از شماره محافظت کنید، اما تمام مسیرهای حساب را هم که شماره را مدرک هویت می‌دانند بررسی کنید.
در حملهٔ تعویض سیم‌کارت، کنترل شماره تلفن شما به یک سیم‌کارت یا eSIM تحت کنترل مهاجم منتقل می‌شود. اگر حساب پیام‌رسان، پیامک را برای ثبت‌نام، ورود یا بازیابی مدرکی کافی بداند، مهاجم ممکن است بتواند از آن مسیر سوءاستفاده کند.
نتیجه در همهٔ پیام‌رسان‌ها یکسان نیست. قفل ثبت‌نام اضافی، کلید عبور، گذرواژه یا راز بازیابی مستقل می‌تواند توانایی‌های مهاجم را تغییر دهد. تصاحب شماره نیز به‌طور خودکار تمام مکالمات قدیمی ذخیره‌شده روی دستگاه‌های شما را رمزگشایی نمی‌کند.
چگونه کنترل شماره به کنترل حساب تبدیل می‌شود
راهنمای کمیسیون تجارت فدرال آمریکا دربارهٔ تعویض سیم‌کارت توضیح می‌دهد که مهاجمان چگونه اپراتور را متقاعد می‌کنند شمارهٔ قربانی را روی سیم‌کارت دیگری فعال کند. پس از آن، پیامک‌ها و تماس‌های تأیید ورودی ممکن است به مهاجم برسند.
ضعف مرتبط، تصمیم حساب به اعتماد کردن به آن شماره است. یک سرویس ممکن است از شماره برای ثبت‌نام اولیه، مرحلهٔ تأیید اضافی یا بازنشانی گذرواژه استفاده کند. این‌ها قابلیت‌های متفاوتی هستند. به‌جای بررسی صرف صفحهٔ ورود معمول، همهٔ آن‌ها، از جمله گزینه‌های جایگزین را بررسی کنید.
قطع ناگهانی سرویس تلفن همراه یا دریافت اعلان غیرمنتظرهٔ فعال‌سازی سیم‌کارت می‌تواند نشانهٔ هشدار باشد؛ هرچند قطعی شبکه و مشکلات معمول حساب نیز ممکن است شبیه آن باشند. از مسیری رسمی و شناخته‌شده موضوع را با اپراتور تأیید کنید.
جعل هویت را از دسترسی به پیام‌های گذشته جدا کنید
یک دستگاه تازه‌ثبت‌شده تحت کنترل مهاجم، بسته به قواعد برنامه، ممکن است بتواند خود را جای شما جا بزند یا ارتباطات آینده را دریافت کند. دسترسی به تاریخچهٔ قدیمی به توضیحی اضافه نیاز دارد: نسخه‌ای خوانا روی سرور، دسترسی به پشتیبان رمزگذاری‌شده و کلید آن، دستگاهی پیوندخورده یا نسخه‌ای محلی.
| دارایی | آیا کنترل شماره به‌تنهایی حتماً آن را فراهم می‌کند؟ |
|---|---|
| کدهای تأیید پیامکی ورودی | پس از انتقال شماره، ممکن است |
| ثبت‌نام یا بازنشانی حساب | فقط اگر سرویس آن مسیر را بدون الزام مستقل بپذیرد |
| نشست‌های موجود دستگاه | نه به‌طور خودکار؛ قواعد مدیریت نشست مهم‌اند |
| تاریخچهٔ قدیمی چت با رمزگذاری سرتاسری | نه به‌طور خودکار؛ مهاجم همچنان به نسخه‌ای قابل‌دسترسی و کلیدهای لازم نیاز دارد |
| پیام‌های آینده خطاب به هویت تازه‌پذیرفته‌شده | خطری وابسته به تأیید هویت و رفتار حساب |
هشدار تغییر کلید و بررسی مستقل هویت مخاطب می‌توانند به شناسایی یک نقطهٔ پایانی جدید و غیرمنتظره کمک کنند. نباید صرفاً چون شماره تلفن آشنا تغییر نکرده، آن‌ها را نادیده گرفت.
SRP چه کمکی می‌کند و چه وعده‌ای نمی‌تواند بدهد
SRP دانستن گذرواژه را بدون ارسال خود گذرواژه در تبادل موردنظر احراز می‌کند. اگر ورود واقعاً به گذرواژه‌ای مستقل نیاز داشته باشد و هیچ مسیر جایگزین پیامکی آن را دور نزند، سرقت شماره به‌تنهایی آن شرط را برآورده نمی‌کند.
