ปกป้องหมายเลข และตรวจสอบทุกเส้นทางของบัญชีที่ถือว่าหมายเลขเป็นหลักฐานยืนยันตัวตนด้วย
การสวมสิทธิ์ซิม (SIM swap) คือการโอนอำนาจควบคุมหมายเลขโทรศัพท์ของคุณไปยัง SIM หรือ eSIM ที่ผู้โจมตีควบคุม หากบัญชีแชตยอมรับ SMS ว่าเป็นหลักฐานเพียงพอสำหรับการลงทะเบียน เข้าสู่ระบบ หรือกู้คืน ผู้โจมตีอาจใช้ช่องทางนั้นโจมตีได้
ผลลัพธ์ไม่ได้เหมือนกันในทุกแอปแชต การล็อกการลงทะเบียนเพิ่มเติม พาสคีย์ รหัสผ่าน หรือความลับสำหรับกู้คืนที่เป็นอิสระ อาจเปลี่ยนสิ่งที่ผู้โจมตีทำได้ การยึดหมายเลขไม่ได้ถอดรหัสบทสนทนาเก่าทั้งหมดที่เก็บไว้บนอุปกรณ์ของคุณโดยอัตโนมัติเช่นกัน
การควบคุมหมายเลขกลายเป็นการควบคุมบัญชีได้อย่างไร
คำแนะนำเรื่อง SIM swap ของคณะกรรมาธิการการค้าแห่งสหรัฐฯ อธิบายถึงผู้โจมตีที่โน้มน้าวผู้ให้บริการเครือข่ายให้เปิดใช้หมายเลขของเหยื่อบนซิมอีกใบ จากนั้นข้อความและสายเรียกเข้าสำหรับยืนยันตัวตนอาจไปถึงผู้โจมตี
จุดอ่อนที่เกี่ยวข้องคือการที่บัญชีตัดสินใจเชื่อถือหมายเลขนั้น บริการอาจใช้หมายเลขสำหรับการลงทะเบียนครั้งแรก ขั้นตอนยืนยันเพิ่มเติม หรือการรีเซ็ตรหัสผ่าน สิ่งเหล่านี้เป็นความสามารถคนละอย่าง ควรตรวจสอบทั้งหมด รวมถึงตัวเลือกสำรอง ไม่ใช่ดูเฉพาะหน้าลงชื่อเข้าระบบตามปกติ
การขาดบริการมือถืออย่างกะทันหันหรือการแจ้งเตือนเปิดใช้ซิมที่ไม่คาดคิดอาจเป็นสัญญาณเตือน แต่เครือข่ายล่มและปัญหาบัญชีทั่วไปก็อาจมีลักษณะคล้ายกันได้ ให้ยืนยันกับผู้ให้บริการผ่านช่องทางทางการที่รู้จัก
แยกการแอบอ้างตัวตนออกจากการเข้าถึงข้อความเก่า
อุปกรณ์ของผู้โจมตีที่เพิ่งลงทะเบียนอาจแอบอ้างเป็นคุณหรือรับการติดต่อในอนาคตได้ ขึ้นอยู่กับกฎของแอป ส่วนประวัติเก่าต้องมีเงื่อนไขอธิบายเพิ่มเติม เช่น สำเนาบนเซิร์ฟเวอร์ที่อ่านได้ การเข้าถึงข้อมูลสำรองที่เข้ารหัสพร้อมกุญแจ อุปกรณ์ที่เชื่อมโยงไว้ หรือสำเนาในเครื่อง
| ทรัพย์สิน | การควบคุมหมายเลขเพียงอย่างเดียวทำให้ได้สิ่งนี้เสมอหรือไม่? |
|---|---|
| รหัสยืนยัน SMS ที่ส่งเข้ามา | อาจได้ เมื่อมีการโอนหมายเลขแล้ว |
