楊漢坤 李嵐霞

摘? 要：對(duì)短信鏈接安全管理方法進(jìn)行研究，提供短信小程序安全管理方法，在事前提供短信小程序標(biāo)準(zhǔn)化域名，對(duì)行業(yè)短信中的URL進(jìn)行統(tǒng)一的iframe封裝，并在行業(yè)客戶(hù)接入時(shí)為其分配中國(guó)移動(dòng)SIM盾數(shù)字證書(shū)，確保接入的在線(xiàn)實(shí)名。其次設(shè)計(jì)短信小程序模板申請(qǐng)審核流程，行業(yè)客戶(hù)進(jìn)行下發(fā)操作時(shí)使用SIM盾確認(rèn)，核實(shí)操作者信息。最后用戶(hù)點(diǎn)擊短信小程序鏈接，可在底部菜單欄查看行業(yè)客戶(hù)的企業(yè)證書(shū)信息，并設(shè)置投訴入口，如遇可疑內(nèi)容立即封堵。

關(guān)鍵詞：短信小程序;SIM盾;安全管控;URL鏈接

Abstract：This article researches the method of SMS link security management，provides SMS applet security management method. At first，provides standardized domain name of SMS applet，and encapsulates the URL in SMS with a unified iframe. When industry customers access，it assigns SIM shield digital certificate of China Mobile to ensure the online real name for access. Secondly，set up a SMS applet template application and review process，industry customers use SIM shield to confirm when it needs to verify operator information. Finally，when user clicks the link of SMS applet，he can view the enterprise certificate information in the bottom menu，and set up a complaint entrance，in case of any suspicious content，block it immediately.

Keywords：SMS applet;SIM shield;security control;URL link

0? 引? 言

據(jù)調(diào)研，自2014—2019年行業(yè)短信的下發(fā)量從4 135億條發(fā)展至超6 000億條，且呈進(jìn)一步發(fā)展趨勢(shì)，成為運(yùn)營(yíng)商通信收入的主要來(lái)源。隨著移動(dòng)互聯(lián)網(wǎng)的普及，人們?cè)谙硎苄畔鞑サ谋憷耐瑫r(shí)，也面臨越來(lái)越嚴(yán)峻的信息安全風(fēng)險(xiǎn)，全網(wǎng)垃圾短信投訴率持續(xù)增長(zhǎng)，根據(jù)網(wǎng)信辦舉報(bào)中心官方統(tǒng)計(jì)，2020年3—6月，該平臺(tái)月均受理網(wǎng)絡(luò)違法和不良信息舉報(bào)超1 400萬(wàn)件。行業(yè)短信內(nèi)容中多數(shù)包含URL鏈接，隨著業(yè)務(wù)的高速發(fā)展，URL鏈接也成了惡意開(kāi)發(fā)者的攻擊對(duì)象，用戶(hù)收到短信點(diǎn)擊URL后，就可能在毫無(wú)意識(shí)的情況下被盜取個(gè)人信息。在與中國(guó)移動(dòng)廣東公司的交流過(guò)程中了解到，目前暫無(wú)有效的技術(shù)手段對(duì)短信中的URL鏈接進(jìn)行管控，人工管控的方式無(wú)法對(duì)海量的行業(yè)短信進(jìn)行監(jiān)控。在人力成本、技術(shù)水平有限的條件下，中國(guó)移動(dòng)廣東公司目前只能限制行業(yè)短信文案中攜帶URL鏈接。

基于中國(guó)移動(dòng)廣東公司對(duì)短信中URL鏈接的安全管控訴求，中移互聯(lián)網(wǎng)公司開(kāi)展了研究工作，據(jù)調(diào)研，目前國(guó)內(nèi)學(xué)者研究的課題大多為對(duì)短信文本的識(shí)別處理，技術(shù)手段上主要采取KNN算法和支持向量機(jī)等分類(lèi)算法[1]，流程優(yōu)化上則采用先審后發(fā)[2]、用戶(hù)分層級(jí)管控[3]等方式。但僅針對(duì)短信文本進(jìn)行監(jiān)控、過(guò)濾則無(wú)法完全消除隱患，因此，中移互聯(lián)網(wǎng)公司結(jié)合自有產(chǎn)品開(kāi)展了短信鏈接安全管理方法的研究。

