הגנו על המספר, אך בדקו גם כל מסלול בחשבון שמתייחס למספר כהוכחת זהות.
החלפת SIM זדונית מעבירה את השליטה במספר הטלפון שלכם ל־SIM או ל־eSIM שבשליטת תוקף. אם חשבון מסרים מקבל SMS כהוכחה מספקת לרישום, לכניסה או לשחזור, ייתכן שהתוקף יוכל לנצל את המסלול הזה.
התוצאה אינה זהה בכל יישום מסרים. נעילת רישום נוספת, מפתח גישה, סיסמה או סוד שחזור עצמאי יכולים לשנות את מה שהתוקף מסוגל לעשות. השתלטות על מספר גם אינה מפענחת אוטומטית כל שיחה ישנה המאוחסנת במכשירים שלכם.
כיצד שליטה במספר הופכת לשליטה בחשבון
הנחיות ועדת הסחר הפדרלית בארה״ב בנושא החלפת SIM מתארות תוקפים שמשכנעים חברת סלולר להפעיל את מספרו של קורבן ב־SIM אחר. הודעות ושיחות אימות נכנסות עשויות להגיע אז לתוקף.
החולשה הרלוונטית היא החלטת החשבון לתת אמון במספר הזה. שירות עשוי להשתמש בו לרישום ראשוני, לשלב אימות נוסף או לאיפוס סיסמה. אלו יכולות שונות. בדקו את כולן, כולל אפשרויות חלופיות, ולא רק את מסך הכניסה הרגיל.
אובדן פתאומי של השירות הסלולרי או הודעה בלתי צפויה על הפעלת SIM יכולים להיות סימן אזהרה, אך תקלות רשת ובעיות חשבון רגילות עלולות להיראות דומות. ודאו את המצב מול חברת הסלולר בערוץ רשמי מוכר.
הפרידו בין התחזות לבין גישה להיסטוריית הודעות
מכשיר חדש שנרשם ונמצא בשליטת תוקף עשוי לאפשר לו להתחזות אליכם או לקבל תקשורת עתידית, בהתאם לכללי היישום. היסטוריה ישנה דורשת הסבר נוסף: עותק קריא בשרת, גישה לגיבוי מוצפן ולמפתח שלו, מכשיר מקושר או עותק מקומי.
| נכס | האם שליטה במספר לבדה בהכרח מספקת אותו? |
|---|---|
| קודי אימות נכנסים ב־SMS | ייתכן, לאחר העברת המספר |
| רישום חשבון או איפוסו | רק אם השירות מקבל את המסלול ללא דרישה עצמאית |
| הפעלות קיימות במכשירים | לא אוטומטית; כללי ניהול ההפעלות חשובים |
| היסטוריית שיחות ישנה המוצפנת מקצה לקצה | לא אוטומטית; התוקף עדיין צריך עותק נגיש ואת המפתחות הנדרשים |
| הודעות עתידיות המופנות לזהות חדשה שהתקבלה | סיכון שתלוי באימות הזהות ובהתנהגות החשבון |
אזהרות על שינוי מפתח ובדיקה עצמאית של זהות איש קשר יכולות לעזור לזהות נקודת קצה חדשה ולא צפויה. אין להתעלם מהן רק משום שמספר הטלפון המוכר נשאר זהה.
מה SRP תורם, ומה הוא אינו יכול להבטיח
SRP מאמת ידיעת סיסמה בלי לשלוח את הסיסמה בחילופי המידע המתוכננים. אם הכניסה באמת דורשת סיסמה עצמאית ואין חלופה דרך SMS שעוקפת אותה, גנבת המספר לבדה אינה עומדת בדרישה הזו.
SRP עצמו אינו מגדיר את מדיניות מספרי הטלפון של היישום, את תהליך האיפוס או את נהלי התמיכה. הוא אינו הופך סיסמה חלשה לחזקה ואינו מונע מקוד דיוג לקרוא טקסט שהוזן בדף זדוני. גם המאמת שבשרת נשאר רגיש: סעיף 3.3 של RFC 5054 מתאר ניחוש סיסמאות לאחר גנבת המאמת.
מפתחות גישה ומפתחות אבטחה הם דרכים אפשריות נוספות לצמצם תלות ב־SMS, כאשר השירות תומך בהם. ההסבר של FIDO Alliance על מפתחות גישה מתאר פרטי אימות המבוססים על מפתח ציבורי ועמידות לדיוג. עדיין צריך לבדוק את מסלול שחזור החשבון בפועל, בלי קשר לשיטת הכניסה הרגילה.
ההפרדה המתועדת של Livara
דף האבטחה של Livara מתאר כניסה באמצעות SRP בנפרד מגיבוי הזהות המוצפן שלה. גרסה 7 אוטמת את חומר הזהות לפני ההעלאה באמצעות מפתח שחזור נפרד, ומשחזרת זהות ולא היסטוריית שיחות. מודל האיומים אומר שסיסמה גנובה לבדה אינה יכולה לשחזר את מפתחות ההצפנה האלה.
גבולות אלו עוזרים להבחין בין אימות לפענוח. הם אינם מצדיקים הבטחה שכל מסלול להשתלטות על חשבון נבדק בביקורת, או שלאירוע בחברת הסלולר לא יכולה להיות השפעה. בדקו את אפשרויות הכניסה והשחזור העדכניות בלקוח; אל תסיקו התנהגות שלא תועדה מתוך שמו של פרוטוקול.
יצירת מפתחות פוסט־קוונטית מטפלת בבעיה אחרת: התקפות עתידיות על תעבורה מוצפנת שנלכדה. היא אינה מונעת מחברת סלולר להעביר מספר טלפון, ואינה מונעת מחשבון לתת אמון ב־SMS שיורט.
צמצמו את הסיכון לפני אירוע
- הגנו על החשבון בחברת הסלולר באמצעות קוד PIN או סיסמה נפרדים ובקרות זמינות נגד ניוד מספר לא מורשה.
- העדיפו אימות חזק שאינו מבוסס SMS כאשר הוא נתמך, ושמרו אפשרויות שחזור בבטחה.
- בדקו אם שחזור החשבון חוזר בשקט למספר הטלפון כאפשרות חלופית.
- השתמשו בסיסמאות ייחודיות והגנו על חשבון הדוא״ל המשמש לשחזור.
- למדו כיצד יישום המסרים מציג מכשירים מקושרים, שינויים ברישום ושינויים במפתחות של אנשי קשר.
אם אתם חושדים שהמספר שלכם נלקח
- פנו מיד לחברת הסלולר בערוץ מאומת ובקשו חקירה ושחזור של המספר.
- ממכשיר מהימן, אבטחו את החשבונות שנפגעו ובדקו הפעלות לא מוכרות. החזרת המספר אינה מסיימת בהכרח הפעלה קיימת של התוקף.
- בדקו אם נעשו שינויים בהגדרות השחזור ואפסו פרטי אימות שנפרצו דרך תהליכים רשמיים.
- הזהירו אנשי קשר חשובים בערוץ מהימן אחר אם יש אפשרות להתחזות. אמתו מחדש זהויות קריפטוגרפיות במקומות שבהם השתנו.
- שמרו הודעות וחותמות זמן רלוונטיות לצורך תמיכה או דיווח. לעולם אל תשלחו קוד חד־פעמי, סיסמה או ביטוי שחזור למי שמציע בהודעה ״לתקן״ את הבעיה.
ההגנה המועילה היא תכנון חשבון שאינו מאפשר לגורם גנוב יחיד לעקוף כל בקרה אחרת, יחד עם תוכנית ברורה לשחזור ולתגובה בנוגע להפעלות.
