در حمله SIM Swap، مهاجم کنترل شماره تلفن قربانی را از مسیر تعویض سیم‌کارت یا انتقال غیرمجاز به دست می‌آورد. اگر ورود یا بازیابی حساب فقط به دریافت پیامک وابسته باشد، این کنترل می‌تواند راه ورود به حساب را باز کند. اما نتیجه در همه پیام‌رسان‌ها یکسان نیست: رمز دوم، دستگاه‌های مجاز، قفل ثبت‌نام و سیاست بازیابی می‌توانند تفاوت ایجاد کنند.
تصرف شماره، تصرف حساب و خواندن پیام‌های قدیمی را سه نتیجه جداگانه بررسی کنید. هیچ‌کدام را بدون شناخت معماری سرویس، پیامد قطعی دیگری ندانید.
کد پیامکی کدام بخش را اثبات می‌کند؟
کد SMS معمولاً نشان می‌دهد فرایند ورود به شماره مورد نظر دسترسی دارد. این الزاماً اثبات نمی‌کند همان فرد همیشگی کنترل شماره را در اختیار دارد. راهنمای FTC درباره SIM Swap توضیح می‌دهد چرا مهاجمِ کنترل‌کننده شماره ممکن است کدهای تأیید را دریافت کند.
این ضعف به معنی بی‌فایده بودن تمام احراز هویت چندمرحله‌ای نیست. انتخاب عامل قوی‌تر، در صورت پشتیبانی سرویس، می‌تواند وابستگی به شبکه تلفن را کم کند. مسیر بازیابی را هم بررسی کنید: اگر قوی‌ترین روش ورود با یک بازیابی صرفاً پیامکی دور زده شود، همان مسیر همچنان مهم است.
SRP چه تفاوتی ایجاد می‌کند؟
SRP یک روش توافق کلید و احراز هویت مبتنی بر گذرواژه است که لازم نیست خود گذرواژه را در تبادل عادی ارسال کند. سرور داده‌ای به نام verifier نگه می‌دارد. این با ورود صرفاً مبتنی بر کد SMS فرق دارد، اما نام SRP به‌تنهایی سیاست ثبت‌نام یا بازیابی حساب را تعیین نمی‌کند.
همچنین verifier را نباید بی‌خطر فرض کرد. بخش امنیت RFC 5054 می‌گوید سرقت verifier می‌تواند امکان حمله واژه‌نامه‌ای برای حدس گذرواژه را فراهم کند. قدرت گذرواژه، کنترل تلاش‌های ورود، پارامترها و صحت پیاده‌سازی همچنان مهم‌اند. این RFC نمونه SRP در TLS را شرح می‌دهد، نه ممیزی پیاده‌سازی لیوارا.
اگر حساب تصرف شود، آیا همه چت‌ها خوانده می‌شوند؟
| وضعیت | پرسش تعیین‌کننده |
|---|---|
| مهاجم فقط شماره را دارد | آیا ورود یا بازیابی با SMS به‌تنهایی مجاز است؟ |
| مهاجم وارد حساب شده است | آیا دستگاه تازه به کلیدها و تاریخچه قبلی دسترسی می‌گیرد؟ |
| مهاجم پیام جدید می‌فرستد | مخاطبان تغییر هویت یا دستگاه را می‌بینند و بررسی می‌کنند؟ |
| مهاجم عبارت بازیابی را دارد | کدام پشتیبان‌ها و کلیدها با آن باز می‌شوند؟ |
| مهاجم دستگاه بازشده را دارد | چه محتوا و جلسه فعالی در دسترس اوست؟ |
رمزنگاری سرتاسری از مسیر محتوای پیام محافظت می‌کند؛ جای سیاست ورود و اعتماد به هویت مخاطب را نمی‌گیرد.
مرز ادعای لیوارا
صفحه امنیت لیوارا ورود مبتنی بر نام کاربری و SRP و بازیابی جداگانه مواد هویت را توصیف می‌کند. این طراحی را نباید به وعده مصونیت در برابر هر نوع سرقت حساب تبدیل کرد. فیشینگ، بدافزار، گذرواژه ضعیف و افشای عبارت بازیابی همچنان در ارزیابی مطرح‌اند.
همان سند می‌گوید v7 هویت رمزنگاری را بازیابی می‌کند، نه تاریخچه چت را. مدل تهدید کمک می‌کند دسترسی به حساب، دسترسی به کلید و دسترسی فیزیکی به دستگاه با هم اشتباه نشوند.
اقدام‌های عملی برای کاهش ریسک
- برای حساب اپراتور رمز یا PIN اختصاصی بگذارید و درباره محدودیت انتقال شماره سؤال کنید. این اقدام ریسک را کم می‌کند، نه اینکه انتقال غیرمجاز را ناممکن کند.
- در سرویس‌های پشتیبانی‌شده، عامل احراز هویت غیرپیامکی مناسب را فعال کنید و کدهای بازیابی را امن نگه دارید.
- گذرواژه‌های یکتا به کار ببرید؛ یک رمز مشترک می‌تواند حادثه یک سرویس را به چند حساب گسترش دهد.
- اگر ناگهان سرویس سیم‌کارت قطع شد یا اعلان تغییر غیرمنتظره گرفتید، از راه تماس رسمی و شناخته‌شده با اپراتور پیگیری کنید؛ هر قطعی به معنی حمله نیست.
- پس از بازپس‌گیری شماره، ورودها و تغییرات حساب‌های وابسته را بررسی و دسترسی‌های ناشناس را طبق راهنمای هر سرویس لغو کنید.
بهترین معیار، نام یک روش ورود نیست؛ این است که مهاجم با کنترل شماره، گذرواژه یا دستگاه دقیقاً به چه چیزی می‌رسد و چه مانع مستقلی باقی می‌ماند.