| การลงทะเบียนหรือรีเซ็ตบัญชี | เฉพาะเมื่อบริการยอมรับช่องทางนั้นโดยไม่มีข้อกำหนดอิสระเพิ่มเติม |
| เซสชันบนอุปกรณ์ที่มีอยู่ | ไม่ใช่โดยอัตโนมัติ กฎจัดการเซสชันมีความสำคัญ |
| ประวัติแชตเก่าที่เข้ารหัสแบบต้นทางถึงปลายทาง | ไม่ใช่โดยอัตโนมัติ ผู้โจมตียังต้องมีสำเนาที่เข้าถึงได้และกุญแจที่จำเป็น |
| ข้อความในอนาคตที่ส่งถึงตัวตนซึ่งเพิ่งได้รับการยอมรับ | เป็นความเสี่ยงที่ขึ้นอยู่กับการตรวจสอบตัวตนและพฤติกรรมของบัญชี |
คำเตือนเมื่อกุญแจเปลี่ยนและการตรวจสอบตัวตนผู้ติดต่อผ่านวิธีอิสระช่วยตรวจพบปลายทางใหม่ที่ไม่คาดคิดได้ ไม่ควรมองข้ามสิ่งเหล่านี้เพียงเพราะหมายเลขโทรศัพท์ที่คุ้นเคยยังเหมือนเดิม
SRP ช่วยอะไร และรับประกันอะไรไม่ได้
SRP ยืนยันว่ารู้รหัสผ่านโดยไม่ส่งรหัสผ่านนั้นในการแลกเปลี่ยนตามที่ออกแบบไว้ หากการเข้าสู่ระบบต้องใช้รหัสผ่านอิสระจริง และไม่มีช่องทาง SMS สำรองที่ข้ามข้อกำหนดนี้ได้ การขโมยหมายเลขเพียงอย่างเดียวก็ไม่เพียงพอที่จะผ่านข้อกำหนดนั้น
SRP เองไม่ได้กำหนดนโยบายหมายเลขโทรศัพท์ กระบวนการรีเซ็ต หรือขั้นตอนฝ่ายสนับสนุนของแอป ไม่ได้ทำให้รหัสผ่านอ่อนแอแข็งแกร่งขึ้น และไม่ได้ป้องกันโค้ดฟิชชิงอ่านสิ่งที่พิมพ์ลงในหน้าเว็บอันตราย ค่าตรวจสอบของเซิร์ฟเวอร์ก็ยังเป็นข้อมูลอ่อนไหว โดย RFC 5054 ส่วน 3.3 อธิบายการเดารหัสผ่านหลังค่าตรวจสอบถูกขโมย
พาสคีย์และกุญแจความปลอดภัยเป็นวิธีอื่นที่อาจช่วยลดการพึ่งพา SMS ในบริการที่รองรับ คำอธิบายพาสคีย์ของ FIDO Alliance กล่าวถึงข้อมูลรับรองแบบกุญแจสาธารณะและการต้านทานฟิชชิง ไม่ว่าจะใช้วิธีเข้าสู่ระบบปกติแบบใด ก็ยังต้องตรวจสอบช่องทางกู้คืนบัญชีที่ใช้งานจริง
การแยกส่วนที่ Livara ระบุในเอกสาร
หน้าความปลอดภัย ของ Livara อธิบายการเข้าสู่ระบบด้วย SRP แยกจากข้อมูลสำรองตัวตนที่เข้ารหัส เวอร์ชัน 7 ผนึกข้อมูลตัวตนด้วยการเข้ารหัสภายใต้กุญแจกู้คืนที่แยกต่างหากก่อนอัปโหลด และกู้คืนตัวตน ไม่ใช่ประวัติแชต แบบจำลองภัยคุกคาม ระบุว่ารหัสผ่านที่ถูกขโมยเพียงอย่างเดียวไม่สามารถกู้คืนกุญแจเข้ารหัสเหล่านั้นได้