1? 研究現(xiàn)狀及主要研究?jī)?nèi)容

1.1? 研究現(xiàn)狀

1.1.1? 中國(guó)移動(dòng)超級(jí)SIM卡技術(shù)現(xiàn)狀

中國(guó)移動(dòng)超級(jí)SIM卡將SIM卡從底層硬件到上層應(yīng)用進(jìn)行了全面升級(jí)，增強(qiáng)SIM卡的安全性，提供密碼算法計(jì)算能力、SIM卡空間安全存儲(chǔ)能力和應(yīng)用的動(dòng)態(tài)能力，應(yīng)用基礎(chǔ)層可將這些能力通過(guò)標(biāo)準(zhǔn)統(tǒng)一的API提供給上層應(yīng)用，為用戶(hù)實(shí)現(xiàn)網(wǎng)絡(luò)身份認(rèn)證功能[4]。

SIM盾是中移互聯(lián)網(wǎng)公司基于中國(guó)移動(dòng)超級(jí)SIM卡安全芯片，結(jié)合PKI非對(duì)稱(chēng)加密技術(shù)，可保證用戶(hù)的隱私、賬戶(hù)安全，采用數(shù)字簽名技術(shù)[5]，密鑰（PIN碼口令）存儲(chǔ)在SIM卡安全芯片中，不可復(fù)制和抵賴(lài)。使用時(shí)，密碼校驗(yàn)在SIM卡內(nèi)完成，無(wú)須接收任何短信驗(yàn)證，有效避免木馬攔截和篡改。SIM卡利用非對(duì)稱(chēng)加密、數(shù)字簽名和數(shù)字證書(shū)來(lái)保護(hù)應(yīng)用、通信或事務(wù)處理的安全，用于通信防詐騙。密鑰采用加密短信通道傳輸，保障認(rèn)證結(jié)果的安全性，不需額外的硬件，就能確保本機(jī)操作的身份認(rèn)證[6]。

1.1.2? iframe技術(shù)概述

iframe是超文本標(biāo)記語(yǔ)言（HTML）中的標(biāo)記，用于實(shí)現(xiàn)網(wǎng)頁(yè)框架，可使用iframe對(duì)網(wǎng)頁(yè)進(jìn)行結(jié)構(gòu)上的拆分，類(lèi)似frameset技術(shù)，但iframe相較于frameset技術(shù)而言，更為靈活便捷，可將其內(nèi)嵌至網(wǎng)頁(yè)的任何地方，使用上也較為簡(jiǎn)單，因此使用范圍較廣[7]。

1.1.3? 短信小程序概述

短信小程序是中移互聯(lián)網(wǎng)公司自主研發(fā)的產(chǎn)品，在短信內(nèi)容中添加URL鏈接，將短信流量升級(jí)為互聯(lián)網(wǎng)流量，發(fā)揮中國(guó)移動(dòng)優(yōu)勢(shì)，融合短信通道、登錄認(rèn)證、H5網(wǎng)頁(yè)為各組織的IT系統(tǒng)提供消息觸達(dá)服務(wù)，用戶(hù)可快速無(wú)感知的通過(guò)短信中的URL鏈接登錄到IT系統(tǒng)，使用iframe技術(shù)將企業(yè)客戶(hù)提供的原始URL鏈接封裝，實(shí)現(xiàn)底部菜單欄，企業(yè)客戶(hù)可以開(kāi)展個(gè)性化的流量運(yùn)營(yíng)、活動(dòng)宣傳和廣告展示。

1.2? 本文主要研究?jī)?nèi)容

本文核心是將中國(guó)移動(dòng)SIM盾與iframe技術(shù)結(jié)合建立短信小程序鏈接安全管理機(jī)制，達(dá)到對(duì)短信鏈接的監(jiān)控和管理，具體研究?jī)?nèi)容如下。

1.2.1? 短信小程序針對(duì)短信下發(fā)前的安全管理

為行業(yè)客戶(hù)提供短信小程序管理平臺(tái)，提交相應(yīng)企業(yè)信息完成注冊(cè)后，通過(guò)中國(guó)移動(dòng)SIM盾技術(shù)對(duì)接入短信小程序的行業(yè)客戶(hù)進(jìn)行個(gè)人和企業(yè)的身份認(rèn)證，并頒發(fā)數(shù)字證書(shū)。

1.2.2? 短信小程序針對(duì)短信下發(fā)操作的安全確認(rèn)

