iOS 12 验证码自动填充很方便但它安全吗？( 三 ) 近日安全专家安德烈亚斯·古特曼指出：

iOS 12 新功能只需要用户在接收到验证码短信的时候点击一下，便会自动输入验证码，这将加快登录过程并减少错误。

安全专家肯定苹果这一做法是对 2FA 可用性的重大改进，它还可以提高 iPhone 用户对 2FA 的采用率。但专家同时警告称：iOS 12 验证码自动填充功能可能会催生随之而来的欺诈、钓鱼攻击等风险。

动态验证码本身是防御复杂攻击的重要工具，其中的关键在于必须由用户接收到并在有效时间内主动+手动输入验证码。自动填充直接移除了其中的手动部分，对于用户来说很方便，但它也抵消了交易签名和交易验证号码（TAN）的安全优势。

iOS 12 的自动填充功能基于触发式的消息检测，比如检测出类似于“验证码”或者“密码”这样的单词（字段），便会提取相应字段进行填充。

恶意网站或恶意软件也有可能通过这样的手段提取到验证码，进行网银欺诈。在 MacBook 上通过 Safari 浏览器访问网银的用户，可能会受到中间人攻击。

iOS 12 验证码自动填充很方便 但它安全吗？( 三 )