In un attacco SIM Swap, l’aggressore prende il controllo del numero di telefono della vittima tramite una sostituzione della SIM o un trasferimento non autorizzato. Se l’accesso o il recupero dell’account dipendono soltanto dalla ricezione di un SMS, questo controllo può aprire la strada all’account. Ma il risultato non è uguale in tutti i messenger: una password aggiuntiva, dispositivi autorizzati, blocchi della registrazione e politiche di recupero possono fare la differenza.
Considera il controllo del numero, il controllo dell’account e la lettura dei vecchi messaggi come tre risultati distinti. Non presumere che uno sia la conseguenza certa di un altro senza conoscere l’architettura del servizio.
Che cosa dimostra un codice SMS?
Un codice SMS di solito indica che il processo di accesso può raggiungere il numero interessato. Non dimostra necessariamente che a controllarlo sia la stessa persona di prima. La guida della FTC sul SIM Swap spiega perché un aggressore che controlla il numero può ricevere i codici di verifica.
Questa debolezza non rende inutile ogni autenticazione a più fattori. Scegliere un fattore più robusto, se supportato dal servizio, può ridurre la dipendenza dalla rete telefonica. Verifica anche il recupero: se il metodo di accesso più forte è aggirabile con un recupero basato solo su SMS, quel percorso resta importante.
Che differenza fa SRP?
SRP è un metodo di accordo delle chiavi e autenticazione basato su password che non richiede l’invio della password stessa durante il normale scambio. Il server conserva dati chiamati verifier. È diverso da un accesso basato soltanto su un codice SMS, ma il nome SRP da solo non determina la politica di registrazione o recupero dell’account.
Nemmeno il verifier va considerato innocuo. La sezione sulla sicurezza di RFC 5054 afferma che rubarlo può consentire un attacco a dizionario per indovinare la password. Restano importanti la robustezza della password, i controlli sui tentativi di accesso, i parametri e la corretta implementazione. Questo RFC descrive un esempio di SRP in TLS, non una verifica dell’implementazione di Livara.
Se l’account viene compromesso, si possono leggere tutte le chat?
| Situazione | Domanda decisiva |
|---|---|
| L’aggressore ha soltanto il numero | È consentito accedere o recuperare l’account con il solo SMS? |
| L’aggressore è entrato nell’account | Un nuovo dispositivo ottiene accesso alle chiavi e alla cronologia precedenti? |
| L’aggressore invia un nuovo messaggio | I contatti vedono e verificano il cambio di identità o dispositivo? |
| L’aggressore ha la frase di recupero | Quali backup e chiavi può sbloccare? |
| L’aggressore ha il dispositivo sbloccato | Quali contenuti e sessioni attive sono a sua disposizione? |
La crittografia end-to-end protegge il percorso del contenuto dei messaggi; non sostituisce le regole di accesso né la fiducia nell’identità del contatto.
I limiti di quanto afferma Livara
La pagina sulla sicurezza di Livara descrive l’accesso con nome utente e SRP e il recupero separato del materiale d’identità. Questo progetto non va trasformato in una promessa di immunità a ogni tipo di furto dell’account. Phishing, malware, password deboli e divulgazione della frase di recupero restano elementi da valutare.
Lo stesso documento afferma che v7 recupera l’identità crittografica, non la cronologia delle chat. Il modello di minaccia aiuta a non confondere accesso all’account, accesso alle chiavi e accesso fisico al dispositivo.
Misure pratiche per ridurre il rischio
- Imposta una password o un PIN dedicato per l’account presso l’operatore e informati sulle restrizioni al trasferimento del numero. Questo riduce il rischio, ma non rende impossibile un trasferimento non autorizzato.
- Nei servizi compatibili, attiva un fattore adeguato diverso dagli SMS e conserva al sicuro i codici di recupero.
- Usa password uniche; una password condivisa può estendere un incidente da un servizio a più account.
- Se il servizio della SIM si interrompe improvvisamente o ricevi un avviso di modifica inattesa, contatta l’operatore tramite un canale ufficiale e noto; non ogni interruzione indica un attacco.
- Dopo aver recuperato il numero, controlla accessi e modifiche degli account associati e revoca gli accessi sconosciuti seguendo le istruzioni di ciascun servizio.
Il criterio migliore non è il nome di un metodo di accesso, ma ciò che un aggressore ottiene esattamente controllando numero, password o dispositivo e quale barriera indipendente rimane.
