SIM स्वैप हमले में हमलावर SIM कार्ड बदलवाकर या अनधिकृत नंबर ट्रांसफ़र के ज़रिए पीड़ित के फ़ोन नंबर पर नियंत्रण पा लेता है। यदि खाते में लॉगिन या उसकी रिकवरी केवल SMS मिलने पर निर्भर हो, तो यह नियंत्रण खाते में प्रवेश का रास्ता खोल सकता है। लेकिन सभी मैसेंजर में परिणाम एक जैसा नहीं होता: अतिरिक्त पासवर्ड, अधिकृत डिवाइस, पंजीकरण लॉक और रिकवरी नीति से फर्क पड़ सकता है।
**नंबर पर कब्ज़ा, खाते पर कब्ज़ा और पुराने संदेश पढ़ पाना—इन तीनों को अलग-अलग परिणाम मानकर जाँचें।**सेवा की संरचना जाने बिना किसी एक को दूसरे का निश्चित परिणाम न मानें।
SMS कोड क्या साबित करता है?
SMS कोड आम तौर पर दिखाता है कि लॉगिन प्रक्रिया की संबंधित नंबर तक पहुँच है। यह ज़रूरी नहीं कि वही पुराना व्यक्ति अब भी नंबर को नियंत्रित कर रहा हो।SIM स्वैप पर FTC की मार्गदर्शिका बताती है कि नंबर नियंत्रित करने वाले हमलावर को सत्यापन कोड क्यों मिल सकते हैं।
इस कमजोरी का मतलब यह नहीं कि हर बहु-कारक प्रमाणीकरण बेकार है। सेवा में समर्थन होने पर अधिक मजबूत कारक चुनने से टेलीफ़ोन नेटवर्क पर निर्भरता कम हो सकती है। रिकवरी का रास्ता भी जाँचें: यदि केवल SMS वाली रिकवरी सबसे मजबूत लॉगिन विधि को दरकिनार कर सकती है, तो वह रास्ता अब भी महत्वपूर्ण है।
SRP क्या फर्क लाता है?
SRP पासवर्ड-आधारित कुंजी सहमति और प्रमाणीकरण की विधि है, जिसमें सामान्य आदान-प्रदान के दौरान स्वयं पासवर्ड भेजना आवश्यक नहीं होता। सर्वर verifier नाम का सत्यापन डेटा रखता है। यह केवल SMS कोड से लॉगिन करने से अलग है, लेकिन सिर्फ SRP नाम खाते के पंजीकरण या रिकवरी की नीति तय नहीं करता।
verifier को भी जोखिम-रहित नहीं मानना चाहिए।RFC 5054 का सुरक्षा अनुभाग कहता है कि verifier चोरी होने पर पासवर्ड का अनुमान लगाने के लिए शब्दकोश हमला संभव हो सकता है। पासवर्ड की मजबूती, लॉगिन प्रयासों का नियंत्रण, पैरामीटर और सही कार्यान्वयन अब भी महत्वपूर्ण हैं। यह RFC TLS में SRP का उदाहरण बताता है, Livara के कार्यान्वयन का ऑडिट नहीं है।
खाता कब्ज़े में आ जाए, तो क्या सभी चैट पढ़ी जा सकती हैं?
| स्थिति | निर्णायक प्रश्न |
|---|---|
| हमलावर के पास केवल नंबर है | क्या सिर्फ SMS से लॉगिन या रिकवरी की अनुमति है? |
| हमलावर खाते में प्रवेश कर चुका है | क्या नए डिवाइस को पुरानी कुंजियों और इतिहास तक पहुँच मिलती है? |
| हमलावर नए संदेश भेजता है | क्या संपर्क पहचान या डिवाइस में बदलाव देखते और जाँचते हैं? |
| हमलावर के पास रिकवरी वाक्यांश है | उससे कौन से बैकअप और कुंजियाँ खुलते हैं? |
| हमलावर के पास अनलॉक डिवाइस है | कौन सी सामग्री और सक्रिय सत्र उसकी पहुँच में हैं? |
एंड-टू-एंड एन्क्रिप्शन संदेश की सामग्री को उसके रास्ते में सुरक्षित रखता है; यह लॉगिन नीति यासंपर्क की पहचान पर भरोसे का विकल्प नहीं है।
Livara के दावे की सीमा
Livara का सुरक्षा पृष्ठ उपयोगकर्ता नाम और SRP पर आधारित लॉगिन तथा पहचान सामग्री की अलग रिकवरी का वर्णन करता है। इस डिज़ाइन को हर तरह की खाता चोरी से प्रतिरक्षा का वादा नहीं बनाना चाहिए। फ़िशिंग, मैलवेयर, कमजोर पासवर्ड और रिकवरी वाक्यांश का खुलासा अब भी मूल्यांकन का हिस्सा हैं।
वही दस्तावेज़ कहता है किv7 क्रिप्टोग्राफ़िक पहचान बहाल करता है, चैट इतिहास नहीं।खतरा मॉडल खाते की पहुँच, कुंजी की पहुँच और डिवाइस तक भौतिक पहुँच को आपस में भ्रमित करने से बचने में मदद करता है।
जोखिम घटाने के व्यावहारिक कदम
- अपने मोबाइल ऑपरेटर खाते के लिए अलग पासवर्ड या PIN रखें और नंबर ट्रांसफ़र की पाबंदियों के बारे में पूछें। यह जोखिम घटाता है, अनधिकृत ट्रांसफ़र को असंभव नहीं बनाता।
- समर्थित सेवाओं में उपयुक्त गैर-SMS प्रमाणीकरण कारक चालू करें और रिकवरी कोड सुरक्षित रखें।
- अलग-अलग पासवर्ड इस्तेमाल करें; एक साझा पासवर्ड किसी एक सेवा की घटना को कई खातों तक फैला सकता है।
- यदि SIM की सेवा अचानक बंद हो जाए या अप्रत्याशित बदलाव की सूचना मिले, तो ज्ञात आधिकारिक संपर्क माध्यम से ऑपरेटर से जाँच करें; हर सेवा बाधा हमले का संकेत नहीं है।
- नंबर वापस पाने के बाद उससे जुड़े खातों के लॉगिन और बदलाव जाँचें तथा प्रत्येक सेवा की मार्गदर्शिका के अनुसार अनजान पहुँच रद्द करें।
सबसे अच्छा मानदंड किसी लॉगिन विधि का नाम नहीं है; यह है कि नंबर, पासवर्ड या डिवाइस पर नियंत्रण पाने वाला हमलावर ठीक किस चीज़ तक पहुँचता है और कौन सी स्वतंत्र बाधा बाकी रहती है।
