Σε μια επίθεση SIM Swap, ο επιτιθέμενος αποκτά τον έλεγχο του αριθμού τηλεφώνου του θύματος μέσω αντικατάστασης SIM ή μη εξουσιοδοτημένης μεταφοράς του αριθμού. Αν η σύνδεση ή η ανάκτηση λογαριασμού εξαρτάται μόνο από τη λήψη SMS, αυτός ο έλεγχος μπορεί να ανοίξει τον δρόμο προς τον λογαριασμό. Το αποτέλεσμα όμως δεν είναι ίδιο σε όλες τις υπηρεσίες μηνυμάτων: ένας δεύτερος κωδικός πρόσβασης, οι εξουσιοδοτημένες συσκευές, το κλείδωμα εγγραφής και η πολιτική ανάκτησης μπορούν να κάνουν τη διαφορά.
Εξετάστε την κατάληψη του αριθμού, την κατάληψη του λογαριασμού και την ανάγνωση παλαιών μηνυμάτων ως τρία διαφορετικά αποτελέσματα. Μην θεωρείτε κανένα αναπόφευκτη συνέπεια κάποιου άλλου χωρίς να γνωρίζετε την αρχιτεκτονική της υπηρεσίας.
Τι αποδεικνύει ο κωδικός SMS;
Ένας κωδικός SMS συνήθως δείχνει ότι η διαδικασία σύνδεσης έχει πρόσβαση στον συγκεκριμένο αριθμό. Δεν αποδεικνύει απαραίτητα ότι τον ελέγχει το ίδιο πρόσωπο όπως πριν. Ο οδηγός της FTC για το SIM Swap εξηγεί γιατί ο επιτιθέμενος που ελέγχει τον αριθμό μπορεί να λαμβάνει κωδικούς επιβεβαίωσης.
Αυτή η αδυναμία δεν σημαίνει ότι κάθε πολυπαραγοντικός έλεγχος ταυτότητας είναι άχρηστος. Η επιλογή ισχυρότερου παράγοντα, εφόσον υποστηρίζεται από την υπηρεσία, μπορεί να μειώσει την εξάρτηση από το τηλεφωνικό δίκτυο. Εξετάστε και τη διαδρομή ανάκτησης: αν η ισχυρότερη μέθοδος σύνδεσης παρακάμπτεται μέσω ανάκτησης μόνο με SMS, αυτή η διαδρομή παραμένει σημαντική.
Τι αλλάζει το SRP;
Το SRP είναι μέθοδος συμφωνίας κλειδιού και ελέγχου ταυτότητας με βάση κωδικό πρόσβασης, η οποία δεν απαιτεί να αποστέλλεται ο ίδιος ο κωδικός κατά τη συνήθη ανταλλαγή. Ο διακομιστής αποθηκεύει ένα δεδομένο που ονομάζεται verifier. Αυτό διαφέρει από τη σύνδεση αποκλειστικά με κωδικό SMS, αλλά η ονομασία SRP από μόνη της δεν καθορίζει την πολιτική εγγραφής ή ανάκτησης λογαριασμού.
Ούτε το verifier πρέπει να θεωρείται ακίνδυνο. Η ενότητα ασφάλειας του RFC 5054 αναφέρει ότι η κλοπή του verifier μπορεί να επιτρέψει επίθεση λεξικού για την εύρεση του κωδικού πρόσβασης. Η ισχύς του κωδικού, ο έλεγχος των προσπαθειών σύνδεσης, οι παράμετροι και η ορθότητα της υλοποίησης εξακολουθούν να έχουν σημασία. Το RFC περιγράφει ένα παράδειγμα SRP στο TLS, όχι έλεγχο της υλοποίησης της Livara.
