SIM Swap saldırısında saldırgan, SIM kart değişimi veya yetkisiz numara taşıma yoluyla kurbanın telefon numarasını kontrolüne alır. Hesaba giriş veya hesap kurtarma yalnızca SMS almaya bağlıysa bu kontrol hesaba girişin önünü açabilir. Ancak sonuç her mesajlaşma hizmetinde aynı değildir: ikinci bir parola, yetkili cihazlar, kayıt kilidi ve kurtarma politikası fark yaratabilir.
Numaranın ele geçirilmesini, hesabın ele geçirilmesini ve eski mesajların okunmasını üç ayrı sonuç olarak değerlendirin. Hizmetin mimarisini bilmeden hiçbirini diğerinin kaçınılmaz sonucu saymayın.
SMS kodu neyi kanıtlar?
SMS kodu genellikle giriş sürecinin ilgili numaraya erişebildiğini gösterir. Numaranın hâlâ aynı kişinin kontrolünde olduğunu mutlaka kanıtlamaz. FTC’nin SIM Swap rehberi, numarayı kontrol eden saldırganın doğrulama kodlarını neden alabileceğini açıklar.
Bu zayıflık, tüm çok faktörlü kimlik doğrulama yöntemlerinin işe yaramaz olduğu anlamına gelmez. Hizmet destekliyorsa daha güçlü bir faktör seçmek telefon şebekesine bağımlılığı azaltabilir. Kurtarma yolunu da inceleyin: en güçlü giriş yöntemi yalnızca SMS kullanan bir kurtarma süreciyle aşılabiliyorsa bu yol önemini korur.
SRP neyi değiştirir?
SRP, normal alışveriş sırasında parolanın kendisini göndermeyi gerektirmeyen, parola tabanlı bir anahtar anlaşması ve kimlik doğrulama yöntemidir. Sunucu, verifier adlı bir veri tutar. Bu, yalnızca SMS koduna dayalı girişten farklıdır; ancak SRP adı tek başına hesap kayıt veya kurtarma politikasını belirlemez.
Verifier da zararsız sayılmamalıdır. RFC 5054’ün güvenlik bölümü, verifier çalınmasının parolayı tahmin etmeye yönelik sözlük saldırılarına olanak verebileceğini belirtir. Parolanın gücü, giriş denemelerinin kontrolü, parametreler ve uygulamanın doğruluğu önemini korur. Bu RFC, TLS içinde bir SRP örneğini açıklar; Livara uygulamasının denetimi değildir.
Hesap ele geçirilirse bütün sohbetler okunur mu?
| Durum | Belirleyici soru |
|---|---|
| Saldırganda yalnızca numara var | Yalnızca SMS ile giriş veya kurtarma yapılabiliyor mu? |
| Saldırgan hesaba girdi | Yeni cihaz önceki anahtarlara ve geçmişe erişebiliyor mu? |
| Saldırgan yeni mesaj gönderiyor | Kişiler kimlik veya cihaz değişikliğini görüp doğruluyor mu? |
| Saldırganda kurtarma ifadesi var | Bu ifadeyle hangi yedekler ve anahtarlar açılıyor? |
| Saldırganda kilidi açık cihaz var | Hangi içerikler ve etkin oturumlar erişilebilir? |
Uçtan uca şifreleme, mesaj içeriğini iletim yolunda korur; giriş politikasının ve karşı tarafın kimliğine duyulan güvenin yerini tutmaz.
Livara’nın iddiasının sınırı
Livara’nın güvenlik sayfası, kullanıcı adı ve SRP tabanlı girişi ve kimlik materyalinin ayrı kurtarılmasını açıklar. Bu tasarım, her türlü hesap hırsızlığına karşı bağışıklık vaadine dönüştürülmemelidir. Kimlik avı, kötü amaçlı yazılım, zayıf parolalar ve kurtarma ifadesinin açığa çıkması değerlendirmede hâlâ önemlidir.
Aynı belge, v7’nin sohbet geçmişini değil, kriptografik kimliği kurtardığını söyler. Tehdit modeli, hesaba erişimin, anahtarlara erişimin ve cihaza fiziksel erişimin birbirine karıştırılmamasına yardımcı olur.
Riski azaltmak için pratik adımlar
- Operatör hesabınıza özel bir parola veya PIN belirleyin ve numara taşıma kısıtlamalarını sorun. Bu adım riski azaltır, yetkisiz taşımayı imkânsız kılmaz.
- Destekleyen hizmetlerde uygun bir SMS dışı kimlik doğrulama faktörünü etkinleştirin ve kurtarma kodlarını güvenle saklayın.
- Benzersiz parolalar kullanın; ortak bir parola, bir hizmetteki olayı birden fazla hesaba yayabilir.
- SIM hizmeti aniden kesilir veya beklenmedik bir değişiklik bildirimi alırsanız operatörle bilinen resmî iletişim kanallarından görüşün; her kesinti saldırı değildir.
- Numaranızı geri aldıktan sonra bağlı hesapların girişlerini ve değişikliklerini inceleyin, tanımadığınız erişimleri her hizmetin rehberine göre iptal edin.
En iyi ölçüt, bir giriş yönteminin adı değil; saldırganın numarayı, parolayı veya cihazı kontrol ederek tam olarak neye erişebildiği ve geriye hangi bağımsız engelin kaldığıdır.