行業(yè)客戶(hù)在進(jìn)行短信下發(fā)操作時(shí)需將短信文本、原始URL鏈接提交至短信小程序管理平臺(tái)，平臺(tái)將短信內(nèi)容生成統(tǒng)一模板，客戶(hù)可使用模板進(jìn)行短信下發(fā)，下發(fā)時(shí)使用中國(guó)移動(dòng)SIM盾進(jìn)行用戶(hù)信息的確認(rèn)及操作信息留存，平臺(tái)將原始URL鏈接使用iframe技術(shù)封裝后方可下發(fā)。

1.2.3? 短信小程序針對(duì)短信下發(fā)后的風(fēng)控管理

用戶(hù)收到短信后，短信文本中的URL鏈接為中國(guó)移動(dòng)使用iframe技術(shù)封裝后的標(biāo)準(zhǔn)域名，點(diǎn)擊URL鏈接可在框架底部菜單欄識(shí)別短信內(nèi)容提供方，點(diǎn)擊菜單欄可查閱短信內(nèi)容提供方證書(shū)情況，如發(fā)現(xiàn)異?？蛇M(jìn)行在線(xiàn)投訴，平臺(tái)接收異常后對(duì)URL鏈接進(jìn)行立即關(guān)停并通過(guò)數(shù)字證書(shū)追溯行業(yè)客戶(hù)。

2? 短信小程序鏈接安全管理事前流程建立

2.1? 企業(yè)信息提交審核

企業(yè)或個(gè)人在短信小程序管理平臺(tái)注冊(cè)個(gè)人賬號(hào)，登錄平臺(tái)進(jìn)行注冊(cè)。申請(qǐng)者根據(jù)主體類(lèi)型（個(gè)人、企業(yè)、政府、媒體等）提交不同的主體信息。在短信小程序管理平臺(tái)注冊(cè)的企業(yè)需提供組織名稱(chēng)、企業(yè)營(yíng)業(yè)執(zhí)照注冊(cè)號(hào)/統(tǒng)一社會(huì)信用代碼/商戶(hù)機(jī)構(gòu)代碼、法定代表人姓名、法定代表人身份證號(hào)等信息，由短信小程序運(yùn)營(yíng)團(tuán)隊(duì)成員完成基本的資料審核后，確認(rèn)是否允許商戶(hù)正式注冊(cè)，正式注冊(cè)后可創(chuàng)建短信模板。短信小程序平臺(tái)企業(yè)信息填寫(xiě)界面如圖1所示。

2.2? 數(shù)字證書(shū)驗(yàn)真企業(yè)信息

短信小程序平臺(tái)管理員將企業(yè)注冊(cè)資料提交進(jìn)行驗(yàn)真，如驗(yàn)真通過(guò)，則平臺(tái)向CA申請(qǐng)數(shù)字證書(shū)并在SIM盾保存，如企業(yè)未提交信息或信息有誤則無(wú)法生成數(shù)字證書(shū)。數(shù)字證書(shū)提供了在互聯(lián)網(wǎng)上驗(yàn)證通信實(shí)體身份的方式，數(shù)字證書(shū)是由權(quán)威認(rèn)證機(jī)構(gòu)CA中心發(fā)行的，用于在網(wǎng)絡(luò)環(huán)境中識(shí)別對(duì)方的身份，作用相當(dāng)于電子身份證，適用于個(gè)人和企業(yè)的身份認(rèn)證。企業(yè)管理員在管理后臺(tái)可看到相應(yīng)的商戶(hù)和個(gè)人證書(shū)信息，提升安全性，明確信息安全責(zé)任。信息驗(yàn)真通過(guò)生成數(shù)字證書(shū)界面如圖2所示。

3? 短信小程序鏈接安全管理事中操作管控

3.1? 短信小程序模板生成及審核

企業(yè)通過(guò)短信小程序提供的管理平臺(tái)進(jìn)行短信發(fā)送時(shí)，需要先進(jìn)行短信模板的配置，配置的內(nèi)容包括短信文案、下發(fā)的原始URL鏈接等信息，填寫(xiě)完成后提交平臺(tái)運(yùn)營(yíng)管理員進(jìn)行審核。運(yùn)營(yíng)管理員對(duì)每一個(gè)短信模板進(jìn)行人工審核，通過(guò)以后才支持正式使用下發(fā)。短信小程序平臺(tái)模板審核操作界面如圖3所示。

