Bij een SIM-swapaanval krijgt een aanvaller controle over het telefoonnummer van het slachtoffer door een simwissel of ongeoorloofde nummeroverdracht. Als aanmelden of accountherstel uitsluitend afhangt van het ontvangen van een sms, kan die controle toegang tot het account geven. Het resultaat is echter niet bij elke messenger hetzelfde: een extra wachtwoord, geautoriseerde apparaten, registratievergrendeling en het herstelbeleid kunnen verschil maken.
Beschouw nummerovername, accountovername en het lezen van oude berichten als drie afzonderlijke uitkomsten. Ga er zonder kennis van de servicearchitectuur niet van uit dat het ene onvermijdelijk tot het andere leidt.
Wat bewijst een sms-code?
Een sms-code toont doorgaans aan dat het aanmeldproces toegang heeft tot het betreffende nummer. Dat bewijst niet noodzakelijk dat dezelfde persoon als altijd het nummer beheert. De FTC-uitleg over SIM-swap beschrijft waarom een aanvaller die het nummer beheert verificatiecodes kan ontvangen.
Deze zwakte betekent niet dat alle multifactorauthenticatie nutteloos is. Een sterkere factor kan, als de service die ondersteunt, de afhankelijkheid van het telefoonnetwerk verminderen. Controleer ook de herstelroute: als de sterkste aanmeldmethode kan worden omzeild met herstel uitsluitend via sms, blijft die route belangrijk.
Welk verschil maakt SRP?
SRP is een methode voor wachtwoordgebaseerde sleutelovereenkomst en authenticatie waarbij het wachtwoord zelf tijdens de normale uitwisseling niet hoeft te worden verzonden. De server bewaart gegevens die een verifier worden genoemd. Dat verschilt van aanmelden uitsluitend met een sms-code, maar de naam SRP bepaalt op zichzelf niet het registratie- of herstelbeleid van een account.
Beschouw de verifier evenmin als onschadelijk. Het beveiligingsgedeelte van RFC 5054 zegt dat diefstal van de verifier een woordenboekaanval om het wachtwoord te raden mogelijk kan maken. Wachtwoordsterkte, beperking van aanmeldpogingen, parameters en een correcte implementatie blijven belangrijk. Deze RFC beschrijft een toepassing van SRP in TLS, geen audit van Livara’s implementatie.
Zijn bij accountovername alle chats leesbaar?
| Situatie | Doorslaggevende vraag |
|---|---|
| De aanvaller heeft alleen het nummer | Is aanmelden of herstel met alleen sms toegestaan? |
| De aanvaller is bij het account aangemeld | Krijgt een nieuw apparaat toegang tot eerdere sleutels en geschiedenis? |
| De aanvaller verstuurt een nieuw bericht | Zien en controleren contacten de gewijzigde identiteit of het apparaat? |
| De aanvaller heeft de herstelzin | Welke back-ups en sleutels kunnen ermee worden geopend? |
| De aanvaller heeft het ontgrendelde apparaat | Welke inhoud en actieve sessies zijn toegankelijk? |
End-to-endversleuteling beschermt de berichtinhoud onderweg; zij vervangt niet het aanmeldbeleid of vertrouwen in de identiteit van een contact.
De grenzen van Livara’s claim
Livara’s beveiligingspagina beschrijft aanmelden met een gebruikersnaam en SRP en afzonderlijk herstel van identiteitsmateriaal. Maak van dit ontwerp geen belofte van immuniteit tegen elke vorm van accountdiefstal. Phishing, malware, zwakke wachtwoorden en het uitlekken van de herstelzin blijven relevant voor de beoordeling.
Hetzelfde document zegt dat v7 de cryptografische identiteit herstelt, niet de chatgeschiedenis. Het dreigingsmodel helpt toegang tot het account, toegang tot sleutels en fysieke toegang tot het apparaat uit elkaar te houden.
Praktische stappen om het risico te beperken
- Stel een apart wachtwoord of een aparte pincode in voor uw provideraccount en vraag naar beperkingen voor nummeroverdracht. Dit verlaagt het risico, maar maakt ongeoorloofde overdracht niet onmogelijk.
- Schakel bij services die dit ondersteunen een geschikte authenticatiefactor zonder sms in en bewaar herstelcodes veilig.
- Gebruik unieke wachtwoorden; één gedeeld wachtwoord kan een incident bij één service naar meerdere accounts uitbreiden.
- Valt de simdienst plotseling uit of krijgt u een onverwachte wijzigingsmelding, neem dan via een bekend officieel kanaal contact op met de provider; niet elke storing is een aanval.
- Controleer nadat u het nummer hebt teruggekregen de aanmeldingen en wijzigingen bij gekoppelde accounts en trek onbekende toegang in volgens de instructies van elke service.
Het beste criterium is niet de naam van een aanmeldmethode, maar waartoe een aanvaller met controle over het nummer, wachtwoord of apparaat precies toegang krijgt en welke onafhankelijke barrière overblijft.
