍慈ァ?nbsp; 外搽3％氢醌霜或双氧水，可以暂时有效，也可每日一次搽用3％的乳酸至退屑。 还可由专业医师用60％左右三氯醋酸点涂进行化学剥脱，外售的雀斑霜有些也可用。 除了上述的外用药物治疗外，还可使用短时间的液氮喷雾冷冻，中药外用制剂治疗。 但上述治疗的效果往往不稳定。 还可以用以下办法适试试： 1.每天吃一片维生素C和维生素E，可达到祛斑的作用。 2.用干净的茄子皮敷脸，一段时间后，小斑点就不那么明显了。 3.每天喝一杯西红柿汁或常用西红柿，对防止祛斑有较好的作用。 因为西红柿中含有丰富的谷胱甘肽，谷胱甘肽可抑制黑色素，从而使沉着的色素减退或消失。 4.洗脸时，在水中加1-2汤匙的食醋，有减轻色素沉着的作用。 5.将鲜明萝卜辟碎挤汁，取10-30毫升，每日上晚洗完脸后涂抹，待干后，洗净。 此外，每日喝一杯胡萝卜，可美白肌肤。 6.将柠檬汁搅汁，加糖水适量饮用。 柠檬中含有大量维生素C、钙、磷、铁等。 常饮柠檬汁不仅可美白肌肤，还能使黑色素沉淀，达到祛斑的作用。 木瓜和牛奶，用搅拌机打碎，敷在脸上，二十分钟左右洗掉。 坚持一个星期，会有不错的效果！
发表评论