短信走向核级：强化在线账户生态系统中基于短信的多因素认证

随着在线服务的快速增长，在线账户数量激增。单个用户账户的安全性不再仅取决于其自身的服务提供商，还取决于其他服务平台上的账户（我们将此在线账户环境称为在线账户生态系统）。本文中，我们首先揭示了在线账户生态系统的漏洞，其源于有缺陷的多因素认证（MFA），特别是基于短信验证的认证，以及不同平台账户间的依赖关系。我们提出连锁反应攻击，利用在线账户生态系统中的最薄弱点，最终可攻破最安全的平台。此外，我们设计并实现了 ActFort，一种通过分析认证凭据因素与敏感个人信息并评估在线账户间依赖关系来检测在线账户生态系统漏洞的系统化方法。我们在 Alexa 中列出的数百个不同领域的代表性在线服务上评估了我们的系统。基于 ActFort 的分析，我们对当前在线账户生态系统提供了若干务实见解，并提出了若干可行对策，包括在线账户暴露信息保护机制与内置认证，以强化在线账户生态系统的安全性。