Numarayı koruyun; ancak numarayı kimlik kanıtı sayan her hesap erişim yolunu da inceleyin.
SIM değiştirme saldırısı, telefon numaranızın kontrolünü saldırganın denetimindeki bir SIM veya eSIM'e aktarır. Bir mesajlaşma hesabı kayıt, giriş veya kurtarma için SMS'i yeterli kanıt sayıyorsa saldırgan bu yolu kullanabilir.
Sonuç her mesajlaşma uygulamasında aynı değildir. Ek bir kayıt kilidi, geçiş anahtarı, parola veya bağımsız kurtarma sırrı saldırganın yapabileceklerini değiştirebilir. Numaranın ele geçirilmesi, cihazlarınızda saklanan tüm eski konuşmaların şifresini de otomatik olarak çözmez.
Numaranın kontrolü nasıl hesabın kontrolüne dönüşür?
ABD Federal Ticaret Komisyonunun SIM değiştirme saldırısı rehberi, saldırganların operatörü kurbanın numarasını başka bir SIM'de etkinleştirmeye ikna etmesini anlatır. Gelen doğrulama mesajları ve aramalar daha sonra saldırgana ulaşabilir.
İlgili zayıflık, hesabın bu numaraya güvenme kararıdır. Bir hizmet numarayı ilk kayıt, ek doğrulama adımı veya parola sıfırlama için kullanabilir. Bunlar farklı yetkilerdir. Yalnızca normal giriş ekranına bakmak yerine yedek seçenekler dahil hepsini inceleyin.
Hücresel hizmetin aniden kesilmesi veya beklenmedik bir SIM etkinleştirme bildirimi uyarı işareti olabilir; ancak kesintiler ve olağan hesap sorunları da benzer görünebilir. Bilinen resmi bir kanal üzerinden operatörle doğrulayın.
Kimliğe bürünmeyi geçmiş mesajlara erişimden ayırın
Saldırganın denetiminde yeni kaydedilmiş bir cihaz, uygulamanın kurallarına bağlı olarak sizin kimliğinize bürünebilir veya gelecekteki iletişimleri alabilir. Eski geçmiş için ek bir açıklama gerekir: sunucuda okunabilir bir kopya, şifreli yedeğe ve anahtarına erişim, bağlı bir cihaz veya yerel bir kopya.
| Varlık | Yalnızca numaranın kontrolü bunu mutlaka sağlar mı? |
|---|---|
| Gelen SMS doğrulama kodları | Numara aktarıldıktan sonra potansiyel olarak |
| Hesap kaydı veya sıfırlama | Yalnızca hizmet bu yolu bağımsız bir gereklilik olmadan kabul ediyorsa |
| Mevcut cihaz oturumları | Otomatik olarak değil; oturum yönetimi kuralları önemlidir |
| Eski E2EE sohbet geçmişi | Otomatik olarak değil; saldırganın hâlâ erişilebilir bir kopyaya ve gerekli anahtarlara ihtiyacı vardır |
| Yeni kabul edilen bir kimliğe gönderilen gelecek mesajlar | Kimlik doğrulamasına ve hesap davranışına bağlı bir risk |
Anahtar değişikliği uyarıları ve bir kişinin kimliğini bağımsız olarak kontrol etmek, beklenmedik yeni bir uç noktanın tespitine yardımcı olabilir. Tanıdık telefon numarası aynı kaldı diye bunlar göz ardı edilmemelidir.
SRP ne sağlar, neyi vaat edemez?
SRP, amaçlanan protokol alışverişinde parolayı göndermeden parola bilgisini doğrular. Giriş gerçekten bağımsız bir parola gerektiriyorsa ve hiçbir yedek SMS yolu bunu atlamıyorsa yalnızca numarayı çalmak bu gerekliliği karşılamaz.
