如何保证一次性密码传递

Question

我已阅读StackOverflow和其他与One Time Passwords相关的网站上的其他帖子。我读过有关RFC 6238 - TOTP和RFC 4226 - HOTP。

我知道OTP不是以明文形式存储在数据库中，而是当它们通过SMS网关发送到客户端的手机时。它们必须是明文。

那么，在SMS Gateway的一个人说，中间的男人不能读这些OTP吗？

银行和其他组织如何安全地做到这一点？

Answer 1

GSM在其信号中使用加密。因此很难解码，但如果您知道SIM卡的详细信息以及它所锁定的BTS和黑客也在该BTS范围内，则可以使用描述逻辑查看您的SMS。需要时间和知识来描述。所以TOTP的安全性是99.9％。

让我们谈谈网关

1. 他们可以在银行本地/ VPN网络安全原因。
2. 可以使用SSL / TLS加密从银行系统到GSM网关进行安全通信。

SMS GATEWAYS的人员

是的，他们可以看到。但如果他们没有谁是接收者或者文本是什么，很难找到，因为在网关中通常会发生大量的短信。任何方式银行都可以与短信网关达成协议，不在系统中记录OTP短信，因此短信网关的人无法看到这些短信。