ในการโจมตี SIM Swap ผู้โจมตีจะควบคุมหมายเลขโทรศัพท์ของเหยื่อผ่านการเปลี่ยนซิมหรือการโอนหมายเลขโดยไม่ได้รับอนุญาต หากการเข้าสู่ระบบหรือการกู้บัญชีอาศัยเพียงการรับ SMS การควบคุมนี้อาจเปิดทางเข้าสู่บัญชีได้ แต่ผลลัพธ์ไม่ได้เหมือนกันในทุกแอปส่งข้อความ รหัสผ่านเพิ่มเติม อุปกรณ์ที่ได้รับอนุญาต การล็อกการลงทะเบียน และนโยบายกู้บัญชีอาจทำให้ผลต่างกัน
ควรพิจารณาการยึดหมายเลข การยึดบัญชี และการอ่านข้อความเก่าเป็นผลลัพธ์สามอย่างที่แยกจากกัน อย่าสรุปว่าอย่างใดอย่างหนึ่งทำให้อีกอย่างเกิดขึ้นแน่นอนโดยไม่เข้าใจสถาปัตยกรรมของบริการ
รหัส SMS พิสูจน์อะไร?
โดยทั่วไป รหัส SMS แสดงว่ากระบวนการเข้าสู่ระบบเข้าถึงหมายเลขที่ระบุได้ แต่ไม่ได้พิสูจน์เสมอไปว่าคนเดิมยังเป็นผู้ควบคุมหมายเลขนั้นอยู่ คำแนะนำของ FTC เกี่ยวกับ SIM Swap อธิบายว่าทำไมผู้โจมตีที่ควบคุมหมายเลขจึงอาจได้รับรหัสยืนยัน
จุดอ่อนนี้ไม่ได้หมายความว่าการยืนยันตัวตนหลายปัจจัยทั้งหมดไร้ประโยชน์ หากบริการรองรับ การเลือกปัจจัยที่แข็งแรงขึ้นอาจลดการพึ่งพาเครือข่ายโทรศัพท์ได้ ตรวจสอบช่องทางกู้บัญชีด้วย หากการกู้ด้วย SMS เพียงอย่างเดียวสามารถเลี่ยงวิธีเข้าสู่ระบบที่แข็งแรงที่สุดได้ ช่องทางนั้นก็ยังสำคัญ
SRP สร้างความแตกต่างอย่างไร?
SRP เป็นวิธีตกลงคีย์และยืนยันตัวตนที่อาศัยรหัสผ่าน โดยไม่จำเป็นต้องส่งตัวรหัสผ่านในการแลกเปลี่ยนตามปกติ เซิร์ฟเวอร์เก็บข้อมูลตรวจสอบที่เรียกว่า verifier ซึ่งต่างจากการเข้าสู่ระบบด้วยรหัส SMS เพียงอย่างเดียว แต่ ชื่อ SRP เพียงอย่างเดียวไม่ได้กำหนดนโยบายลงทะเบียนหรือกู้บัญชี
และไม่ควรคิดว่า verifier ไม่มีความเสี่ยง ส่วนความปลอดภัยของ RFC 5054 ระบุว่าการขโมย verifier อาจเปิดโอกาสให้ใช้การโจมตีแบบพจนานุกรมเพื่อเดารหัสผ่าน ความแข็งแรงของรหัสผ่าน การควบคุมความพยายามเข้าสู่ระบบ พารามิเตอร์ และความถูกต้องของการนำไปใช้ยังคงสำคัญ RFC นี้อธิบายตัวอย่าง SRP ใน TLS ไม่ใช่การตรวจสอบการนำไปใช้ของ Livara
หากบัญชีถูกยึด จะอ่านแชตทั้งหมดได้หรือไม่?