خود SRP سیاست شماره تلفن برنامه، فرایند بازنشانی یا رویه‌های پشتیبانی را مشخص نمی‌کند. گذرواژهٔ ضعیف را قوی نمی‌کند و جلوی خواندن متن واردشده در صفحه‌ای مخرب توسط کد فیشینگ را هم نمی‌گیرد. مقدار تأییدگر سرور نیز همچنان حساس است: بخش ۳٫۳ از RFC 5054 حدس‌زدن گذرواژه پس از سرقت تأییدگر را توضیح می‌دهد.
کلیدهای عبور و کلیدهای امنیتی نیز، در سرویس‌هایی که پشتیبانی می‌کنند، از راه‌های ممکن دیگر برای کاهش وابستگی به پیامک هستند. توضیح اتحاد FIDO دربارهٔ کلید عبور اعتبارنامه‌های کلید عمومی و مقاومت در برابر فیشینگ را شرح می‌دهد. روش ورود معمول هرچه باشد، مسیر واقعی بازیابی حساب همچنان باید بررسی شود.
تفکیک مستندشده در لیوارا
صفحهٔ امنیت لیوارا ورود SRP را جدا از پشتیبان رمزگذاری‌شدهٔ هویت توضیح می‌دهد. نسخهٔ ۷ مواد هویتی را پیش از بارگذاری با کلید بازیابی مجزا رمزگذاری و مهروموم می‌کند و هویت را بازیابی می‌کند، نه تاریخچهٔ چت را. مدل تهدید می‌گوید گذرواژهٔ سرقت‌شده به‌تنهایی نمی‌تواند آن کلیدهای رمزگذاری را بازیابی کند.
این مرزها به تفکیک احراز هویت از رمزگشایی کمک می‌کنند. اما توجیهی برای این وعده نیستند که تمام مسیرهای تصاحب حساب ممیزی شده‌اند یا حادثه‌ای در اپراتور نمی‌تواند هیچ اثری داشته باشد. گزینه‌های فعلی ورود و بازیابی را در کلاینت بررسی کنید؛ از نام یک پروتکل، رفتار مستندنشده استنباط نکنید.
برقراری کلید پساکوانتومی مسئلهٔ دیگری را حل می‌کند: حملات آینده به ترافیک رمزگذاری‌شدهٔ ضبط‌شده. این کار مانع جابه‌جایی شماره تلفن توسط اپراتور یا اعتماد حساب به پیامک رهگیری‌شده نمی‌شود.
پیش از وقوع حادثه خطر را کاهش دهید
- با پین یا گذرواژه‌ای مجزا و کنترل‌های موجود برای جلوگیری از انتقال شماره، از حساب اپراتور محافظت کنید.
- در صورت پشتیبانی، احراز هویت قویِ غیرپیامکی را ترجیح دهید و گزینه‌های بازیابی را ایمن نگه دارید.
- بررسی کنید آیا بازیابی حساب بی‌سروصدا به شماره تلفن برمی‌گردد یا نه.
- گذرواژه‌ها را یکتا نگه دارید و از حساب ایمیل مورد استفاده برای بازیابی محافظت کنید.
- یاد بگیرید پیام‌رسان دستگاه‌های پیوندخورده، تغییرات ثبت‌نام و تغییر کلید طرف مقابل را چگونه نمایش می‌دهد.
اگر گمان می‌کنید شماره‌تان تصاحب شده است
- فوراً از کانالی تأییدشده با اپراتور تماس بگیرید و درخواست بررسی و بازیابی شماره کنید.
- از دستگاهی مورداعتماد، حساب‌های آسیب‌دیده را امن کنید و نشست‌های ناشناس را بررسی کنید. پس‌گرفتن شماره لزوماً نشست موجود مهاجم را خاتمه نمی‌دهد.
- تنظیمات بازیابی را برای یافتن تغییرات بررسی کنید و اعتبارنامه‌های به‌خطرافتاده را از فرایندهای رسمی بازنشانی کنید.
- اگر امکان جعل هویت وجود دارد، از مسیری مطمئن و دیگر به مخاطبان مهم هشدار دهید. هویت‌های رمزنگاری‌شده‌ای را که تغییر کرده‌اند دوباره تأیید کنید.
- اعلان‌ها و زمان‌های مرتبط را برای پشتیبانی یا گزارش نگه دارید. هرگز رمز یک‌بارمصرف، گذرواژه یا عبارت بازیابی را برای کسی که در پیام پیشنهاد «رفع» مشکل می‌دهد نفرستید.
محافظت مفید، طراحی حسابی است که اجازه ندهد سرقت یک عامل تمام کنترل‌های دیگر را دور بزند، همراه با برنامه‌ای روشن برای بازیابی و واکنش به نشست‌ها.
