Virtual Phone Numbers for SMS Verification

Features

每天，全球都会发送数十亿条短信验证码。您可能自己输入过数百个 - 当您注册服务、从新设备登录或授权交易时，发送到您手机的六位数字代码。

但您是否想过幕后发生了什么？网站如何向您发送短信？代码是如何生成的？系统如何知道您真的是您？

在本技术说明中，我们将详细介绍从代码生成到交付的整个短信验证过程，并解释为什么理解这项技术对您的隐私和安全至关重要。

短信验证过程概述

在高层次上，短信验证遵循以下步骤：

1. 用户启动需要验证的操作
2. 服务器生成一次性密码 (OTP)
3. 服务器通过短信网关发送 OTP
4. 短信网关通过运营商网络路由消息
5. 消息到达用户的手机
6. 用户将 OTP 输入回应用程序
7. 服务器验证 OTP
8. 操作被授权或拒绝

让我们详细检查每个步骤。

步骤 1：触发验证

短信验证由需要身份确认的特定用户操作触发：

• 创建帐户：在注册期间确认电话号码
• 从新设备登录：验证从未知设备或位置访问时的身份
• 密码重置：在允许更改密码之前确认帐户所有者
• 交易授权：验证高价值或异常的金融交易
• 个人资料更改：在更改敏感帐户设置之前确认身份

应用程序的后端逻辑确定何时需要验证。这通常基于风险评估算法，该算法评估 IP 地址、设备指纹、地理位置和行为模式等因素。

基于风险的触发

现代平台不会验证每个操作。相反，他们使用自适应风险评分：

• 低风险（已知设备，熟悉的位置）：不需要验证
• 中等风险（新设备，同一国家/地区）：电子邮件验证可能就足够了
• 高风险（新设备，不同国家/地区，检测到 VPN）：触发短信验证
• 关键风险（金融交易，密码更改）：强制执行短信验证

这种基于风险的方法通过在用户体验中保持保护来平衡安全性，从而减少不必要的摩擦。

步骤 2：OTP 生成

触发验证后，服务器会生成一次性密码。这就是密码学发挥作用的地方。

如何生成 OTP

有两种主要方法可以生成 OTP：

HOTP（基于 HMAC 的一次性密码）

HOTP 在 RFC 4226 中定义，它基于计数器值生成密码：

1. 服务器上存储一个秘密密钥
2. 维护一个计数器值（每个 OTP 请求都会递增）
3. HMAC-SHA1 算法将秘密密钥和计数器组合在一起
4. 结果被截断以生成人类可读的代码（通常为 4-8 位数字）

公式：HOTP(K, C) = Truncate(HMAC-SHA1(K, C))

其中 K 是秘密密钥，C 是计数器值。

TOTP（基于时间的一次性密码）

TOTP 在 RFC 6238 中定义，更常用于短信验证。它用基于时间的值替换计数器：

1. 当前的 Unix 时间戳除以时间步长（通常为 30 秒）
2. 这个时间导出的值替换了 HOTP 算法中的计数器
3. 生成的代码仅在当前时间步长内有效

公式：TOTP(K) = HOTP(K, floor(T/X))

其中 T 是当前时间，X 是时间步长（例如，30 秒）。

随机数生成

许多应用程序完全跳过 HOTP/TOTP，而是使用加密安全的随机数生成器 (CSPRNG) 来生成代码：

1. 服务器使用安全的熵源生成一个随机数
2. 该数字被格式化为 4-8 位数字的代码
3. 该代码与过期时间戳一起存储在服务器的数据库中
4. 当用户提交代码时，它会与存储的值进行比较

这种方法更容易实现，并且被许多 Web 应用程序使用。

OTP 属性

无论生成方法如何，设计良好的 OTP 都具有以下属性：

• 唯一：每个代码都应与之前的代码不同
• 不可预测：知道之前的代码不应有助于预测未来的代码
• 限时：代码在短时间后过期（通常为 60-300 秒）
• 一次性：每个代码只能使用一次
• 足够的熵：足够长以防止暴力猜测（6 位数字 = 1,000,000 种可能的组合）

步骤 3：短信网关通信

生成 OTP 后，服务器需要通过短信传递它。这就是短信网关发挥作用的地方。

什么是短信网关？

短信网关是一种在互联网和移动运营商网络之间架起桥梁的服务。它通过 API 接受来自应用程序的消息，并通过运营商基础设施将它们作为短信传递。

服务器如何与网关通信

应用程序服务器向短信网关的 API 发送请求。典型的 API 请求如下所示：

POST /api/v1/messages
{
  "to": "+1234567890",
  "from": "VERIFY",
  "body": "您的验证码：847293。有效期 5 分钟。",
  "callback_url": "https://app.example.com/sms/status"
}

网关会回复消息 ID 和状态：

{
  "message_id": "msg_abc123",
  "status": "queued",
  "price": 0.0075
}

主要短信网关提供商

许多公司大规模提供短信网关服务：

• Twilio：最受欢迎的，处理数十亿条消息
• Vonage (Nexmo)：强大的国际覆盖范围
• Sinch：专注于消息传递和语音
• MessageBird：总部位于欧洲的提供商
• AWS SNS：亚马逊的短信服务
• Plivo：经济高效的替代方案

