Vid en SIM-swapattack tar angriparen kontroll över offrets telefonnummer genom ett SIM-byte eller en obehörig nummerflytt. Om inloggning eller kontoåterställning enbart bygger på att ta emot ett sms kan den kontrollen öppna vägen in på kontot. Men utfallet är inte detsamma i alla meddelandeappar: ett extra lösenord, godkända enheter, registreringslås och återställningsregler kan göra skillnad.
Bedöm övertagande av numret, övertagande av kontot och läsning av gamla meddelanden som tre separata utfall. Utan kunskap om tjänstens arkitektur ska inget av dem ses som en säker följd av något annat.
Vad bevisar en sms-kod?
En sms-kod visar vanligtvis att inloggningsprocessen har tillgång till det aktuella numret. Det bevisar inte nödvändigtvis att samma person som tidigare kontrollerar numret. FTC:s vägledning om SIM-swap förklarar varför en angripare som kontrollerar numret kan få verifieringskoder.
Denna svaghet betyder inte att all flerfaktorsautentisering är värdelös. Att välja en starkare faktor, om tjänsten stöder det, kan minska beroendet av telefonnätet. Kontrollera även återställningsvägen: om den starkaste inloggningsmetoden kan kringgås genom återställning enbart via sms är den vägen fortfarande viktig.
Vilken skillnad gör SRP?
SRP är en metod för lösenordsbaserad nyckelöverenskommelse och autentisering där själva lösenordet inte behöver skickas under det vanliga utbytet. Servern lagrar uppgifter som kallas en verifierare (verifier). Detta skiljer sig från inloggning enbart med en sms-kod, men namnet SRP avgör inte i sig reglerna för registrering eller kontoåterställning.
Verifieraren ska inte heller betraktas som ofarlig. Säkerhetsavsnittet i RFC 5054 säger att stöld av verifieraren kan möjliggöra en ordlisteattack för att gissa lösenordet. Lösenordets styrka, kontroll av inloggningsförsök, parametrar och korrekt implementation är fortfarande viktiga. Denna RFC beskriver ett exempel på SRP i TLS, inte en granskning av Livaras implementation.
Kan alla chattar läsas om kontot tas över?
| Situation | Avgörande fråga |
|---|---|
| Angriparen har bara numret | Tillåts inloggning eller återställning med enbart sms? |
| Angriparen har loggat in på kontot | Får en ny enhet tillgång till tidigare nycklar och historik? |
| Angriparen skickar ett nytt meddelande | Ser och kontrollerar kontakterna ändrad identitet eller enhet? |
| Angriparen har återställningsfrasen | Vilka säkerhetskopior och nycklar kan öppnas med den? |
| Angriparen har den upplåsta enheten | Vilket innehåll och vilka aktiva sessioner är tillgängliga? |
Ändpunktskryptering skyddar meddelandeinnehållet under överföringen; den ersätter inte inloggningsregler eller tillit till kontaktens identitet.
Gränserna för Livaras påstående
Livaras säkerhetssida beskriver inloggning med användarnamn och SRP samt separat återställning av identitetsmaterial. Denna konstruktion ska inte göras om till ett löfte om immunitet mot alla typer av kontostöld. Nätfiske, skadlig programvara, svaga lösenord och röjd återställningsfras är fortfarande relevanta i bedömningen.
Samma dokument säger att v7 återställer den kryptografiska identiteten, inte chatthistoriken. Hotmodellen hjälper till att skilja åt kontoåtkomst, nyckelåtkomst och fysisk åtkomst till enheten.
Praktiska åtgärder för att minska risken
- Ange ett särskilt lösenord eller en PIN-kod för operatörskontot och fråga om begränsningar för nummerflytt. Det minskar risken men gör inte en obehörig flytt omöjlig.
- Aktivera en lämplig autentiseringsfaktor utan sms i tjänster som stöder det och förvara återställningskoder säkert.
- Använd unika lösenord; ett gemensamt lösenord kan sprida en incident i en tjänst till flera konton.
- Om SIM-tjänsten plötsligt slutar fungera eller du får en oväntad ändringsavisering, kontakta operatören via en känd officiell kanal; varje avbrott är inte en attack.
- När du har fått tillbaka numret, kontrollera inloggningar och ändringar i kopplade konton och återkalla okänd åtkomst enligt respektive tjänsts anvisningar.
Det bästa måttet är inte namnet på en inloggningsmetod, utan exakt vad en angripare får tillgång till genom kontroll över numret, lösenordet eller enheten och vilket oberoende hinder som återstår.
