במתקפת SIM Swap, התוקף משתלט על מספר הטלפון של הקורבן באמצעות החלפת כרטיס SIM או ניוד מספר לא מורשה. אם הכניסה לחשבון או שחזורו תלויים רק בקבלת SMS, השליטה הזאת עשויה לפתוח דרך אל החשבון. אבל התוצאה אינה זהה בכל שירותי המסרים: סיסמה נוספת, מכשירים מורשים, נעילת רישום ומדיניות שחזור יכולים לשנות את התמונה.
התייחסו להשתלטות על המספר, להשתלטות על החשבון ולקריאת הודעות ישנות כאל שלוש תוצאות נפרדות. בלי להכיר את ארכיטקטורת השירות, אל תניחו שאחת מהן היא תוצאה ודאית של אחרת.
מה קוד SMS מוכיח?
קוד SMS מראה בדרך כלל שלתהליך הכניסה יש גישה למספר הרלוונטי. הוא לא בהכרח מוכיח שאותו אדם עדיין שולט במספר. המדריך של FTC בנושא SIM Swap מסביר מדוע תוקף ששולט במספר עשוי לקבל קודי אימות.
החולשה הזאת אינה אומרת שכל אימות רב־גורמי חסר תועלת. בחירת גורם חזק יותר, אם השירות תומך בו, עשויה לצמצם את התלות ברשת הטלפון. בדקו גם את מסלול השחזור: אם אפשר לעקוף את שיטת הכניסה החזקה ביותר באמצעות שחזור המבוסס רק על SMS, למסלול הזה עדיין יש חשיבות.
מה SRP משנה?
SRP הוא מנגנון להסכמה על מפתח ולאימות המבוסס על סיסמה, שאינו מחייב שליחת הסיסמה עצמה במהלך חילופי המידע הרגילים. השרת שומר נתון שנקרא verifier. זה שונה מכניסה המבוססת רק על קוד SMS, אבל השם SRP לבדו אינו קובע את מדיניות הרישום או שחזור החשבון.
גם את ה־verifier אין לראות כנתון חסר סיכון. פרק האבטחה של RFC 5054 מציין שגניבת verifier עשויה לאפשר מתקפת מילון לניחוש הסיסמה. חוזק הסיסמה, הבקרה על ניסיונות הכניסה, הפרמטרים ותקינות המימוש עדיין חשובים. מסמך RFC זה מתאר דוגמה ל־SRP בתוך TLS, ולא ביקורת של המימוש של Livara.
אם החשבון נתפס, האם כל הצ׳אטים ניתנים לקריאה?
| מצב | השאלה המכרעת |
|---|---|
| לתוקף יש רק את המספר | האם כניסה או שחזור באמצעות SMS בלבד מותרים? |
| התוקף נכנס לחשבון | האם המכשיר החדש מקבל גישה למפתחות ולהיסטוריה הקודמים? |
| התוקף שולח הודעות חדשות | האם אנשי הקשר רואים שינוי בזהות או במכשיר ובודקים אותו? |
| לתוקף יש את ביטוי השחזור | אילו גיבויים ומפתחות אפשר לפתוח באמצעותו? |
| לתוקף יש מכשיר לא נעול | אילו תכנים והפעלות פעילות זמינים לו? |
הצפנה מקצה לקצה מגינה על תוכן ההודעות לאורך נתיב ההעברה; היא אינה מחליפה את מדיניות הכניסה ואת האמון בזהות איש הקשר.
גבולות הטענה של Livara
עמוד האבטחה של Livara מתאר כניסה המבוססת על שם משתמש ו־SRP ושחזור נפרד של חומרי הזהות. אין להפוך את התכנון הזה להבטחה לחסינות מפני כל סוג של גניבת חשבון. דיוג, נוזקות, סיסמאות חלשות וחשיפת ביטוי השחזור עדיין רלוונטיים להערכה.
אותו מסמך אומר כי v7 משחזר את הזהות הקריפטוגרפית, ולא את היסטוריית הצ׳אטים. מודל האיומים עוזר להבחין בין גישה לחשבון, גישה למפתחות וגישה פיזית למכשיר.
צעדים מעשיים לצמצום הסיכון
- הגדירו סיסמה או PIN ייעודיים לחשבון אצל מפעיל הסלולר ובררו על הגבלות ניוד מספר. הצעד הזה מצמצם סיכון, ולא הופך ניוד לא מורשה לבלתי אפשרי.
- בשירותים שתומכים בכך, הפעילו גורם אימות מתאים שאינו מבוסס על SMS ושמרו את קודי השחזור במקום בטוח.
- השתמשו בסיסמאות ייחודיות; סיסמה משותפת יכולה להפיץ אירוע בשירות אחד למספר חשבונות.
- אם שירות ה־SIM נקטע פתאום או שקיבלתם הודעה על שינוי לא צפוי, פנו למפעיל דרך ערוץ רשמי ומוכר; לא כל הפסקת שירות מעידה על מתקפה.
- אחרי החזרת השליטה במספר, בדקו כניסות ושינויים בחשבונות המשויכים ובטלו הרשאות גישה לא מוכרות בהתאם להנחיות כל שירות.
המדד הטוב ביותר אינו שמה של שיטת כניסה, אלא למה בדיוק התוקף מגיע באמצעות שליטה במספר, בסיסמה או במכשיר, ואיזה מחסום עצמאי נשאר.
