W ataku SIM swap napastnik przejmuje numer telefonu ofiary przez wymianę karty SIM lub nieuprawnione przeniesienie numeru. Jeśli logowanie lub odzyskiwanie konta zależy wyłącznie od otrzymania SMS-a, taka kontrola może otworzyć drogę do konta. Skutki nie są jednak identyczne we wszystkich komunikatorach: dodatkowe hasło, uprawnione urządzenia, blokada rejestracji i zasady odzyskiwania mogą mieć znaczenie.
Przejęcie numeru, przejęcie konta i odczyt starych wiadomości traktuj jako trzy odrębne skutki. Bez znajomości architektury usługi nie uznawaj żadnego z nich za nieuniknioną konsekwencję innego.
Co potwierdza kod SMS?
Kod SMS zwykle wskazuje, że proces logowania ma dostęp do danego numeru. Nie dowodzi to koniecznie, że numerem zarządza ta sama osoba co wcześniej. Poradnik FTC o SIM swap wyjaśnia, dlaczego napastnik kontrolujący numer może otrzymywać kody weryfikacyjne.
Ta słabość nie oznacza, że każde uwierzytelnianie wieloskładnikowe jest bezużyteczne. Wybór silniejszego składnika, jeśli usługa go obsługuje, może ograniczyć zależność od sieci telefonicznej. Sprawdź też ścieżkę odzyskiwania: jeśli najsilniejszą metodę logowania można obejść odzyskiwaniem wyłącznie przez SMS, ta ścieżka nadal ma znaczenie.
Co zmienia SRP?
SRP to metoda uzgadniania klucza i uwierzytelniania oparta na haśle, która nie wymaga przesyłania samego hasła podczas zwykłej wymiany. Serwer przechowuje dane zwane weryfikatorem (verifier). Różni się to od logowania wyłącznie kodem SMS, ale sama nazwa SRP nie określa zasad rejestracji ani odzyskiwania konta.
Nie należy też uważać weryfikatora za nieszkodliwy. Sekcja bezpieczeństwa RFC 5054 mówi, że kradzież weryfikatora może umożliwić atak słownikowy służący odgadnięciu hasła. Siła hasła, kontrola prób logowania, parametry i poprawność implementacji pozostają ważne. Ten RFC opisuje przykład SRP w TLS, a nie audyt implementacji Livara.
Czy przejęcie konta pozwala odczytać wszystkie czaty?
| Sytuacja | Pytanie rozstrzygające |
|---|---|
| Napastnik ma tylko numer | Czy dozwolone jest logowanie lub odzyskiwanie wyłącznie przez SMS? |
| Napastnik zalogował się na konto | Czy nowe urządzenie uzyskuje dostęp do wcześniejszych kluczy i historii? |
| Napastnik wysyła nową wiadomość | Czy kontakty widzą i sprawdzają zmianę tożsamości lub urządzenia? |
| Napastnik ma frazę odzyskiwania | Jakie kopie zapasowe i klucze można nią odblokować? |
| Napastnik ma odblokowane urządzenie | Jakie treści i aktywne sesje są dla niego dostępne? |
Szyfrowanie end-to-end chroni treść wiadomości na drodze przesyłania; nie zastępuje zasad logowania ani zaufania do tożsamości rozmówcy.
Granice deklaracji Livara
Strona bezpieczeństwa Livara opisuje logowanie oparte na nazwie użytkownika i SRP oraz osobne odzyskiwanie materiału tożsamości. Nie należy zmieniać tego projektu w obietnicę odporności na każdy rodzaj kradzieży konta. Phishing, złośliwe oprogramowanie, słabe hasła i ujawnienie frazy odzyskiwania nadal wymagają uwzględnienia w ocenie.
Ten sam dokument mówi, że v7 odzyskuje tożsamość kryptograficzną, a nie historię czatów. Model zagrożeń pomaga odróżnić dostęp do konta, dostęp do kluczy i fizyczny dostęp do urządzenia.
Praktyczne kroki ograniczające ryzyko
- Ustaw osobne hasło lub PIN do konta u operatora i zapytaj o ograniczenia przenoszenia numeru. Zmniejsza to ryzyko, ale nie czyni nieuprawnionego przeniesienia niemożliwym.
- W usługach, które to obsługują, włącz odpowiedni składnik uwierzytelniania niezależny od SMS i bezpiecznie przechowuj kody odzyskiwania.
- Używaj unikalnych haseł; jedno wspólne hasło może rozszerzyć incydent w jednej usłudze na wiele kont.
- Jeśli karta SIM nagle przestanie działać lub pojawi się nieoczekiwane powiadomienie o zmianie, skontaktuj się z operatorem znanym oficjalnym kanałem; nie każda przerwa oznacza atak.
- Po odzyskaniu numeru sprawdź logowania i zmiany na powiązanych kontach oraz cofnij nieznane uprawnienia zgodnie z instrukcjami każdej usługi.
Najlepszym kryterium nie jest nazwa metody logowania, lecz to, do czego dokładnie napastnik uzyskuje dostęp, kontrolując numer, hasło lub urządzenie, i jaka niezależna bariera pozostaje.