这些提供商通过与全球数百家移动运营商保持关系，确保消息传递到地球上几乎每个电话号码。

步骤 4：消息路由

当短信网关收到消息时，它需要将其路由到正确的运营商网络。这是该过程中最复杂的部分之一。

SS7 网络

信令系统 No. 7 (SS7) 是一组控制世界上大多数电话网络的协议。发送短信时，它会通过 SS7 网络的几个组件：

SMSC（短消息服务中心）：存储和转发短信的中心枢纽。每个运营商运营一个或多个 SMSC。

HLR（归属位置寄存器）：一个数据库，知道电话号码属于哪个网络以及订阅者当前的位置。

MSC（移动交换中心）：将呼叫和消息路由到为订阅者当前位置提供服务的正确基站。

路由过程

1. 短信网关将消息发送到其聚合器或直接运营商连接
2. 聚合器查询 HLR 以确定目标运营商
3. 消息被路由到目标运营商的 SMSC
4. SMSC 查询其自己的 HLR 以找到订阅者的当前位置
5. SMSC 将消息转发到适当的 MSC
6. MSC 将消息传递到为订阅者提供服务的基站
7. 基站通过无线电频率将消息传递到手机

国际路由

对于国际消息，该过程更加复杂。消息在到达目的地之前可能会通过多个运营商、聚合器和国际网关。每次跳转都会增加潜在的延迟和故障点。

这就是为什么短信传递时间可能从不到一秒到几分钟不等，具体取决于目标国家/地区和运营商。

虚拟号码路由

当消息发送到由 VerifySMS.app 等服务提供的虚拟电话号码时，路由会采用略有不同的路径：

1. 消息像往常一样进入运营商网络
2. 虚拟号码提供商在运营商或聚合器级别拦截消息
3. 消息被路由到提供商的服务器，而不是传递到物理设备
4. 提供商在 Web 仪表板上显示消息或通过 API 传递消息

这种捕获是使虚拟电话号码成为可能的原因 - 消息永远不需要到达物理 SIM 卡。

步骤 5：消息传递

路由后，消息需要传递到最终设备（或虚拟号码平台）。

传递到物理手机

对于传递到物理手机的传统方式：

1. 基站寻呼手机并警告它有传入消息
2. 手机确认寻呼
3. 消息通过专用信令通道传输
4. 手机存储消息并通知用户
5. 手机将传递报告发送回 SMSC

传递到虚拟号码

对于虚拟号码：

1. 消息到达虚拟号码提供商的服务器
2. 提供商的系统处理消息（提取发件人、内容、时间戳）
3. 消息存储在提供商的数据库中
4. 用户通过仪表板、API Webhook 或推送通知收到通知
5. 消息显示供用户阅读

像 VerifySMS.app 这样的服务优化了此过程以提高速度，通常在收到消息后 1-5 秒内将其传递给用户。

步骤 6：用户输入代码

用户从他们的手机或虚拟号码仪表板读取验证码并将其输入到应用程序中。虽然此步骤看起来很简单，但有一些有趣的技术考虑因素：

自动填充和自动读取

现代移动操作系统可以自动检测传入的验证码：

• Android：短信检索器 API 允许应用程序自动读取验证码，而无需请求完整的短信权限
• iOS：验证码的自动填充检测消息中的 OTP 并在键盘上建议它们

这些功能依赖于特定的消息格式。消息必须以可识别的模式包含代码，并且某些实现包括域绑定的哈希以提高安全性。

Web OTP API

对于 Web 应用程序，Web OTP API 允许浏览器（在用户许可的情况下）自动从传入的短信中提取验证码。这进一步简化了验证过程。

步骤 7：服务器验证

当用户提交代码时，服务器会验证它：

验证检查

1. 代码匹配：提交的代码是否与生成的 OTP 匹配？
2. 过期：代码是否已过期？（通常为 60-300 秒）
3. 使用情况：此代码是否已使用？（防止重放攻击）
4. 尝试限制：用户是否已超过最大尝试次数？（防止暴力攻击）
5. 电话号码匹配：代码是否对应于正确的电话号码？

速率限制

服务器实施速率限制以防止滥用：

• 每小时每个电话号码的最大验证请求数
• 每个会话的最大代码提交尝试次数
• 请求之间的冷却时间
• 基于 IP 的速率限制以防止分布式攻击

失败时会发生什么

如果验证失败：

• 提示用户重试（显示剩余尝试次数）
• 在多次失败后，会话被暂时锁定
• 电话号码可能会被暂时阻止接收新代码
• 在极端情况下，帐户可能会被标记以供审核

步骤 8：授权

成功验证后：

1. 服务器将电话号码标记为已验证
2. 用户的会话更新为已验证状态
3. 原始操作（创建帐户、登录、交易）被授权
4. 向用户发送确认
5. 更新审核日志以进行安全监控

