brute-force - 如何保护 OTP（一次性密码）免受暴力攻击？

Question

我们的应用程序中有一个功能要求在执行某些功能之前提供六位数的 OTP。它通过 SMS 发送，有效期为 5 分钟。有一个内部渗透测试表明这很容易受到暴力攻击。我们可以以编程方式做些什么来防止这种情况发生？

Answer 1

• 对 OPT 使用长文本，如 6-10 个字符长。这将提供很多组合阶乘（N）。这将是一个非常大的数字，普通系统无法在 5 分钟内猜出 OTP。
• 不仅要使用数字，还要使用可以使您的 OTP 更强大的字符。