除了电话号码劫持犯罪（SIM 交换）和社会工程欺诈的风险之外，通过印度尼西亚移动运营商发送 OTP SMS 的成本（每条消息 350 卢比 - 600 卢比）还加重了数字平台的运营成本。本文介绍了 Balian Pass 身份验证系统向基于设备本地生物识别技术的 WebAuthn 密钥的过渡。
核心研究发现
- 50,000 名活跃用户的 SMS OTP 费用每月仅发送验证码的费用就可能超过 25,000,000 印尼盾。
- FIDO2 WebAuthn 标准使用非对称公钥加密技术，100% 不受网络钓鱼攻击的影响。
- 用户只需点击手指（Touch ID）或扫描面部（Face ID）即可在 0.8 秒内进入商户仪表板。
- 零密码数据库：服务器从不存储在数据库泄露事件期间可能泄露的敏感凭据。
基于短信的 OTP 代码的安全脆弱性及其财务负担
SMS 从未被设计为安全通信协议。短信在蜂窝网络上以开放文本格式发送，很容易通过 SS7 攻击或运营商网点的 SIM 卡切换而被窃听。
通过实现 WebAuthn，私钥在用户的硬件安全模块（iPhone 上的 Secure Enclave 或 Android 上的 Titan M）内安全生成，Balian 服务器仅存储公钥以验证数字签名。
常见问题与技术解析
WebAuthn 和 FIDO2 密钥研究的主要发现是什么？
除了电话号码劫持犯罪（SIM 交换）和社会工程欺诈的风险之外，通过印度尼西亚移动运营商发送 OTP SMS 的成本（每条消息 350 卢比 - 600 卢比）还加重了数字平台的运营成本。本文介绍了 Balian Pass 身份验证系统向基于设备本地生物识别技术的 WebAuthn 密钥的过渡。主要调查结果证明：仅发送验证码的费用，50,000 名活跃用户的 SMS OTP 成本每月就可能超过 25,000,000 印尼盾。
此实施将如何影响 Bali（身份验证安全和加密）的业务运营？
FIDO2 标准 WebAuthn 使用非对称公钥加密技术，100% 不受网络钓鱼攻击的影响。此外，用户只需按手指（Touch ID）或扫描面部（Face ID）即可在0.8秒内进入商户仪表板。
为什么基于 SMS 的 OTP 代码安全脆弱性标准及其财务负担对于独立的数字生态系统很重要？
零密码数据库：服务器从不存储在数据库泄露事件期间可能泄露的敏感凭据。整个系统实时运行，支持通过 QRIS 进行卢比支付。
权威学术文献与资料来源
- W3C Web 身份验证：用于访问 2 级公钥凭证的 API — World Wide Web Consortium (W3C) (2021). W3C Recommendation. 查看来源