短信验证的安全优势和劣势

优势

普遍性：短信适用于每部手机，从功能手机到最新的智能手机。不需要安装应用程序。

简单性：用户了解短信。该过程是直观的，并且需要最少的技术知识。

所有权因素：短信验证确认用户拥有（或可以访问）特定的电话号码，从而在密码之外添加了第二个因素。

全球覆盖范围：短信可以到达世界上几乎每个电话号码。

劣势

SS7 漏洞：SS7 协议是在 1970 年代设计的，具有已知的漏洞，允许攻击者拦截短信。老练的攻击者可以利用这些漏洞来拦截验证码。

SIM 卡交换：攻击者可以诱骗移动运营商将受害者的电话号码转移到新的 SIM 卡。这允许他们接收受害者的短信，包括验证码。

恶意软件：移动恶意软件可以拦截受感染设备上的短信，并在用户看到之前窃取验证码。

社会工程：攻击者可以使用网络钓鱼或社会工程来诱骗用户泄露他们的验证码。

传递可靠性：短信传递不能保证。消息可能会被运营商延迟、丢失或阻止，从而导致糟糕的用户体验。

无加密：标准短信未进行端到端加密。它们可能会在传递链的各个点被拦截。

短信验证的现代替代方案

鉴于短信的安全劣势，已经出现了几种替代方案：

TOTP 身份验证器应用程序

像 Google Authenticator 和 Authy 这样的应用程序在设备本地生成基于时间的代码。这些代码永远不会通过网络传输，这使得它们对拦截免疫。

推送通知

服务向已验证的设备发送推送通知，用户只需轻按一下即可批准或拒绝请求。它比输入代码更方便用户。

FIDO2/WebAuthn

硬件安全密钥和生物识别身份验证提供最强大的身份验证。它们对网络钓鱼具有弹性，并且根本不依赖电话号码。

基于电子邮件的验证

尽管存在缺陷，但电子邮件验证避免了短信的某些安全漏洞（SS7、SIM 卡交换），从而做出了不同的权衡。

为什么短信验证仍然存在

尽管存在劣势，但短信验证由于其普遍的可访问性而仍然占主导地位。并非每个人都有智能手机应用程序。并非每个人都有安全密钥。但几乎每个人都有一部可以接收短信的手机。因此，短信验证将在未来几年内继续成为最常用的第二因素。

虚拟号码如何融入其中

从 VerifySMS.app 等服务获得的虚拟电话号码在运营商路由级别与短信验证系统交互。它们充当可以接收短信的合法电话号码 - 不同之处在于消息被传递到 Web 仪表板而不是物理设备。

从发送应用程序和短信网关的角度来看，虚拟号码与传统的运营商号码没有区别（假设提供商使用高质量的运营商级号码）。验证码以完全相同的基础设施生成、发送、路由和传递。

这就是虚拟号码适用于短信验证的原因 - 它们是参与相同电信生态系统的真实电话号码。唯一的区别是端点：服务器而不是 SIM 卡。

常见问题

短信验证需要多长时间？

整个过程通常需要 5-30 秒，从请求代码到传递。但是，由于运营商拥塞、国际路由或网关操作，可能会出现延迟。

为什么有些短信代码需要更长时间才能到达？

延迟通常是由于运营商拥塞、通过多个运营商的国际路由、发送服务施加的速率限制或瞬时网络问题造成的。

短信验证码可以被拦截吗？

是的，通过 SS7 漏洞、SIM 卡交换或设备上的恶意软件。这就是为什么安全专家建议对敏感帐户使用基于应用程序的 2FA。

为什么短信代码通常是 6 位数字？

六位数字提供了 1,000,000 种可能的组合，这足以防止在代码的短有效期内进行暴力攻击。与速率限制相结合，这提供了足够的安全性。

虚拟号码接收短信的方式与真实手机相同吗？

虚拟号码通过相同的运营商基础设施接收短信。不同之处在于消息被传递到服务器而不是物理设备。从发件人的角度来看，没有区别。

结论

短信验证是密码学、电信和用户体验设计的迷人交汇点。尽管存在已知的安全限制，但它仍然是最普遍可访问的双因素身份验证形式。

了解短信验证的技术工作原理可以帮助您做出有关自己安全的明智决定。对于您需要在不泄露个人电话号码的情况下进行短信验证的情况，像 VerifySMS.app 这样的虚拟号码服务提供了一种可靠的、保护隐私的替代方案，该替代方案在相同的技术框架内运行。

无论您是实施短信验证的开发人员、评估身份验证选项的安全专家，还是只是想了解这些六位数字代码背后的技术的用户，这些知识都可以让您更安全、更有效地浏览数字世界。

---

相关文章

• 顶级 10 大短信验证服务比较
• 如何使用 VerifySMS — 分步指南
• 如何在网上接收短信
• 廉价虚拟电话号码的最佳国家/地区
• 如何在 2026 年购买临时电话号码

FAQ

Frequently Asked Questions