في هجوم SIM Swap، يسيطر المهاجم على رقم هاتف الضحية عبر تبديل شريحة SIM أو نقل الرقم دون إذن. إذا كان تسجيل الدخول أو استرداد الحساب يعتمد فقط على تلقي الرسائل النصية، فقد تفتح هذه السيطرة الطريق إلى الحساب. لكن النتيجة ليست واحدة في جميع تطبيقات المراسلة: فقد تُحدث كلمة مرور إضافية والأجهزة المصرّح لها وقفل التسجيل وسياسة الاسترداد فرقًا.
انظر إلى الاستيلاء على الرقم، والاستيلاء على الحساب، وقراءة الرسائل القديمة باعتبارها ثلاث نتائج منفصلة. لا تفترض أن أيًّا منها نتيجة حتمية للأخرى دون معرفة بنية الخدمة.
ما الذي يثبته رمز الرسالة النصية؟
يشير رمز SMS عادةً إلى أن عملية تسجيل الدخول تستطيع الوصول إلى الرقم المعني. لكنه لا يثبت بالضرورة أن الشخص نفسه ما زال يتحكم في الرقم. يوضح دليل FTC بشأن SIM Swap لماذا قد يتمكن المهاجم المسيطر على الرقم من تلقي رموز التحقق.
لا يعني هذا الضعف أن جميع أشكال المصادقة متعددة العوامل عديمة الفائدة. فقد يقلل اختيار عامل أقوى، إذا كانت الخدمة تدعمه، الاعتماد على شبكة الهاتف. افحص مسار الاسترداد أيضًا: إذا أمكن تجاوز أقوى طريقة لتسجيل الدخول باسترداد يعتمد فقط على الرسائل النصية، يظل هذا المسار مهمًّا.
ما الفرق الذي يُحدثه SRP؟
SRP طريقة للاتفاق على مفتاح والمصادقة استنادًا إلى كلمة مرور، ولا تتطلب إرسال كلمة المرور نفسها أثناء التبادل المعتاد. يحتفظ الخادم ببيانات تسمى verifier. وهذا يختلف عن الدخول المعتمد فقط على رمز SMS، لكن اسم SRP وحده لا يحدد سياسة التسجيل أو استرداد الحساب.
كذلك لا ينبغي افتراض أن verifier غير ضار. يذكر قسم الأمان في RFC 5054 أن سرقة verifier قد تتيح هجوم قاموس لتخمين كلمة المرور. تظل قوة كلمة المرور وضبط محاولات الدخول والمعلمات وصحة التنفيذ أمورًا مهمة. يصف هذا المستند مثالًا لاستخدام SRP في TLS، وليس تدقيقًا لتنفيذ ليفارا.
إذا استُولي على الحساب، فهل تُقرأ جميع المحادثات؟
| الحالة | السؤال الحاسم |
|---|---|
| المهاجم يملك الرقم فقط | هل يُسمح بالدخول أو الاسترداد عبر SMS وحده؟ |
| المهاجم دخل إلى الحساب | هل يصل الجهاز الجديد إلى المفاتيح والسجل السابقين؟ |
| المهاجم يرسل رسائل جديدة | هل يرى جهات الاتصال تغيّر الهوية أو الجهاز ويتحققون منه؟ |
| المهاجم يملك عبارة الاسترداد | ما النسخ الاحتياطية والمفاتيح التي تُفتح بها؟ |
| المهاجم يملك جهازًا غير مقفل | ما المحتوى والجلسات النشطة المتاحة له؟ |
يحمي التشفير من طرف إلى طرف محتوى الرسائل في مسار انتقالها؛ ولا يحل محل سياسة الدخول والثقة بهوية جهة الاتصال.
حدود ادعاء ليفارا
تصف صفحة أمان ليفارا تسجيل الدخول القائم على اسم المستخدم وSRP، والاسترداد المنفصل لمواد الهوية. لا ينبغي تحويل هذا التصميم إلى وعد بالحصانة من جميع أنواع سرقة الحسابات. يظل التصيد والبرمجيات الخبيثة وكلمات المرور الضعيفة وانكشاف عبارة الاسترداد ضمن الاعتبارات المهمة.
وتقول الوثيقة نفسها إن v7 يستعيد الهوية التشفيرية، لا سجل المحادثات. يساعد نموذج التهديدات على عدم الخلط بين الوصول إلى الحساب والوصول إلى المفاتيح والوصول المادي إلى الجهاز.
خطوات عملية لتقليل المخاطر
- ضع كلمة مرور أو PIN مخصصًا لحسابك لدى شركة الاتصالات، واسأل عن قيود نقل الرقم. تقلل هذه الخطوة المخاطر، ولا تجعل النقل غير المصرّح به مستحيلًا.
- في الخدمات التي تدعم ذلك، فعّل عامل مصادقة مناسبًا لا يعتمد على الرسائل النصية، واحتفظ برموز الاسترداد بأمان.
- استخدم كلمات مرور فريدة؛ فكلمة مرور مشتركة قد تنقل حادثة في خدمة واحدة إلى عدة حسابات.
- إذا انقطعت خدمة الشريحة فجأة أو تلقيت إشعارًا بتغيير غير متوقع، تواصل مع شركة الاتصالات عبر قناة رسمية معروفة؛ فليس كل انقطاع دليلًا على هجوم.
- بعد استعادة الرقم، راجع عمليات الدخول والتغييرات في الحسابات المرتبطة، وألغِ صلاحيات الوصول غير المعروفة وفق إرشادات كل خدمة.
أفضل معيار ليس اسم طريقة تسجيل الدخول؛ بل ما الذي يصل إليه المهاجم بالضبط عند السيطرة على الرقم أو كلمة المرور أو الجهاز، وما الحاجز المستقل الذي يبقى.
