微软呼吁用户别再用简讯多因素验证

以简讯接收多因素验证的安全事件频传，微软本周再呼吁用户停用简讯、语音形式的多因素验证（Multi-Factor Authentication, MFA），改用App或硬件式的验证方案。

微软身份安全产品总监Alex Weinert指出，破解MFA保护的账号成本很高，攻击者一般没有动机，这让使用MFA的账号被骇的比例小于0.1%。但是使用电话网络（PSTN）服务，像是简讯和语音来传送OTP验证码则是另一回事。现有窃取账号密码的攻击，几乎都可用在PSTN传送的OTP，包括社交工程、装置窃取、账号绑架攻击。

Weinert列举简讯的种种缺点，包括因电信网络问题常寄丢，以及各地区电信法规对简讯规定不一致及经常变动，导致频繁寄送错误。但最严重的问题是安全性。简讯仅能最多容纳160字元，过于基本的讯息令用户无法判断真伪，而成为钓鱼简讯受害者。而为了支援众多装置，简讯格式无法太复杂，无法像电子邮件加入安全技术，像是加密、或是支援生物辨识验证及FIDO。此外电信客服中心人员可能受到贿赂、胁迫或利诱，而允许向用户发送诈骗简讯或诈骗电话，这类漏洞引发的安全问题包括密码拦截、转接（call forwarding）诈骗或SIM卡劫持（SIM swapping）等。

虽然仍然呼吁用户使用MFA，但基于简讯和语音电话等PSTN服务的种种缺点，微软建议使用新一代技术，像是App式或是无密码验证方案如生物辨识或FIDO-based硬件金钥等。

事实上，美国-早在2016年就已呼吁金融等网络服务供应商不要使用简讯OTP方案，推特、脸书也从去年不再强制用户使用简讯为基础的双因素验证。

除了硬件金钥或App方案外，苹果提出新式OTP简讯格式来解决现有钓鱼简讯问题，也获得了Google的支持。