3.2? SIM盾提升短信下發(fā)操作安全性

企業(yè)用戶(hù)進(jìn)行短信下發(fā)時(shí)，需通過(guò)中國(guó)移動(dòng)SIM盾生成的數(shù)字證書(shū)進(jìn)行操作的實(shí)名確認(rèn)，達(dá)到行為安全監(jiān)測(cè)的目的。在線(xiàn)實(shí)名確認(rèn)的具體流程為：用戶(hù)進(jìn)行短信下發(fā)操作時(shí)，需向SIM盾發(fā)送操作請(qǐng)求，SIM盾中的JSSDK收到請(qǐng)求后檢查用戶(hù)手機(jī)號(hào)碼是否存在有效證書(shū)，如未申請(qǐng)證書(shū)則請(qǐng)求生成公私鑰對(duì)，返回公鑰信息后，攜帶公鑰信息通過(guò)短信小程序管理后臺(tái)服務(wù)端申請(qǐng)臨時(shí)證書(shū)，CA返回證書(shū)信息后，短信小程序服務(wù)端保存證書(shū)信息，并返回證書(shū)信息至JSSDK進(jìn)行身份確認(rèn)。如用戶(hù)手機(jī)號(hào)碼已申請(qǐng)證書(shū)則直接進(jìn)行身份確認(rèn)。數(shù)字證書(shū)嵌入短信小程序管理平臺(tái)業(yè)務(wù)操作環(huán)節(jié)，企業(yè)用戶(hù)進(jìn)行敏感操作時(shí)可調(diào)用證書(shū)能力進(jìn)行高安全級(jí)別的身份驗(yàn)證，實(shí)現(xiàn)業(yè)務(wù)管理全流程安全可追溯。在線(xiàn)實(shí)名認(rèn)證交互流程如圖4所示。

3.3? 短信鏈接iframe封裝

短信小程序管理平臺(tái)為企業(yè)提供短信鏈接iframe封裝方案，對(duì)企業(yè)提交的短信模板中的原始URL統(tǒng)一使用iframe技術(shù)進(jìn)行封裝，封裝后的鏈接使用統(tǒng)一域名。在短信下發(fā)后，用戶(hù)點(diǎn)擊前看到的URL鏈接地址統(tǒng)一，采用10086.cn或hfx.net，加深用戶(hù)對(duì)短信小程序鏈接域名的印象，樹(shù)立安全可信形象的同時(shí)也能做到對(duì)URL鏈接的統(tǒng)一管控。使用iframe進(jìn)行封裝后的URL鏈接效果如圖5所示。

4? 短信小程序鏈接安全管理事后行為追溯

4.1? 頁(yè)面信息溯源

短信小程序管理后臺(tái)對(duì)短信中的URL鏈接使用iframe技術(shù)進(jìn)行統(tǒng)一封裝，在頁(yè)面添加底部菜單欄，將企業(yè)客戶(hù)的原始URL鏈接升級(jí)為短信小程序，用戶(hù)收到短信，點(diǎn)擊短信小程序鏈接后，頁(yè)面上方域名欄顯示統(tǒng)一域名，下方底部欄顯示應(yīng)用提供方的企業(yè)名稱(chēng)，名稱(chēng)以行業(yè)客戶(hù)進(jìn)行注冊(cè)時(shí)申請(qǐng)的數(shù)字證書(shū)信息為準(zhǔn)，由iframe框架自動(dòng)顯示。用戶(hù)還可以從底部菜單欄投訴查詢(xún)?nèi)肟诓殚喥髽I(yè)詳細(xì)信息，同時(shí)為用戶(hù)提供直接投訴入口。具體底部欄樣式及企業(yè)信息頁(yè)面如圖6、圖7、圖8所示。

