تسليم رسائل OTP عبر SMS والاحتيال

ما الذي يثبته OTP

يجيب OTP عن سؤال واحد: هل يستطيع الشخص الذي أمامك تلقي رسالة على هذا الرقم الآن؟ وهذا مفيد لاسترداد الحساب وتسجيل الدخول، لأنه يربط الجلسة بشيء يتحكم فيه المستخدم. لكنه ليس وثيقة هوية. فقد يُعاد تدوير الرقم، أو يُنقل إلى بطاقة SIM جديدة، أو يُعاد توجيهه، أو يقرأه شخص آخر في المنزل.

يهمّ هذا التمييز في مرحلة التصميم. إذا كان الإجراء منخفض القيمة، فإن OTP متناسب معه. وإذا كان الإجراء ينقل أموالاً أو يغيّر كلمة مرور أو يضيف مستفيداً، فاقرن الرمز بتحقق ثانٍ: مهلة انتظار، أو تأكيد في جلسة قائمة، أو معاودة اتصال عبر قناة معروفة، أو مراجعة يدوية. الرمز عامل واحد، لا القرار كله.

أين يتسرّب OTP

ينقل استبدال بطاقة SIM الرقمَ إلى بطاقة جديدة. يقنع المهاجم متجراً أو خط دعم بأنه المالك، فيذهب الرمز التالي إلى البطاقة الجديدة. ولإعادة تدوير الأرقام الأثر نفسه دون مهاجم: إذ يعيد المشغّل تخصيص رقم خامل، فيتلقى صاحبه الجديد رمزاً كان مخصصاً للحساب القديم. وكلاهما سبب للتحقق مما إذا كان الرقم قد نُقل أو أُعيد تخصيصه مؤخراً.

ترسل إعادة التوجيه وتحويل البريد الصوتي إلى نص الرسالةَ إلى صندوق وارد آخر. ويستنسخ التصيّد الاحتيالي النموذج ويجمع الرمز مباشرة، فلا ترى الشبكة أي هجوم. أما الاعتراض على مسار الشبكة فهو أندر ويقع خارج سيطرة التطبيق؛ والاستجابة العملية هي عامل ثانٍ، لا رمز أطول. اقرأ مدخل OTP في المسرد للاطلاع على التعريفات.

ضوابط مفيدة

حدّد عدد المرات التي يمكن فيها لرقم أو عنوان IP أو جهاز طلب رمز. استخدم صلاحية قصيرة، واستخداماً واحداً لكل رمز، واربط الرمز بالجلسة التي طلبته. سجّل المرسل واجعل المحتوى بسيطاً: فالرمز الذي يبدو تسويقياً قد يُرشَّح، والرمز المُرشَّح ينتج تذكرة دعم، لا تسجيل دخول.

تحقّق من الرقم قبل أن تثق به. فالرقم الذي لا يستطيع تلقي SMS، أو نُقل مؤخراً، أو له سجل من عمليات إعادة التعيين، يستحق خطوة ثانية. وللإجراءات عالية القيمة، اشترط جلسة قائمة أو قناة ثانية. سجّل الطلب والإرسال والإيصال وإدخال الرمز بوصفها أحداثاً منفصلة، لتتمكن من التمييز بين مشكلة في التسليم ومشكلة لدى المستخدم.

صمّم الرمز نفسه بالعناية ذاتها. ولّده من مصدر تشفيري، وخزّن قيمته المجزّأة (hash)، واجعله ينتهي خلال دقائق، واسمح باستخدام ناجح واحد، وضع حداً أقصى للمحاولات لكل رمز ولكل جلسة. لا تكشف ما إذا كان الرقم موجوداً. أنشئ سجل الحساب قبل الإرسال، حتى لا تستطيع إعادة المحاولة فتح حساب لا يكتمل أبداً.

قِس التدفق كله، لا عملية الإرسال

الإرسال الذي يعيد معرّف رسالة ليس رمزاً مُسلَّماً. والرمز المُسلَّم ليس تسجيل دخول مكتملاً. ابنِ قمع التحويل من الأحداث التي تتحكم فيها: الإرسال، والإيصال، وإدخال الرمز، والنجاح. ثم قارنه برؤية المزوّد. فالفجوة بين معدل التسليم لديك ومعدله لدى المزوّد قد تكون إيصالاً لم يصل قط إلى معالجك، لا رسالة لم تصل قط إلى الهاتف.

راجِع التدفق عندما يتحرك أحد المقاييس. فانخفاض الإكمال مع ثبات معدل التسليم يشير إلى النموذج أو انتهاء صلاحية الرمز أو المرسل. وانخفاض التسليم مع ثبات معدل الإرسال يشير إلى المسار أو الرقم أو مرشّح المحتوى. وارتفاع عمليات إعادة الإرسال يشير إلى زمن التسليم. أصلِح الخطوة التي تحددها البيانات، لا الخطوة الأسهل تغييراً.

حدّد موعداً لمراجعة التدفق كله. فالأرقام تنتقل من يد إلى يد، والمسارات تتغير، والقوالب تتقادم. وقد يفشل تدفق نجح عند الإطلاق بصمت بعد ستة أشهر، بالرمز نفسه ومع المزوّد نفسه.