Під час атаки SIM Swap зловмисник отримує контроль над телефонним номером жертви через заміну SIM-картки або несанкціоноване перенесення номера. Якщо вхід чи відновлення облікового запису залежать лише від отримання SMS, такий контроль може відкрити шлях до облікового запису. Проте результат не однаковий у всіх месенджерах: додатковий пароль, дозволені пристрої, блокування реєстрації та політика відновлення можуть змінити ситуацію.
Розглядайте захоплення номера, захоплення облікового запису та читання старих повідомлень як три окремі результати. Не вважайте жоден із них неминучим наслідком іншого, не знаючи архітектури сервісу.
Що підтверджує SMS-код?
SMS-код зазвичай показує, що процес входу має доступ до вказаного номера. Це не обов’язково доводить, що номер і надалі контролює та сама людина. Посібник FTC щодо SIM Swap пояснює, чому зловмисник, який контролює номер, може отримувати коди підтвердження.
Ця слабкість не означає марність усієї багатофакторної автентифікації. Вибір сильнішого фактора, якщо сервіс його підтримує, може зменшити залежність від телефонної мережі. Перевірте також шлях відновлення: якщо найсильніший спосіб входу можна обійти відновленням лише через SMS, цей шлях залишається важливим.
Що змінює SRP?
SRP — метод узгодження ключа й автентифікації на основі пароля, який не вимагає передавання самого пароля під час звичайного обміну. Сервер зберігає дані під назвою verifier. Це відрізняється від входу лише за SMS-кодом, але сама назва SRP не визначає політику реєстрації чи відновлення облікового запису.
Не слід вважати нешкідливим і verifier. Розділ безпеки RFC 5054 зазначає, що викрадення verifier може дозволити словникову атаку для вгадування пароля. Надійність пароля, контроль спроб входу, параметри та правильність реалізації й далі важливі. Цей RFC описує приклад SRP у TLS, а не аудит реалізації Livara.
Якщо обліковий запис захоплено, чи можна прочитати всі чати?
| Ситуація | Визначальне запитання |
|---|---|
| Зловмисник має лише номер | Чи дозволено вхід або відновлення лише через SMS? |
| Зловмисник увійшов до облікового запису | Чи отримує новий пристрій доступ до попередніх ключів та історії? |
| Зловмисник надсилає нові повідомлення | Чи бачать контакти зміну ідентичності або пристрою та чи перевіряють її? |
| Зловмисник має фразу відновлення | Які резервні копії та ключі вона відкриває? |
| Зловмисник має розблокований пристрій | Який вміст і які активні сеанси доступні йому? |
Наскрізне шифрування захищає вміст повідомлень на шляху передавання; воно не замінює політику входу та довіру до ідентичності співрозмовника.
Межі тверджень Livara
Сторінка безпеки Livara описує вхід на основі імені користувача та SRP, а також окреме відновлення матеріалів криптографічної ідентичності. Цю архітектуру не слід перетворювати на обіцянку невразливості до будь-якого викрадення облікового запису. Фішинг, шкідливе ПЗ, слабкі паролі та розкриття фрази відновлення залишаються важливими для оцінки.
Той самий документ говорить, що v7 відновлює криптографічну ідентичність, а не історію чатів. Модель загроз допомагає не плутати доступ до облікового запису, доступ до ключів і фізичний доступ до пристрою.
Практичні кроки для зменшення ризику
- Установіть окремий пароль або PIN для облікового запису в оператора й запитайте про обмеження перенесення номера. Це зменшує ризик, а не робить несанкціоноване перенесення неможливим.
- У сервісах, які це підтримують, увімкніть відповідний фактор автентифікації без SMS і надійно зберігайте коди відновлення.
- Використовуйте унікальні паролі: спільний пароль може поширити інцидент в одному сервісі на кілька облікових записів.
- Якщо зв’язок SIM-картки раптово зник або ви отримали несподіване сповіщення про зміну, зверніться до оператора через відомий офіційний канал; не кожен збій означає атаку.
- Після повернення номера перевірте входи та зміни в пов’язаних облікових записах і скасуйте невідомі доступи відповідно до інструкцій кожного сервісу.
Найкращий критерій — не назва способу входу, а те, до чого саме дістається зловмисник, контролюючи номер, пароль або пристрій, і який незалежний бар’єр залишається.
