高频率行业下行验证码短消息涉诈风险防范技术要求.pdfVIP

高频率行业下行验证码短消息涉诈风险防范技术要求 1 范围 本文件规定了互联网信息服务提供商高频率下行验证码短消息风险防范技术要求，提出了安全防 护机制分层架构和安全防护要求。 本文件适用于互联网信息服务提供商规范下发验证码短消息流程，也适用于行业主管部门、第三方 评估机构等对互联网信息服务提供商下发验证码短消息接口的安全防护能力进行监督、管理和评估。 2 规范性引用文件 本文件没有规范性引用文件。 3 术语和定义 下列术语和定义适用于本文件。 3.1 互联网信息服务提供商 Internet content provider 面向公众提供互联网信息服务的主体。 注：互联网信息服务，是指通过互联网向上网用户提供信息的服务活动，见《互联网信息服务管理办法》。 3.2 验证码短消息 verification code short message 互联网服务提供商，为了验证用户提供的手机号是否正确，或者验证其他资料是否匹配，而向用户 手机号推送短消息的验证信息。 3.3 高频率行业下行验证码短消息 high-frequency downlink verification code short message 一个或多个互联网信息服务提供商向同一手机号码的用户在1分钟内下发超过3条的验证码短消息。 3.4 人机验证 man-machine verification 一种区分当前网络交互行为是否真人操作的安全措施，也被称作人机识别，如验证码人机验证、号 码认证、统一风控策略验证等。 1 3.5 字符型验证码 alphanumeric CAPTCHA 通过字符或数字的组合方式显示验证码方式识别是否为正常用户的验证机制。 3.6 滑块型验证码 slider CAPTCHA 通过用户滑动的方式识别是否为正常用户的验证机制。 3.7 云滑块验证码 cloud slider CAPTCHA 人机验证策略配置云端，云端根据对抗的实时情况，动态下发验证策略到本地端，从而加快对抗适 应过程的一种滑块型验证码验证机制。 3.8 虚拟图灵测试动态语义验证码 virtual turing test dynamic semantics CAPTCHA 基于虚拟图灵测试，通过用户根据题目选出图中的一个或多个答案、物体或字符，对用户进行判断 和识别的验证机制。 3.9 智能验证 intelligent verification 基于风险分析和智能分级模型，根据用户多维环境因素，对用户进行判断和识别的验证机制。 3.10 号码认证 phone number authentication 在获得用户同意的前提下，通过数据网关或短消息网关识别本机号码，结合基础电信运营商提供的 接口，安全、快速地验证用户身份，支持完成一键登录、本机校验的功能，实现用户注册、登录、安全 校验等。 3.11 统一匿名设备标识符 uniform anonymous device identifier 基础电信运营商通过结合基站获取到的用户终端IMEI、手机号等ID，进行匿名化处理后生成的，不 包含IMEI、手机号等信息，仅表征集成关系的匿名ID。 4 缩略语 下列缩略语适用于本文件。 APP 移动应用软件 Application 全自动区分计算机和 Completely Automated Public Turing Test to Tell Computers and CAPTCHA 人类的图灵测试 Humans Apart 2 H5 超文本标记语言5 Hyper Text Markup Language 5 HTTPS 超文本传输安全协议 Hyper Text Transfer Protocol over Secure Socket Layer ID 身份证明