【发布时间】：2019-02-11 06:10:02
【问题描述】：
我们的应用程序中有一项功能要求在执行某些功能之前提供六位数的 OTP。它通过 SMS 发送，有效期为 5 分钟。有一个内部渗透测试表明这很容易受到暴力攻击。我们可以通过编程方式做些什么来防止这种情况发生？
【问题讨论】：
-
把点赞时间缩短到30秒，把代码加长6个字符左右，使用强算法生成。实现在多次尝试失败后锁定用户的代码，或者至少在一些失败尝试后添加验证码。
-
已经是 6 位数了
标签： brute-force owasp one-time-password one-time-pad