Trong một cuộc tấn công SIM swap, kẻ tấn công chiếm quyền kiểm soát số điện thoại của nạn nhân thông qua việc đổi SIM hoặc chuyển mạng giữ số trái phép. Nếu đăng nhập hoặc khôi phục tài khoản chỉ phụ thuộc vào việc nhận SMS, quyền kiểm soát này có thể mở đường vào tài khoản. Tuy nhiên, kết quả không giống nhau ở mọi ứng dụng nhắn tin: mật khẩu bổ sung, thiết bị được cho phép, khóa đăng ký và chính sách khôi phục có thể tạo ra sự khác biệt.
Hãy xem việc chiếm số điện thoại, chiếm tài khoản và đọc tin nhắn cũ là ba kết quả riêng biệt. Khi chưa hiểu kiến trúc của dịch vụ, đừng coi kết quả nào là hệ quả chắc chắn của kết quả khác.
Mã SMS chứng minh điều gì?
Mã SMS thường cho thấy quy trình đăng nhập có quyền truy cập vào số điện thoại liên quan. Điều này không nhất thiết chứng minh rằng người vẫn luôn sử dụng số đó đang kiểm soát nó. Hướng dẫn của FTC về SIM swap giải thích vì sao kẻ kiểm soát số điện thoại có thể nhận được mã xác minh.
Điểm yếu này không có nghĩa là mọi hình thức xác thực đa yếu tố đều vô ích. Chọn một yếu tố mạnh hơn, nếu dịch vụ hỗ trợ, có thể giảm sự phụ thuộc vào mạng điện thoại. Hãy kiểm tra cả đường khôi phục: nếu phương thức đăng nhập mạnh nhất có thể bị vượt qua bằng cách khôi phục chỉ qua SMS, đường đó vẫn rất quan trọng.
SRP tạo ra khác biệt gì?
SRP là một phương thức thỏa thuận khóa và xác thực dựa trên mật khẩu, không cần gửi chính mật khẩu trong quá trình trao đổi thông thường. Máy chủ lưu dữ liệu gọi là verifier, tức giá trị xác minh. Điều này khác với đăng nhập chỉ bằng mã SMS, nhưng chỉ riêng tên SRP không quyết định chính sách đăng ký hoặc khôi phục tài khoản.
Cũng không nên coi verifier là vô hại. Phần bảo mật của RFC 5054 nêu rằng việc đánh cắp verifier có thể cho phép tấn công từ điển để đoán mật khẩu. Độ mạnh của mật khẩu, việc kiểm soát các lần thử đăng nhập, tham số và tính đúng đắn của triển khai vẫn quan trọng. RFC này mô tả một ví dụ về SRP trong TLS, không phải cuộc kiểm toán triển khai của Livara.
Nếu tài khoản bị chiếm, tất cả cuộc trò chuyện có bị đọc không?
| Tình huống | Câu hỏi quyết định |
|---|---|
| Kẻ tấn công chỉ có số điện thoại | Có cho phép đăng nhập hoặc khôi phục chỉ bằng SMS không? |
| Kẻ tấn công đã đăng nhập vào tài khoản | Thiết bị mới có được truy cập các khóa và lịch sử trước đó không? |
| Kẻ tấn công gửi tin nhắn mới | Người liên hệ có nhìn thấy và kiểm tra thay đổi về danh tính hoặc thiết bị không? |
| Kẻ tấn công có cụm từ khôi phục | Những bản sao lưu và khóa nào được mở bằng cụm từ đó? |
| Kẻ tấn công có thiết bị đã mở khóa | Nội dung và phiên hoạt động nào có thể truy cập được? |
Mã hóa đầu cuối bảo vệ nội dung tin nhắn trên đường truyền; nó không thay thế chính sách đăng nhập hay sự tin cậy vào danh tính người liên hệ.
Giới hạn trong tuyên bố của Livara
Trang bảo mật của Livara mô tả việc đăng nhập bằng tên người dùng và SRP, cùng việc khôi phục riêng phần vật liệu danh tính. Không nên biến thiết kế này thành lời hứa miễn nhiễm với mọi kiểu chiếm đoạt tài khoản. Lừa đảo, phần mềm độc hại, mật khẩu yếu và việc lộ cụm từ khôi phục vẫn phải được xem xét khi đánh giá.
Cũng tài liệu đó nói rằng v7 khôi phục danh tính mật mã, không phải lịch sử trò chuyện. Mô hình đe dọa giúp tránh nhầm lẫn giữa quyền truy cập tài khoản, quyền truy cập khóa và quyền tiếp cận vật lý với thiết bị.
Các bước thực tế để giảm rủi ro
- Đặt mật khẩu hoặc mã PIN riêng cho tài khoản nhà mạng và hỏi về các hạn chế chuyển số. Việc này giảm rủi ro chứ không khiến chuyển số trái phép trở thành bất khả thi.
- Với các dịch vụ hỗ trợ, hãy bật yếu tố xác thực phù hợp không dùng SMS và giữ mã khôi phục ở nơi an toàn.
- Sử dụng mật khẩu riêng biệt; một mật khẩu dùng chung có thể khiến sự cố ở một dịch vụ lan sang nhiều tài khoản.
- Nếu SIM đột ngột mất dịch vụ hoặc bạn nhận thông báo thay đổi bất ngờ, hãy liên hệ nhà mạng qua kênh chính thức đã biết; không phải mọi sự cố mất dịch vụ đều là tấn công.
- Sau khi lấy lại số điện thoại, hãy kiểm tra các lần đăng nhập và thay đổi trên những tài khoản liên kết, đồng thời thu hồi quyền truy cập không rõ nguồn gốc theo hướng dẫn của từng dịch vụ.
Tiêu chí tốt nhất không phải tên của một phương thức đăng nhập, mà là kẻ tấn công có thể truy cập chính xác những gì khi kiểm soát số điện thoại, mật khẩu hoặc thiết bị, và rào cản độc lập nào vẫn còn.
