• 媒体品牌
    爱范儿
    关注明日产品的数字潮牌
    APPSO
    先进工具,先知先行,AIGC 的灵感指南
    董车会
    造车新时代,明日出行家
    玩物志
    探索城市新生活方式,做你的明日生活指南
  • 知晓云
  • 制糖工厂
    扫描小程序码,了解更多

你是否收到过来自过去的短信?那可能是一场事先张扬的阴谋

公司

2017-03-15 15:17

在去年热播的韩剧《信号》中,主人公刑警朴海英通过一部老式无线电话,与来自十多年前的刑警李材韩取取得联系,开始解决一系列过去的未解事件。

如果这样的事情发生在你身上你会怎么办?

TNW 报道,最近美国社交新闻网站 Reddit 的用户 Nihlus89 发布了一个奇怪的截图,展示了她在今年 3 月 9 日收到的一条短信。这条短信乍看之下没什么特别,但其消息显示的发送日期为 2003 年 9 月 8 日 ,也就是说这是一条来自 14 年前的短信。

更为奇怪的是,短信内容是空白的,而发送号码则是一个不太可信的数字:19447527996160170309081216。

(Nihlus89 收到的奇怪短信,图自:TNW

Reddit 的用户们在热烈的讨论中脑洞大开,诸如《迷失》和《怪奇物语》等悬疑科幻片的平行时空被不少网友拿出来类比。但人们很快就发现 Nihlus89 不是唯一被过去联系的人

事实上,正如另一位 Reddit 用户 RogerEast 所说的,只要在 Twitter 上一搜索,数百名使用英国移动网络运营商 EE 的 iPhone 用户在过去几个月里都收到了来自过去的信息。此外移动电话营办商 Vodafone 的用户也开始在 Twitter 上分享他们收到的奇怪短信。

其实在中国,不少人也收到过来自过去的短信,在微博、贴吧、知乎等社交平台都曾有人发帖表示收到来自过去的短信,有的人甚至收到了来自未来的短信。

种种迹象似乎暗示着这也许真的不是一起偶然的事件,那这些“穿越时空”的短信到底是从哪里来的呢?

短信的发送原理或许可就以回答这个问题,要知道 SMS(短消息)协议允许两种不同的方式来接收消息:标准的“文本模式”和 PDU (Protocol Data Unit,协议数据单元)模式,而问题出在了 PDU 模式。

早在 2012 年 iPhone 就出现过短信漏洞,据介绍,此漏洞通过 PDU 模式发送 SMS,并在 UDH (User Data Header)中插入自定义回复地址的号码。这样构造出来的 SMS 发送给 iPhone 用户后,在 iPhone 短信应用里收到的 SMS ,来源就是自定义过的“回复地址”号码,并且当 iPhone 用户回复的时候,也会直接回复到这个自定义的号码而不会给真实的发送者回复。

(图自:context

之所以会出现这种情况,关键在于 PDU 模式可以 “Spoof Header”,“Spoof Header” 就类似于自己在信封上贴上假的寄件人和寄件地址,但邮局不会去核实,依然招收不误。邮局就是通信运营商,信封就是 PDU 模式的 UDH (User Data Header))。

也就是说,当使用 PDU 模式来发送短信时,就有可能伪造短消息的一切内容,包括文本的内容、发送者以及发送时间等。某些短信甚至可以在你不知情的情况下发送到您的手机,并且永远不会出现在您的收件箱中。

这是一种协议缺陷,协议信任了终端,但是这个终端其实不应被完全信任。事实上,不少网络攻击者长期以来一直依靠利用 PDU 模式的协议缺陷远程渗透到毫无戒心的受害者的设备。

看来发短信其实不怎么安全,因此现在常用的短信验证模式其实也并不安全。早在 2015 年 7 月,美国国家标准与技术研究院 (NIST)就发出过关于使用短信进行双重认证并不安全的警告。

(图自:softpedia

NIST 在声明中称,由于短信或语音呼叫有被拦截或重定向的风险,攻击者能够使用目标人物的基本信息轻易通过运营商的身份验证,并假冒号码发送信息。这种方法已被欺诈者使用过,让受害者收不到银行的财产转移警告短信。

遗憾的是,大多数企业和个人都忽略了这个警告。目前多数企业仍然使用短信验证,不少 app 仍然将其作为安全登录或找回密码的重要机制。

近年来国内媒体也曝光了不少通过伪造短信来进行诈骗的案件,诈骗短信通常伪装成银行短信号码甚至是亲友号码发送短信给机主。

央视去年就揭秘过伪基站发送诈骗短信的技术手段,伪基站可以冒充任何通信运营商或银行客服的号码,给一定范围内的手机强制发送短信,据《2016中国伪基站短信研究报告》,伪基站最爱假冒招商银行的官方客服号码 95555。

但伪基站一般只能给使用 GSM 通讯系统的手机用户发信息。“GSM”全称为全球移动通信系统,也就是常说的 2G 移动电话标准。据网络反诈骗专家裴智勇介绍

GSM 这套系统存在一个漏洞,一个鉴权的漏洞。基站会鉴定手机的合法性,但手机不会去鉴定基站的合法性。这样就使假冒的运营商基站也可以和手机之间通信,从而形成‘伪基站’的技术现象。现在的 3G 网络所使用的 CDMA 的技术就有双向的身份认定,相对来说就不太容易收到“伪基站”的短信。

(伪基站组成部分,图自:驱动之家

此外伪基站还会通过技术干扰手段对手机进行信号攻击,迫使手机从 4G、3G 自动降频到 2G 网络,从而可以收到伪基站的短信。

不过好消息是全球诸多 GSM 网络运营商已经将 2017 年确定为关闭 GSM 网络的年份。

除了伪基站外,手机操作系统的漏洞也给了诈骗短信可乘之机。早在 2015 年网络安全公司 Zimperium 公布的一项研究结果就显示,安卓手机安全性堪忧,接收一条短信就可能感染恶意程序。

图自:360

根源在于安卓手机解析短信的方式,在使用者打开短信前,手机已经自动处理了收到的媒体文件——包括图片、视频和音频。

Google 后来也发表声明承认了漏洞的存在,但表示安卓系统能够限制黑客进入手机里的应用程序和功能程序。

而最近 ios 10 也被曝出存在漏洞,如果收到某些特殊字符组成的短信,无论是否打开,iPhone 也会立刻死机。

所以当你收到来历不明或者奇奇怪怪的短信,有可能是诈骗短信,有可能是网络攻击,当然也有可能是某个人的恶作剧,但无论如何,最好的选择就是默默把它删除或者完全忽略它。如果真的拿不准,尤其是涉及财产的时候,也可以选择报警或者通过官方渠道确认。

登录,参与讨论前请先登录

评论在审核通过后将对所有人可见

正在加载中