ขอบเขตเหล่านี้ช่วยแยกการยืนยันตัวตนออกจากการถอดรหัส แต่ไม่ได้เป็นเหตุผลให้สัญญาว่าทุกช่องทางยึดบัญชีผ่านการตรวจสอบแล้ว หรือเหตุการณ์ที่ผู้ให้บริการเครือข่ายจะไม่มีผลใดเลย ตรวจสอบตัวเลือกการเข้าสู่ระบบและกู้คืนที่มีอยู่จริงในไคลเอนต์ อย่าอนุมานพฤติกรรมที่ไม่ได้บันทึกไว้จากชื่อโปรโตคอล
การสร้างกุญแจแบบต้านทานควอนตัมจัดการกับอีกปัญหาหนึ่ง คือการโจมตีในอนาคตต่อข้อมูลสื่อสารที่เข้ารหัสซึ่งถูกดักเก็บไว้ ไม่ได้หยุดผู้ให้บริการจากการย้ายหมายเลขโทรศัพท์ หรือป้องกันบัญชีจากการเชื่อถือ SMS ที่ถูกดักรับ
ลดความเสี่ยงก่อนเกิดเหตุ
- ปกป้องบัญชีผู้ให้บริการมือถือด้วย PIN หรือรหัสผ่านเฉพาะ และมาตรการควบคุมการย้ายหมายเลขที่มีให้ใช้
- เลือกการยืนยันตัวตนที่แข็งแกร่งซึ่งไม่พึ่ง SMS เมื่อรองรับ และเก็บตัวเลือกกู้คืนไว้อย่างปลอดภัย
- ตรวจสอบว่าการกู้คืนบัญชีแอบย้อนกลับไปใช้หมายเลขโทรศัพท์เป็นทางสำรองหรือไม่
- ใช้รหัสผ่านไม่ซ้ำกัน และปกป้องบัญชีอีเมลที่ใช้กู้คืน
- เรียนรู้ว่าแอปแชตแสดงอุปกรณ์ที่เชื่อมโยง การเปลี่ยนการลงทะเบียน และการเปลี่ยนกุญแจของคู่สนทนาอย่างไร
หากสงสัยว่าหมายเลขถูกยึด
- ติดต่อผู้ให้บริการทันทีผ่านช่องทางที่ตรวจสอบแล้ว และขอให้สอบสวนพร้อมกู้คืนหมายเลข
- ใช้อุปกรณ์ที่เชื่อถือได้รักษาความปลอดภัยบัญชีที่ได้รับผลกระทบและตรวจสอบเซสชันที่ไม่รู้จัก การได้หมายเลขคืนไม่ได้ยุติเซสชันเดิมของผู้โจมตีเสมอไป
- ตรวจสอบการเปลี่ยนแปลงในการตั้งค่ากู้คืน และรีเซ็ตข้อมูลรับรองที่ถูกละเมิดผ่านขั้นตอนทางการ
- เตือนผู้ติดต่อสำคัญผ่านช่องทางที่เชื่อถือได้อีกช่องทางหนึ่งหากอาจมีการแอบอ้าง ตรวจสอบตัวตนทางวิทยาการเข้ารหัสอีกครั้งเมื่อมีการเปลี่ยนแปลง
- เก็บประกาศและเวลาที่เกี่ยวข้องไว้สำหรับฝ่ายสนับสนุนหรือการรายงาน อย่าส่ง OTP รหัสผ่าน หรือวลีกู้คืนให้ผู้ที่ส่งข้อความเสนอว่าจะ “แก้ไข” ปัญหาให้เด็ดขาด
การป้องกันที่มีประโยชน์คือการออกแบบบัญชีที่ไม่ยอมให้ปัจจัยที่ถูกขโมยเพียงอย่างเดียวข้ามการควบคุมอื่นทั้งหมดได้ ควบคู่กับแผนกู้คืนและตอบสนองต่อเซสชันที่ชัดเจน
