移动平台典型应用的身份认证问题研究

• 作者: 张效林 谷大武 张驰
• 来源期刊: 网络与信息安全学报
• 学科: 工学
• 关键词: 移动应用 USIM复制 SMS 身份认证 移动应用测试
• 年，卷（期）: 2020,（6）
• 所属期刊栏目: 学术论文
• 页码范围: 137-151
• 页数: 15页
• 分类号: TP311.1
• 语种: 中文
• DOI: 10.11959/j.issn.2096-109x.2020081

摘要

近年来的研究表明,针对USIM卡的攻击手段日益增多,在5G环境下攻击者也能使用复制的USIM卡绕过某些正常应用的身份认证,进而获取用户信息.在USIM可被复制的条件下,研究了移动平台上典型应用的身份认证流程,通过分析用户登录、重置密码、执行敏感操作的应用行为给出身份认证树.在此基础上,测试了社交通信、个人健康等7类58款典型应用,发现有29款认证时仅需USIM卡接收的SMS验证码便可通过认证.针对该问题,建议应用开启两步验证,并结合USIM防伪等手段完成认证.