短信平臺一般是指企業(yè)中用于提供短信服務(wù)的系統(tǒng)，一般包括發(fā)送短信、驗證短信驗證碼等功能。雖然短信平臺看似功能簡單，但由于短信功能應(yīng)用廣泛，業(yè)務(wù)場景豐富，其安全性非常重要。由于工作需要，最近整理了一個短信平臺安全需求，在此記錄分享。

(1)請求獲取驗證碼功能界面

功能使用場景：一般是前臺應(yīng)用系統(tǒng)(渠道端)攜帶用戶的IP手機(jī)號碼到短信平臺界面獲取驗證碼。

面向安全風(fēng)險的功能安全需求設(shè)計

短信轟炸1。對于單個IP單手電話號碼，限制每單位時間對接口的請求數(shù)量，如果超過限制，則禁止IP。

短信驗證碼可以猜到。2.短信驗證碼的內(nèi)容不能是不安全的隨機(jī)數(shù)(不要使用可預(yù)測的標(biāo)識符和確認(rèn)碼組合)且滿足強(qiáng)度要求(6位及以上)。

未經(jīng)授權(quán)的手機(jī)號碼獲取驗證碼3。支持手機(jī)號碼黑白列表控制策略。

短信轟炸4。短信采集接口支持防重發(fā)(給cookie加時間戳等)。).

未經(jīng)授權(quán)的應(yīng)用程序獲得驗證碼。5.短信采集接口支持認(rèn)證驗證。

短信驗證碼的驗證繞過6。短信驗證碼的內(nèi)容不能通過界面直接返回到前臺應(yīng)用，可以返回到發(fā)送狀態(tài)。

篡改短信驗證碼7的內(nèi)容。短信驗證碼的內(nèi)容不能從前端應(yīng)用系統(tǒng)導(dǎo)入，而是通過短信平臺后端定制的模板綁定到前端應(yīng)用系統(tǒng)。

繞過單手手機(jī)號8的發(fā)送次數(shù)限制。對前端應(yīng)用系統(tǒng)導(dǎo)入的手機(jī)號碼進(jìn)行字符處理和格式驗證，過濾非數(shù)字字符，確保格式正確。

短信轟炸9。單手手機(jī)號請求短信驗證碼的間隔限制(如60s)，間隔內(nèi)不允許再次請求驗證碼。

水平短信轟炸10。為不同的前端應(yīng)用系統(tǒng)設(shè)置不同的單位時間請求次數(shù)閾值。(例如，高頻應(yīng)用的較高閾值和低頻應(yīng)用的較低閾值)

(2)請求驗證驗證碼功能界面

功能使用場景：一般前端應(yīng)用系統(tǒng)(渠道側(cè))攜帶用戶IP、用戶手機(jī)號，用戶將驗證碼輸入短信平臺界面進(jìn)行驗證碼驗證。

面向安全風(fēng)險的功能安全需求設(shè)計

短信驗證碼爆炸1。限制單個IP單手電話號碼每單位時間的驗證碼驗證錯誤數(shù)量。

短信驗證碼爆破2。短信驗證碼生效時限。

短信驗證碼復(fù)用3。相同的短信驗證碼不能用于不同的動作(即用戶每次操作都使用單獨(dú)的驗證碼，如注冊、登錄、轉(zhuǎn)賬等短信驗證碼不同)。短信驗證碼突發(fā)4。短信驗證界面支持防重放(在cookie中添加時間戳等)。).

未授權(quán)驗證短信驗證碼5。短信驗證界面支持認(rèn)證驗證。

短信驗證碼復(fù)用6。短信驗證碼應(yīng)在驗證通過后立即重置無效。

以上安全要求并不完善，需要進(jìn)一步討論和補(bǔ)充。要求中的相關(guān)閾值僅供參考，具體數(shù)值應(yīng)根據(jù)實際業(yè)務(wù)情況確定。此外，在實際場景中，通過在前端應(yīng)用系統(tǒng)中添加圖片驗證碼，可以使用自動工具批量請求接口。