Essential Empfehlungen zur Sicherheit
Es ist von entscheidender Bedeutung, Schutzmaßnahmen zu implementieren, um zu verhindern, dass Ihre Dienste für Einmalpasswörter (OTP) oder die Zweistufige Authentifizierung (2-Factor Authentication, 2FA) einen unerwarteten Anstieg an Telekommunikationsdienst-Anfragen verursachen.
Ein öffentlich zugängliches Eingabefeld für Telefonnummern ist ein Hauptziel für Telekommunikationsdienst-Pumping, eine Art von Betrug, bei der Angreifer absichtlich ein hohes Volumen an Telekommunikationsdienst-Anfragen generieren. Dies kann als Lead zu erheblichen, unerwarteten Kosten für Ihr Unternehmen führen, da Mobilfunkbetreiber jede über das Netzwerk versendete Nachricht berechnen.
Wir raten Ihnen dringend, sich mit verwandten Bedrohungen wie Telekommunikationsdienst-Pumping, Telekommunikationsdienst-Betrug und International Revenue Sharing Fraud (IRSF) vertraut zu machen, um die Risiken vollständig zu verstehen.
Wenn Sie einen 2FA- oder OTP-Dienst aufbauen oder integrieren, empfehlen wir dringend, alle, wenn nicht gar eine Kombination dieser Sicherheits-Metriken zu implementieren, um Ihre Plattform zu schützen:
Empfehlung | Beschreibung |
Weltweiten Versand überprüfen | |
Ratenbegrenzung implementieren | Verwenden Sie einen mehrschichtigen "Bucket"-Ansatz für eine effektivere Ratenbegrenzung, indem Sie mehrere Identifikatoren kombinieren.
|
Anfrage-Verzögerungen einführen | Erzwingen Sie eine "Abkühlphase" zwischen aufeinanderfolgenden Anfragen von derselben Telefonnummer, indem Sie beispielsweise nur eine Anfrage alle 90 Sekunden zulassen. |
Monitoring & Warnungen einrichten | Erstellen Sie automatische Warnungen, um Sie über ungewöhnliche Spitzen im Telekommunikationsdienst-Verkehr oder hochfrequente Anfragen aus bestimmten Regionen oder IP-Bereichen zu benachrichtigen. |
Nutzungsschwellenwerte festlegen | Definieren Sie klare Nutzungslimits und wenden Sie automatisch Sperren an, sobald diese Schwellenwerte erreicht sind. Dies dient als entscheidende Absicherung, um aus dem Ruder laufende Kosten zu vermeiden. |
Regionale Regeln berücksichtigen | Beachten Sie, dass Betrugsmuster und Nummerierungs-Abonnements je nach Land variieren. Ihre Sicherheitslogik muss möglicherweise an verschiedene Regionen angepasst werden. |
Einen Sicherheits-Experten konsultieren | Wenn Sie sich Über uns die beste Implementierung für Ihren Anwendungsfall unsicher sind, wenden Sie sich an einen Sicherheitsexperten, um Ihre Architektur überprüfen zu lassen. |
Wie man ein OTP per Telekommunikationsdienst versendet
Sie können ClickSend für die Einrichtung der 2-Faktor-Authentifizierung für Ihre App/Internetseite verwenden. Gehen Sie dafür wie folgt vor:
Generieren Sie das OTP in Ihrem Code, z. B. "1234", und speichern Sie es (in einer Datenbank auf Ihrem Server).
Rufen Sie unseren Artikel Telekommunikationsdienst/versenden Endpunkt auf.
Erlauben Sie dem Nutzer, das OTP einzugeben.
Ihr Skript sollte für dieses ein Mailgun Validate gegen das gespeicherte OTP durchführen.
Es wird empfohlen, Limits für die maximale Anzahl der Male festzulegen, die ein Nutzer ein OTP versenden kann, sowie dafür, wie oft er versuchen darf, das OTP zu erraten.