如今正悄然流行的“免密認證”技術(shù)，其最大的作用正是在于取代“手機驗證碼”。
當然，有很多對于使用體驗不那么敏感的用戶反而覺得，收發(fā)驗證碼的時間對于他們而言，無足輕重。同時，驗證碼于他們而言，更多意義上而言是一種提醒——提醒自己賬戶情況有變動。
實際上，驗證碼也就僅剩下提醒這一個比較實用的功能，更多情況下，驗證碼帶來的不是安全，而是風險。
發(fā)生在身邊的案例
媒體的報道中，關(guān)于手機安全的案例比比皆是：又是誰的信用卡被盜刷了，誰的支付寶賬戶被黑了……
那么到底是怎么一回事？我們不妨看看兩個身邊的例子：
在網(wǎng)上盜刷案件中，詐騙分子冒充電商平臺客服人員，以“訂單出現(xiàn)異常需退款”發(fā)短信，或是虛擬銀行客服號碼發(fā)送“積分兌換”“網(wǎng)上銀行升級”等短信，誘騙受害者點擊木馬鏈接或登錄釣魚網(wǎng)站，獲取受害者身份證號、銀行賬號、密碼、驗證碼等信息，竊取其賬戶存款。
2015 年 7 月，犯罪分子利用重慶三峽銀行研發(fā)的在線支付平臺“三峽付”，3 天之內(nèi)竊取 43 名客戶逾百萬元銀行卡資金。犯罪分子先向受害者手機發(fā)送含有木馬病毒的短信，受害者點擊短信后，犯罪分子就能獲取手機內(nèi)的全部信息并攔截其后該手機收到的任何短信。犯罪分子從這些信息中篩選出開戶人姓名、身份證號碼、銀行卡號、開戶銀行預(yù)留手機號等信息，并利用這些信息注冊“三峽付”電子賬戶，將受害者銀行卡與“三峽付”賬戶綁定。
這些詐騙作案的共同特點就是“竊取用戶驗證碼”。一種是通過花言巧語的方式騙取用戶驗證碼，經(jīng)過公安同志和各大電商平臺的不斷提醒，大家對于這種方式的戒備心還是比較高的；另外一種方式，是通過所謂的“木馬”，截取用戶短信記錄的方式獲取用戶信息，警惕性不高的用戶容易上當。
另外還有一種比較不容易防范的方式，尤其是在 Android 手機上，一些的應(yīng)用會“嘗試獲得讀取短信”的權(quán)限，很多時候，用戶為了貪圖一時輸入驗證碼的方便，也不管是什么應(yīng)用都會“放權(quán)”。有時候，甚至是一些不安全開放式 Wi-Fi 也暗含著竊取用戶賬戶的短信驗證碼的風險。
實際上，對于那些足夠謹慎的用戶而言，驗證碼的安全性確實很高，但人總會有“百密一疏”的時候。尤其是對于老人和小孩兒而言，他們對于一些手機權(quán)限并不了解，更容易成為詐騙分子的“刀俎”。
沒有驗證碼，賬戶就安全了？
據(jù)公安部經(jīng)偵局相關(guān)負責人介紹，2016 年上半年，全國立案查處竊取、收買、非法提供銀行卡信息犯罪案件 177 起，同比上升 4.5 倍。銀行卡信息泄露方式從以往的改裝POS機、ATM機竊取數(shù)據(jù)和密碼等，發(fā)展為利用黑客技術(shù)或偽基站等批量盜取方式。同時，有些用戶習慣使用同樣的密碼，往往不法分子還能通過撞庫的方式竊取到此用戶的其他賬戶資料。
顯然傳統(tǒng)密碼這種方式應(yīng)對這一方面的攻擊顯得尤為脆弱——因為任何一種認證方式都算是弱認證，必須獨立使用兩種甚至三種才算是強認證，然而，開啟二次驗證的用戶更是少之又少。 二次驗證的最主要問題在于其繁瑣性，而這正是免密認證的優(yōu)勢所在。電信的免密認證可以精確識別當前用戶的手機號碼，一鍵驗證通過，省去了短信驗證碼的繁瑣流程，避免了被劫取的風險，毫無疑問，我們登陸各種應(yīng)用的方式會變得簡單而安全——我們僅需點擊“允許應(yīng)用獲取手機號碼”，一鍵認證即可。
比如，在異地取款和消費的時候，銀行不僅需要向中國電信核實用戶的所在地，還需要用戶登錄認證應(yīng)用進行手動的“一鍵認證”。這樣就極大地降低信用卡或借記卡被盜刷的風險。
同時，接入了“天翼免密認證”服務(wù)的服務(wù)提供商必然會經(jīng)過中國電信方面的審核，意味著其在安全性上面有認證。
如果我要銷號……
現(xiàn)在對于大多數(shù)人而言，一臺手機的價值或許還比不上手機里的手機號。手機號碼上面綁定了大量的用戶賬號，在移動互聯(lián)網(wǎng)時代，手機號就相當于我們的另一個身份證號。
如果要更換手機號，就需要大量的時間去解綁手機號碼，這對用戶，服務(wù)提供商和電信運營商而言，都是個大問題——用戶不記得自己手機號關(guān)聯(lián)了多少賬戶，服務(wù)提供商不知道用戶是否銷號，而運營商也不知道是否能“二次放號”。
在傳統(tǒng)驗證碼的時代，用戶更換手機號，忘記解綁，需要提供大量的資料去證明“我是我”，細致到“什么時候”注冊賬號這樣的問題根本答不上來；服務(wù)提供商則需要花費大量的人力和時間去驗證用戶資料的真?zhèn)危约昂陀脩魷贤ǚ答仯恢劣谶\營商“二次放號”后，第二名用戶則可能會接收到一些與自己無關(guān)的驗證碼。如果能有一個機制能打破這之間的信息不對稱，那么問題就迎刃而解了。
“天翼免密認證”，就是一個平衡雙方信息的橋梁。在免密認證機制中，中國電信扮演的是“信息庫”的角色，服務(wù)提供商有權(quán)限要求它核實一些信息：比如用戶入網(wǎng)時間是否早于某一具體的時間，當前用戶是否在網(wǎng)等等。在這個過程中，服務(wù)提供商能確定當前手機號是否已經(jīng)注銷。
如果今后中國電信方面能進一步開放可供比對的權(quán)限，比如提供實名認證的比對。只要用戶提供賬戶實名信息， 那么解綁注銷號碼的步驟將會極大地簡化——用戶向電信提供自身實名信息，中國電信做為信息庫和平臺，負責核實信息的正確與否；服務(wù)提供商全程不獲取任何用戶實名信息，從電信給出的回答中，確認申請解綁用戶和手機號主人是否為同一人。
就目前而言，中國電信的“天翼免密認證”服務(wù)還處于推廣階段，其應(yīng)用場景將來不僅僅局限于“替代驗證碼”這么簡單。作為未來密碼的潛在替代品，這項服務(wù)能夠在很多領(lǐng)域發(fā)揮作用
| 