SRP'nin kendisi uygulamanın telefon numarası politikasını, sıfırlama sürecini veya destek prosedürlerini belirlemez. Zayıf parolayı güçlü yapmaz veya kimlik avı kodunun kötü amaçlı sayfaya girilen metni okumasını önlemez. Sunucunun doğrulayıcı değeri de hassas kalır: RFC 5054 bölüm 3.3, doğrulayıcı çalındıktan sonra parola tahminini açıklar.
Hizmet destekliyorsa geçiş anahtarları ve güvenlik anahtarları SMS bağımlılığını azaltmanın başka olası yollarıdır. FIDO Alliance'ın geçiş anahtarı açıklaması, açık anahtarlı kimlik bilgilerini ve kimlik avına direnci anlatır. Hangi normal giriş yöntemi kullanılırsa kullanılsın gerçek hesap kurtarma yolunun yine de incelenmesi gerekir.
Livara'nın belgelenmiş ayrımı
Livara'nın güvenlik sayfası, SRP ile girişi şifreli kimlik yedeğinden ayrı olarak açıklar. Sürüm 7, kimlik malzemesini yüklemeden önce ayrı bir kurtarma anahtarıyla şifreler ve sohbet geçmişini değil kimliği geri yükler. Tehdit modeli, çalınmış bir parolanın tek başına bu şifreleme anahtarlarını geri yükleyemeyeceğini belirtir.
Bu sınırlar kimlik doğrulamayı şifre çözmeden ayırmaya yardımcı olur. Her hesap ele geçirme yolunun denetlendiği veya operatördeki bir olayın hiçbir etkisi olamayacağı vaadini haklı çıkarmaz. İstemcideki güncel giriş ve kurtarma seçeneklerini kontrol edin; bir protokol adından belgelenmemiş davranışlar çıkarmayın.
Kuantum sonrası anahtar oluşturma farklı bir sorunu ele alır: ele geçirilmiş şifreli trafiğe yönelik gelecekteki saldırılar. Operatörün telefon numarasını taşımasını veya hesabın ele geçirilmiş bir SMS'e güvenmesini engellemez.
Olay yaşanmadan önce riski azaltın
- Mobil operatör hesabını ayrı bir PIN veya parolayla ve mevcut numara taşıma kontrolleriyle koruyun.
- Desteklendiğinde SMS kullanmayan güçlü kimlik doğrulamayı tercih edin ve kurtarma seçeneklerini güvenle saklayın.
- Hesap kurtarmanın sessizce telefon numarasına yedek yol olarak dönüp dönmediğini inceleyin.
- Parolalarınızı benzersiz tutun ve kurtarma için kullanılan e-posta hesabını koruyun.
- Mesajlaşma uygulamasının bağlı cihazları, kayıt değişikliklerini ve kişilerin anahtar değişikliklerini nasıl gösterdiğini öğrenin.
Numaranızın ele geçirildiğinden şüpheleniyorsanız
- Doğrulanmış bir kanaldan hemen operatörle iletişime geçin; soruşturma ve numaranın kurtarılmasını isteyin.
- Güvenilir bir cihazdan etkilenen hesapları güvenceye alın ve bilinmeyen oturumları inceleyin. Numarayı geri almak saldırganın mevcut oturumunu mutlaka sonlandırmaz.
- Kurtarma ayarlarında değişiklik olup olmadığını kontrol edin ve ele geçirilmiş kimlik bilgilerini resmi süreçlerle sıfırlayın.
- Kimliğinize bürünülmesi mümkünse önemli kişileri başka bir güvenilir kanaldan uyarın. Değişen kriptografik kimlikleri yeniden doğrulayın.
- Destek veya bildirim için ilgili uyarıları ve zaman damgalarını saklayın. Mesajla sorunu “düzeltmeyi” teklif eden birine asla OTP, parola veya kurtarma ifadesi göndermeyin.
Yararlı koruma, çalınan tek bir faktörün diğer tüm kontrolleri atlamasına izin vermeyen bir hesap tasarımının, açık bir kurtarma ve oturum müdahale planıyla birleşmesidir.
