4

Estou desenvolvendo uma aplicação android, logo no início me deparo com o seguinte questionamento sobre segurança.

Porque autenticar por SMS?

Traz uma segurança a mais?

Porque não só verificar o número presente no celular?

Estava procurando sobre autenticação do número do celular informado na hora do cadastro, pois a maioria dos grandes aplicativos utilizam este método, enviando SMS com o código.

Para enviar um SMS, preciso de um servidor e pagar por isso certo? E depois posso verificar e o código chegou usando o SMS Retriever API

Para verificar o número celular via aplicação, posso também utilizar

TelephonyManager tm = (TelephonyManager) getSystemService(TELEPHONY_SERVICE);
String numero = tm.getLine1Number();

Quais benefícios tenho, se realizar com a primera em vez da segunda? Existe falhas em alguma delas?

3
  • Você pretende usar somente 1 desses dois métodos pra autenticação? Commented 26/05/2019 às 20:34
  • Isso, mas, se isso seria eficaz. Pois se utilizar o sms, teria um gasto adicional, a questão é o custo beneficio. Somente ler o número, apresenta alguma falha? porque a maioria do apps enviam o codigo?
    – LocalHost
    Commented 26/05/2019 às 20:46
  • Se tiver acesso físico a um servidor decente, pode instalar um modem GSM nele e mandar o SMS diretamente por um chip seu. O fato é que quando vc manda um SMS, só o verdadeiro dono do numero é que receberá o código, em princípio, não dependendo de confiar nos dados do aparelho.
    – Largato
    Commented 26/05/2019 às 20:57

3 Respostas 3

2

Olá, essa questão pode causar divergências nas respostaa, já que tem quem ache que envio de sms pra autenticar não apresenta segurança, outros acham que é seguro.

Pra recuperar o número de telefone por este método:

TelephonyManager tm = (TelephonyManager) getSystemService(TELEPHONY_SERVICE);
String numero = tm.getLine1Number();

pode retornar uma string vazia, nula, "??????" ou se o usuário alterar o número, ela ainda poderá retornar o número antigo. Então não aconselho a usar ela, talvez você possa usar um outro método pra recuperar o IMEI e assim fazer a autenticação, mas e se o usuário troca de aparelho? Como ele vai conseguir fazer a autenticação?

Já que não possuí uma forma garantida pra recuperar o número de telefone do usuário, utiliza-se o SMS, o usuário informa o seu telefone, é enviado um sms a ele com um token, e por esse token ele autentica o seu número, Agora vai alguns questionamentos: E se o usuário trocar de número, você vai precisar de outro método de autenticação. Outra situação, um usuário com o número X de celular faz a autenticação uma vez, e você salva isso no banco de dados pra que ele não precise toda hora autenticar, esse usuário muda número ai um outro usuário se cadastra em seu aplicativo, e ele adquiriu o número X de celular, que era do outro usuário, como ficaria essa situação?

Talvez uma das melhores soluções para isso em relação a custo e benefício é utilizar o Autenticador por sms com Firebase, Autenticador por Login Google com Firebase ou utilizar até mesmo Account Kit Facebook

2

Porque autenticar por SMS?

Porque o SMS é um dos métodos padrões de autenticação, documentadas na RFC 8176.

Trás uma segurança a mais?

Sim, isso envolve mais um fator de autenticação na sua aplicação (recomendo ler sobre MFA - Mútiple Factor Authentication).

Atualmente é de extrema importância envolver mais de um fator de autenticação para efetuar operações dependendo do negócio. Mas por que a importância disso?

Pense na seguinte situação: Você possui uma aplicação que trabalha com dinheiro (transações financeiras, assinaturas, etc...), a forma de autenticação é uma senha simples. Se por um acaso a senha de algum usuário é comprometida, é de extrema importância realizar o controle de danos. E como fazemos isso?

Existe uma grande diferença entre você deixar todas as operações da plataforma livres, ou solicitar um token de confirmação através de um outro canal para verificar se o usuário de fato autoriza a realização da operação (uma operação de saque por exemplo). Caso o atacante não possua acesso ao canal em que o token foi enviado, a operação não poderá ser concretizada.

SMS é um dos métodos, na RFC que mencionei existem vários outros (OTP, ligação ao usuário, token físico, etc...). Utilizando SMS por exemplo, o atacante deverá ter acesso também ao número da vítima (clonando ou interceptando a comunicação de alguma forma) para inserir o token correto e concluir a operação de transferência por exemplo.

Porque não só verificar o número presente no celular?

Acredito não ser uma forma muito eficaz, sendo que você poderia emular o comportamento do celular utilizando um número qualquer (exemplo, não sei como faz isso mas deve ser possível, afinal tudo é possível :) ).

O ponto chave é sempre envolver mais um fator de confirmação/autenticação, se a validação será automática ou não isso é uma decisão do time em relação aos prós, contras e complexidade.

-4

O número do celular obtido não contém o DDD, é possível obter o código do pais(br) e deste obter o DDI. Porém o usuário pode se fornecer o DDD trocado. Caso não tenha como verificar o CEP de seu endereço. (Muito raramente vai estar longe, neste caso a localização pode ajudar via latitude e longitude, mas nem sempre estará fazendo o cadastro em seu estado de residência. Alguns países nem por CEP e nem por localização é possível saber o DDD exato. Enquanto existir a possibilidade de alguém te enganar de alguma forma, o melhor é confirmar.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .