SIM 스와프 공격에서는 공격자가 SIM 카드 교체나 무단 번호 이전을 통해 피해자의 전화번호를 통제합니다. 계정 로그인이나 복구가 문자 수신에만 의존한다면, 이 통제권이 계정에 들어가는 길을 열 수 있습니다. 하지만 모든 메신저에서 결과가 같지는 않습니다. 추가 비밀번호, 승인된 기기, 등록 잠금, 복구 정책에 따라 달라질 수 있습니다.
**번호 탈취, 계정 탈취, 과거 메시지 열람은 서로 다른 세 가지 결과로 구분해 살펴보세요.**서비스 구조를 모르는 상태에서 하나가 반드시 다른 결과로 이어진다고 가정하지 마세요.
문자 인증 코드는 무엇을 증명하나요?
SMS 코드는 보통 로그인 과정에서 해당 번호에 접근할 수 있음을 보여 줍니다. 그렇다고 늘 그 번호를 사용하던 사람이 여전히 통제하고 있다는 증거는 아닙니다.FTC의 SIM 스와프 안내는 번호를 통제하는 공격자가 인증 코드를 받을 수 있는 이유를 설명합니다.
이 약점이 모든 다중 요소 인증이 무용하다는 뜻은 아닙니다. 서비스가 지원한다면 더 강한 인증 요소를 선택해 전화망 의존도를 줄일 수 있습니다. 복구 경로도 확인하세요. 문자만 사용하는 복구 절차로 가장 강력한 로그인 방식을 우회할 수 있다면 그 경로는 여전히 중요합니다.
SRP는 어떤 차이를 만드나요?
SRP는 비밀번호 기반 키 합의 및 인증 방식으로, 정상적인 교환 과정에서 비밀번호 자체를 전송할 필요가 없습니다. 서버는 verifier라는 검증 데이터를 보관합니다. 문자 코드만으로 로그인하는 것과는 다르지만, SRP라는 이름만으로 계정 등록이나 복구 정책이 정해지는 것은 아닙니다.
verifier도 위험이 없다고 가정해서는 안 됩니다.RFC 5054의 보안 절은 verifier가 도난당하면 비밀번호를 추측하는 사전 공격이 가능해질 수 있다고 설명합니다. 비밀번호 강도, 로그인 시도 제어, 매개변수, 올바른 구현은 여전히 중요합니다. 이 RFC는 TLS에서 사용하는 SRP의 예를 설명하며, Livara 구현에 대한 감사가 아닙니다.
계정을 탈취당하면 모든 채팅을 읽히나요?
| 상황 | 핵심 질문 |
|---|---|
| 공격자가 번호만 통제함 | 문자만으로 로그인이나 복구가 허용되나요? |
| 공격자가 계정에 들어감 | 새 기기가 기존 키와 과거 기록에 접근하나요? |
| 공격자가 새 메시지를 보냄 | 상대방이 신원이나 기기 변경을 보고 확인하나요? |
| 공격자가 복구 문구를 가짐 | 그 문구로 어떤 백업과 키를 열 수 있나요? |
| 공격자가 잠금 해제된 기기를 가짐 | 어떤 콘텐츠와 활성 세션에 접근할 수 있나요? |
종단 간 암호화는 메시지 내용의 전송 경로를 보호하며, 로그인 정책이나상대방 신원에 대한 신뢰를 대신하지는 않습니다.
Livara 주장의 범위
Livara 보안 페이지는 사용자 이름과 SRP 기반 로그인, 그리고 별도의 신원 자료 복구를 설명합니다. 이 설계를 모든 형태의 계정 도용에 면역이라는 약속으로 바꾸어서는 안 됩니다. 피싱, 악성코드, 취약한 비밀번호, 복구 문구 유출은 여전히 평가에 포함해야 합니다.
같은 문서는v7이 복구하는 것은 암호학적 신원이지 채팅 기록이 아니라고 설명합니다.위협 모델은 계정 접근, 키 접근, 기기에 대한 물리적 접근을 혼동하지 않도록 도와줍니다.
위험을 줄이는 실천 방법
- 통신사 계정에 전용 비밀번호나 PIN을 설정하고 번호 이전 제한에 대해 문의하세요. 이는 위험을 줄이지만 무단 이전을 불가능하게 만들지는 않습니다.
- 지원하는 서비스에서 적절한 비문자 인증 요소를 활성화하고 복구 코드를 안전하게 보관하세요.
- 각기 다른 비밀번호를 사용하세요. 같은 비밀번호를 쓰면 한 서비스의 사고가 여러 계정으로 번질 수 있습니다.
- SIM 서비스가 갑자기 끊기거나 예상치 못한 변경 알림을 받으면, 알고 있는 공식 연락 경로로 통신사에 확인하세요. 모든 서비스 중단이 공격을 뜻하지는 않습니다.
- 번호를 되찾은 뒤에는 연결된 계정의 로그인과 변경 사항을 확인하고, 각 서비스 안내에 따라 알 수 없는 접근 권한을 해제하세요.
가장 좋은 기준은 로그인 방식의 이름이 아닙니다. 번호, 비밀번호 또는 기기를 통제한 공격자가 정확히 무엇에 접근할 수 있고, 어떤 독립적인 장벽이 남아 있는지가 중요합니다.