Αν καταληφθεί ο λογαριασμός, διαβάζονται όλες οι συνομιλίες;
| Κατάσταση | Καθοριστικό ερώτημα |
|---|---|
| Ο επιτιθέμενος έχει μόνο τον αριθμό | Επιτρέπεται σύνδεση ή ανάκτηση μόνο με SMS; |
| Ο επιτιθέμενος συνδέθηκε στον λογαριασμό | Αποκτά η νέα συσκευή πρόσβαση στα προηγούμενα κλειδιά και στο ιστορικό; |
| Ο επιτιθέμενος στέλνει νέα μηνύματα | Βλέπουν και ελέγχουν οι επαφές την αλλαγή ταυτότητας ή συσκευής; |
| Ο επιτιθέμενος έχει τη φράση ανάκτησης | Ποια αντίγραφα ασφαλείας και κλειδιά ξεκλειδώνει; |
| Ο επιτιθέμενος έχει ξεκλείδωτη συσκευή | Ποιο περιεχόμενο και ποιες ενεργές συνεδρίες είναι διαθέσιμα; |
Η διατερματική κρυπτογράφηση προστατεύει το περιεχόμενο των μηνυμάτων κατά τη διαδρομή τους· δεν αντικαθιστά την πολιτική σύνδεσης ούτε την εμπιστοσύνη στην ταυτότητα της επαφής.
Τα όρια του ισχυρισμού της Livara
Η σελίδα ασφάλειας της Livara περιγράφει σύνδεση με όνομα χρήστη και SRP και ξεχωριστή ανάκτηση του υλικού ταυτότητας. Αυτός ο σχεδιασμός δεν πρέπει να μετατρέπεται σε υπόσχεση ανοσίας σε κάθε είδους κλοπή λογαριασμού. Το phishing, το κακόβουλο λογισμικό, οι αδύναμοι κωδικοί και η αποκάλυψη της φράσης ανάκτησης παραμένουν παράγοντες της αξιολόγησης.
Το ίδιο έγγραφο αναφέρει ότι το v7 ανακτά την κρυπτογραφική ταυτότητα, όχι το ιστορικό συνομιλιών. Το μοντέλο απειλών βοηθά να μη συγχέονται η πρόσβαση στον λογαριασμό, η πρόσβαση στα κλειδιά και η φυσική πρόσβαση στη συσκευή.
Πρακτικά βήματα για τη μείωση του κινδύνου
- Ορίστε ξεχωριστό κωδικό ή PIN στον λογαριασμό του παρόχου κινητής και ρωτήστε για περιορισμούς μεταφοράς αριθμού. Αυτό μειώνει τον κίνδυνο, δεν καθιστά αδύνατη τη μη εξουσιοδοτημένη μεταφορά.
- Σε υπηρεσίες που το υποστηρίζουν, ενεργοποιήστε κατάλληλο παράγοντα ελέγχου ταυτότητας εκτός SMS και φυλάξτε με ασφάλεια τους κωδικούς ανάκτησης.
- Χρησιμοποιείτε μοναδικούς κωδικούς πρόσβασης· ένας κοινός κωδικός μπορεί να επεκτείνει ένα συμβάν σε μία υπηρεσία σε πολλούς λογαριασμούς.
- Αν διακοπεί ξαφνικά η υπηρεσία της SIM ή λάβετε απρόσμενη ειδοποίηση αλλαγής, επικοινωνήστε με τον πάροχο από γνωστό επίσημο κανάλι· κάθε διακοπή δεν σημαίνει επίθεση.
- Αφού ανακτήσετε τον αριθμό, ελέγξτε συνδέσεις και αλλαγές στους συνδεδεμένους λογαριασμούς και ανακαλέστε άγνωστες προσβάσεις σύμφωνα με τις οδηγίες κάθε υπηρεσίας.
Το καλύτερο κριτήριο δεν είναι το όνομα μιας μεθόδου σύνδεσης, αλλά το τι ακριβώς αποκτά ο επιτιθέμενος ελέγχοντας τον αριθμό, τον κωδικό ή τη συσκευή και ποιο ανεξάρτητο εμπόδιο απομένει.
