易八达全球华人第一资讯门户网站-

  • 纽约
  • 旧金山
  • 芝加哥
  • 西雅图
  • 洛杉矶
  • 你是否收到过来自过去的短信?那可能是一场事先张扬的阴谋

    2017-03-15 07:17:00 来源: 爱范儿网

    在去年热播的韩剧《信号》中,主人公刑警朴海英通过一部老式无线电话,与来自十多年前的刑警李材韩取取得联系,开始解决一系列过去的未解事件。

    如果这样的事情发生在你身上你会怎么办?

    TNW 报道,最近美国社交新闻网站 Reddit 的用户 Nihlus89 发布了一个奇怪的截图,展示了她在今年 3 月 9 日收到的一条短信。这条短信乍看之下没什么特别,但其消息显示的发送日期为 2003 年 9 月 8 日 ,也就是说这是一条来自 14 年前的短信。

    更为奇怪的是,短信内容是空白的,而发送号码则是一个不太可信的数字:19447527996160170309081216。

    (Nihlus89 收到的奇怪短信,图自:TNW

    Reddit 的用户们在热烈的讨论中脑洞大开,诸如《迷失》和《怪奇物语》等悬疑科幻片的平行时空被不少网友拿出来类比。但人们很快就发现 Nihlus89 不是唯一被过去联系的人

    事实上,正如另一位 Reddit 用户 RogerEast 所说的,只要在 Twitter 上一搜索,数百名使用英国移动网络运营商 EE 的 iPhone 用户在过去几个月里都收到了来自过去的信息。此外移动电话营办商 Vodafone 的用户也开始在 Twitter 上分享他们收到的奇怪短信。

    其实在中国,不少人也收到过来自过去的短信,在微博、贴吧、知乎等社交平台都曾有人发帖表示收到来自过去的短信,有的人甚至收到了来自未来的短信。

    种种迹象似乎暗示着这也许真的不是一起偶然的事件,那这些“穿越时空”的短信到底是从哪里来的呢?

    短信的发送原理或许可就以回答这个问题,要知道 SMS(短消息)协议允许两种不同的方式来接收消息:标准的“文本模式”和 PDU (Protocol Data Unit,协议数据单元)模式,而问题出在了 PDU 模式。

    早在 2012 年 iPhone 就出现过短信漏洞,据介绍,此漏洞通过 PDU 模式发送 SMS,并在 UDH (User Data Header)中插入自定义回复地址的号码。这样构造出来的 SMS 发送给 iPhone 用户后,在 iPhone 短信应用里收到的 SMS ,来源就是自定义过的“回复地址”号码,并且当 iPhone 用户回复的时候,也会直接回复到这个自定义的号码而不会给真实的发送者回复。

    (图自:context

    之所以会出现这种情况,关键在于 PDU 模式可以 “Spoof Header”,“Spoof Header” 就类似于自己在信封上贴上假的寄件人和寄件地址,但邮局不会去核实,依然招收不误。邮局就是通信运营商,信封就是 PDU 模式的 UDH (User Data Header))。

    也就是说,当使用 PDU 模式来发送短信时,就有可能伪造短消息的一切内容,包括文本的内容、发送者以及发送时间等。某些短信甚至可以在你不知情的情况下发送到您的手机,并且永远不会出现在您的收件箱中。

    这是一种协议缺陷,协议信任了终端,但是这个终端其实不应被完全信任。事实上,不少网络攻击者长期以来一直依靠利用 PDU 模式的协议缺陷远程渗透到毫无戒心的受害者的设备。

    看来发短信其实不怎么安全,因此现在常用的短信验证模式其实也并不安全。早在 2015 年 7 月,美国国家标准与技术研究院 (NIST)就发出过关于使用短信进行双重认证并不安全的警告。

    (图自:softpedia

    NIST 在声明中称,由于短信或语音呼叫有被拦截或重定向的风险,攻击者能够使用目标人物的基本信息轻易通过运营商的身份验证,并假冒号码发送信息。这种方法已被欺诈者使用过,让受害者收不到银行的财产转移警告短信。

    遗憾的是,大多数企业和个人都忽略了这个警告。目前多数企业仍然使用短信验证,不少 app 仍然将其作为安全登录或找回密码的重要机制。

    近年来国内媒体也曝光了不少通过伪造短信来进行诈骗的案件,诈骗短信通常伪装成银行短信号码甚至是亲友号码发送短信给机主。

    央视去年就揭秘过伪基站发送诈骗短信的技术手段,伪基站可以冒充任何通信运营商或银行客服的号码,给一定范围内的手机强制发送短信,据《2016中国伪基站短信研究报告》,伪基站最爱假冒招商银行的官方客服号码 95555。

    但伪基站一般只能给使用 GSM 通讯系统的手机用户发信息。“GSM”全称为全球移动通信系统,也就是常说的 2G 移动电话标准。据网络反诈骗专家裴智勇介绍

    GSM 这套系统存在一个漏洞,一个鉴权的漏洞。基站会鉴定手机的合法性,但手机不会去鉴定基站的合法性。这样就使假冒的运营商基站也可以和手机之间通信,从而形成‘伪基站’的技术现象。现在的 3G 网络所使用的 CDMA 的技术就有双向的身份认定,相对来说就不太容易收到“伪基站”的短信。

    (伪基站组成部分,图自:驱动之家

    此外伪基站还会通过技术干扰手段对手机进行信号攻击,迫使手机从 4G、3G 自动降频到 2G 网络,从而可以收到伪基站的短信。

    不过好消息是全球诸多 GSM 网络运营商已经将 2017 年确定为关闭 GSM 网络的年份。

    除了伪基站外,手机操作系统的漏洞也给了诈骗短信可乘之机。早在 2015 年网络安全公司 Zimperium 公布的一项研究结果就显示,安卓手机安全性堪忧,接收一条短信就可能感染恶意程序。

    图自:360

    根源在于安卓手机解析短信的方式,在使用者打开短信前,手机已经自动处理了收到的媒体文件——包括图片、视频和音频。

    Google 后来也发表声明承认了漏洞的存在,但表示安卓系统能够限制黑客进入手机里的应用程序和功能程序。

    而最近 ios 10 也被曝出存在漏洞,如果收到某些特殊字符组成的短信,无论是否打开,iPhone 也会立刻死机。

    所以当你收到来历不明或者奇奇怪怪的短信,有可能是诈骗短信,有可能是网络攻击,当然也有可能是某个人的恶作剧,但无论如何,最好的选择就是默默把它删除或者完全忽略它。如果真的拿不准,尤其是涉及财产的时候,也可以选择报警或者通过官方渠道确认。

    来源: 爱范儿网
    您需要登录后才可以发布评论 登录 | 会员注册
    最新评论

      免责声明

      (1) 本网站中的文章(包括转贴文章)的版权仅归原作者所有,若作者有版权声明的或文章从其它网站转载而附带有原所有站的版权声明者,其版权归属以附带声明为准;文章仅代表作者本人的观点,与本网站立场无关;

      (2) 任何单位或个人认为本站内容可能涉嫌侵犯其合法权益,应该及时向本站书面反馈,并提供身份证明、权属证明及详细情况证明,本站在收到上述文件后将会尽快移除相关内容。

      Web Analytics
      Real Time Analytics