https://hk.finance.appledaily.com/finan ... 8/20556544
... 利用手機短訊作為雙重認證或者兩步驗證，在很多希望講求安全性的平台上，包括金融科技、電郵、社交媒體及即時通訊軟件等，均被廣泛採用，但大家知不知道，其實背後存在着很大的保安風險？
黑客截取手機短訊不難
早前有朋友向我求助，指他們的WhatsApp雖然已經有雙重認證，卻依然無緣無故被騎劫，坊間也有網站聲稱可以騎劫別人的WhatsApp，究竟是甚麼原理？
2017年5月，有多份外國媒體及網站報道，指現今電訊商互聯網絡採用的SS7（Signaling System No.7）訊號系統有重大的漏洞，令黑客可以截取或轉發手機短訊，令到雙重認證形同虛設，德國有銀行客戶因而被盜取款項，相信騎劫WhatsApp也是利用同樣原理。
SS7是1980年的設計，當時完全沒有網絡保安的考慮，保安專家警告需盡快修補這個漏洞，但因為關乎到全球不同的網絡通訊商，在設備及技術上都要升格，這方案似乎是知易行難。
近年業界相繼推出新的認證方法，取代舊有的短訊認證，例如利用Google Authenticator，在網站掃描QR Code後便可以同步，有點像我們現在使用的保安編碼器。另外，香港公司IPification利用通訊商的IP地址，作為認證的新技術，連密碼都不需要輸入，同時可以有效阻截黑客盜取一次性密碼的風險。我相信香港金管局及各大銀行應該都知道，利用通訊商短訊作為認證的風險，但是有否想過甚麼應對的良方？