| สถานการณ์ | คำถามที่ชี้ขาด |
|---|---|
| ผู้โจมตีควบคุมเพียงหมายเลข | อนุญาตให้เข้าสู่ระบบหรือกู้บัญชีด้วย SMS เพียงอย่างเดียวหรือไม่? |
| ผู้โจมตีเข้าสู่บัญชีแล้ว | อุปกรณ์ใหม่เข้าถึงคีย์และประวัติเก่าได้หรือไม่? |
| ผู้โจมตีส่งข้อความใหม่ | ผู้ติดต่อเห็นและตรวจสอบการเปลี่ยนแปลงตัวตนหรืออุปกรณ์หรือไม่? |
| ผู้โจมตีมีวลีกู้คืน | วลีนั้นปลดล็อกข้อมูลสำรองและคีย์ใดได้บ้าง? |
| ผู้โจมตีมีอุปกรณ์ที่ปลดล็อกแล้ว | เข้าถึงเนื้อหาและเซสชันที่ยังใช้งานใดได้บ้าง? |
การเข้ารหัสแบบต้นทางถึงปลายทางปกป้องเนื้อหาข้อความระหว่างทาง ไม่ได้แทนที่นโยบายเข้าสู่ระบบหรือความเชื่อมั่นในตัวตนของผู้ติดต่อ
ขอบเขตข้อกล่าวอ้างของ Livara
หน้าความปลอดภัยของ Livara อธิบายการเข้าสู่ระบบด้วยชื่อผู้ใช้และ SRP รวมถึงการกู้ข้อมูลตัวตนที่แยกออกมา ไม่ควรเปลี่ยนการออกแบบนี้ให้กลายเป็นคำสัญญาว่าจะปลอดภัยจากการขโมยบัญชีทุกรูปแบบ ฟิชชิง มัลแวร์ รหัสผ่านอ่อนแอ และวลีกู้คืนรั่วไหลยังต้องอยู่ในการประเมิน
เอกสารเดียวกันระบุว่า v7 กู้ตัวตนทางการเข้ารหัส ไม่ใช่ประวัติแชต แบบจำลองภัยคุกคาม ช่วยไม่ให้สับสนระหว่างการเข้าถึงบัญชี การเข้าถึงคีย์ และการเข้าถึงอุปกรณ์ทางกายภาพ
ขั้นตอนปฏิบัติเพื่อลดความเสี่ยง
- ตั้งรหัสผ่านหรือ PIN เฉพาะสำหรับบัญชีผู้ให้บริการมือถือ และสอบถามข้อจำกัดในการโอนหมายเลข วิธีนี้ลดความเสี่ยง แต่ไม่ได้ทำให้การโอนโดยไม่ได้รับอนุญาตเป็นไปไม่ได้
- ในบริการที่รองรับ ให้เปิดใช้ปัจจัยยืนยันตัวตนที่ไม่ใช่ SMS อย่างเหมาะสม และเก็บรหัสกู้คืนไว้อย่างปลอดภัย
- ใช้รหัสผ่านที่ไม่ซ้ำกัน รหัสผ่านร่วมกันอาจทำให้เหตุการณ์ในบริการเดียวลุกลามไปหลายบัญชี
- หากบริการซิมหยุดกะทันหันหรือได้รับแจ้งการเปลี่ยนแปลงที่ไม่คาดคิด ให้ติดตามกับผู้ให้บริการผ่านช่องทางติดต่อทางการที่รู้จัก ไม่ใช่ทุกการขัดข้องจะหมายถึงการโจมตี
- หลังได้หมายเลขคืน ให้ตรวจสอบการเข้าสู่ระบบและการเปลี่ยนแปลงของบัญชีที่เกี่ยวข้อง แล้วเพิกถอนการเข้าถึงที่ไม่รู้จักตามคำแนะนำของแต่ละบริการ
เกณฑ์ที่ดีที่สุดไม่ใช่ชื่อวิธีเข้าสู่ระบบ แต่คือผู้โจมตีที่ควบคุมหมายเลข รหัสผ่าน หรืออุปกรณ์จะเข้าถึงอะไรได้อย่างแน่นอน และยังมีอุปสรรคอิสระใดเหลืออยู่