4.2? 違規(guī)信息關(guān)停封堵

企業(yè)向用戶(hù)下發(fā)的所有鏈接，均由短信小程序進(jìn)行封裝，實(shí)現(xiàn)了鏈接可管可控。封裝后的鏈接可通過(guò)互聯(lián)網(wǎng)手段對(duì)外部鏈接內(nèi)容進(jìn)行安全監(jiān)測(cè)，比如訪(fǎng)問(wèn)門(mén)限告警、用戶(hù)投訴監(jiān)控等，當(dāng)頁(yè)面內(nèi)容發(fā)生變化、訪(fǎng)問(wèn)量過(guò)多或者投訴數(shù)量達(dá)到閾值時(shí)，觸發(fā)對(duì)頁(yè)面內(nèi)容的安全掃描，防止出現(xiàn)非法的圖文及木馬等內(nèi)容，一旦出現(xiàn)則可迅速對(duì)鏈接進(jìn)行關(guān)停，頁(yè)面無(wú)法繼續(xù)訪(fǎng)問(wèn)。同時(shí)提供用戶(hù)投訴舉報(bào)機(jī)制，用戶(hù)若打開(kāi)短信小程序鏈接后發(fā)現(xiàn)內(nèi)容異常，則可進(jìn)入投訴入口對(duì)內(nèi)容進(jìn)行投訴，短信小程序管理平臺(tái)收到投訴后立即關(guān)停鏈接。實(shí)施關(guān)停操作后，通過(guò)企業(yè)留存在短信小程序管理平臺(tái)的數(shù)字證書(shū)可對(duì)企業(yè)進(jìn)行相關(guān)查處，保證用戶(hù)的信息安全。投訴入口及鏈接關(guān)停操作界面如圖9、圖10、圖11所示。

5? 結(jié)? 論

在實(shí)際的行業(yè)短信URL鏈接管控工作中，可以通過(guò)本文提出的短信小程序鏈接安全管理方法，使用iframe技術(shù)進(jìn)行URL鏈接的統(tǒng)一封裝和中國(guó)移動(dòng)SIM盾在線(xiàn)數(shù)字證書(shū)，行業(yè)客戶(hù)接入前統(tǒng)一分配數(shù)字證書(shū)，鏈接封裝操作、短信下發(fā)操作時(shí)數(shù)字證書(shū)簽名確認(rèn)，短信下發(fā)后做到可追溯、防抵賴(lài)，從事前、事中、事后三個(gè)方面實(shí)現(xiàn)對(duì)URL鏈接的全流程安全管控，目前中移互聯(lián)網(wǎng)公司已根據(jù)本文所述方法完成系統(tǒng)研發(fā)，并提供將系統(tǒng)提供至中國(guó)移動(dòng)廣東公司試點(diǎn)使用，此方法對(duì)行業(yè)短信中非法URL鏈接的現(xiàn)象起到了良好的抑制作用，幫助降低用戶(hù)投訴率，提升用戶(hù)對(duì)行業(yè)短信中的URL鏈接的可信度，也通過(guò)技術(shù)手段降低了運(yùn)營(yíng)商使用人工審核方式進(jìn)行管控的成本，實(shí)現(xiàn)接入應(yīng)用、內(nèi)容的可控可管。

參考文獻(xiàn)：

[1] 劉國(guó)香，張鈞鋒.垃圾短信分類(lèi)方式的探討 [J].滄州師范專(zhuān)科學(xué)校學(xué)報(bào)，2011，27（4）：122-124.

[2] 廉曄.行業(yè)垃圾短信管控之先審后發(fā)功能研究與設(shè)計(jì) [D].呼和浩特：內(nèi)蒙古大學(xué)，2018.

[3] 馮天.行業(yè)垃圾短信管控之用戶(hù)分層分級(jí)功能研究與設(shè)計(jì) [D].呼和浩特：內(nèi)蒙古大學(xué)，2018.

[4] 佚名.中國(guó)移動(dòng)發(fā)布超級(jí)SIM卡 [J].電子世界，2020（13）：4.

[5] 楊文清.淺談數(shù)字簽名與數(shù)字證書(shū) [J].計(jì)算機(jī)產(chǎn)品與流通，2020（11）：286.

[6] 曹原銘，董昭，陳旭.基于SIM卡的統(tǒng)一認(rèn)證技術(shù)研究 [J].電信工程技術(shù)與標(biāo)準(zhǔn)化，2015，28（4）：69-74.

[7] 石靜，劉欣亮.使用Iframe實(shí)現(xiàn)網(wǎng)頁(yè)之間數(shù)據(jù)的“隱形”傳送 [J].軟件導(dǎo)刊，2011，10（11）：141-142.

作者簡(jiǎn)介：楊漢坤（1979—），男，漢族，湖北荊州人，部門(mén)副總經(jīng)理，碩士研究生，研究方向：通信技術(shù)、計(jì)算機(jī)系統(tǒng)結(jié)構(gòu);通訊作者：李嵐霞（1993—），女，漢族，廣西南寧人，碩士研究生，研究方向：計(jì)算機(jī)技術(shù)。