नंबर की रक्षा करें, लेकिन खाते के हर उस रास्ते की भी जाँच करें जो नंबर को पहचान का प्रमाण मानता है।
SIM स्वैप आपके फ़ोन नंबर का नियंत्रण हमलावर के नियंत्रण वाली SIM या eSIM पर स्थानांतरित कर देता है। यदि कोई मैसेजिंग खाता पंजीकरण, लॉगिन या रिकवरी के लिए SMS को पर्याप्त प्रमाण मानता है, तो हमलावर उस रास्ते का फायदा उठा सकता है।
हर मैसेंजर में नतीजा एक जैसा नहीं होता। अतिरिक्त पंजीकरण लॉक, पासकी, पासवर्ड या स्वतंत्र रिकवरी सीक्रेट यह बदल सकता है कि हमलावर क्या कर सकता है। नंबर पर कब्ज़ा होने से आपके उपकरणों पर रखी हर पुरानी बातचीत भी अपने-आप डिक्रिप्ट नहीं हो जाती।
नंबर का नियंत्रण खाते का नियंत्रण कैसे बनता है
अमेरिकी फ़ेडरल ट्रेड कमीशन की SIM स्वैप संबंधी सलाह बताती है कि हमलावर किसी पीड़ित का नंबर दूसरी SIM पर सक्रिय करने के लिए मोबाइल सेवा प्रदाता को कैसे मना लेते हैं। इसके बाद आने वाले सत्यापन संदेश और कॉल हमलावर तक पहुँच सकते हैं।
यहाँ संबंधित कमजोरी खाते का उस नंबर पर भरोसा करने का निर्णय है। कोई सेवा इसका उपयोग शुरुआती पंजीकरण, अतिरिक्त सत्यापन या पासवर्ड रीसेट के लिए कर सकती है। ये अलग-अलग क्षमताएँ हैं। केवल सामान्य साइन-इन स्क्रीन देखने के बजाय वैकल्पिक रास्तों सहित इन सभी की जाँच करें।
अचानक मोबाइल सेवा बंद हो जाना या SIM सक्रिय होने की अप्रत्याशित सूचना चेतावनी का संकेत हो सकती है, हालाँकि नेटवर्क बाधाएँ और खाते की सामान्य समस्याएँ भी ऐसी लग सकती हैं। किसी ज्ञात आधिकारिक माध्यम से सेवा प्रदाता से पुष्टि करें।
आपकी पहचान में संदेश भेजने और पुराने संदेशों तक पहुँच को अलग समझें
हमलावर के नियंत्रण वाला नया पंजीकृत उपकरण ऐप के नियमों के अनुसार आपकी पहचान में काम कर सकता है या भविष्य के संचार प्राप्त कर सकता है। पुराने इतिहास तक पहुँच के लिए अलग कारण चाहिए: सर्वर पर पढ़ी जा सकने वाली प्रति, एन्क्रिप्टेड बैकअप और उसकी कुंजी तक पहुँच, लिंक किया हुआ उपकरण या स्थानीय प्रति।
| संपत्ति | क्या केवल नंबर का नियंत्रण अनिवार्य रूप से यह उपलब्ध कराता है? |
|---|---|
| आने वाले SMS सत्यापन कोड | संभव है, नंबर स्थानांतरित होने के बाद |
| खाते का पंजीकरण या रीसेट | केवल तभी, जब सेवा किसी स्वतंत्र शर्त के बिना इस रास्ते को स्वीकार करे |
| उपकरणों के मौजूदा सत्र | अपने-आप नहीं; सत्र प्रबंधन के नियम मायने रखते हैं |
| पुराना E2EE चैट इतिहास | अपने-आप नहीं; हमलावर को अब भी सुलभ प्रति और आवश्यक कुंजियाँ चाहिए |
| नई स्वीकार की गई पहचान को भेजे गए भविष्य के संदेश | जोखिम पहचान सत्यापन और खाते के व्यवहार पर निर्भर करता है |
कुंजी बदलने की चेतावनियाँ और संपर्क की पहचान की स्वतंत्र जाँच किसी अप्रत्याशित नए अंतिम उपकरण का पता लगाने में मदद कर सकती हैं। केवल इसलिए इन्हें नज़रअंदाज़ नहीं करना चाहिए कि जाना-पहचाना फ़ोन नंबर वही है।
SRP क्या योगदान देता है और क्या वादा नहीं कर सकता
SRP अपने निर्धारित आदान-प्रदान में पासवर्ड भेजे बिना यह प्रमाणित करता है कि व्यक्ति पासवर्ड जानता है। यदि लॉगिन वास्तव में स्वतंत्र पासवर्ड माँगता है और कोई SMS विकल्प उसे दरकिनार नहीं करता, तो केवल नंबर चुराना उस शर्त को पूरा नहीं करता।
SRP स्वयं ऐप की फ़ोन नंबर नीति, रीसेट प्रक्रिया या सहायता प्रक्रियाएँ तय नहीं करता। यह कमज़ोर पासवर्ड को मज़बूत नहीं बनाता और न ही फ़िशिंग कोड को दुर्भावनापूर्ण पेज पर दर्ज पाठ पढ़ने से रोकता है। सर्वर का वेरिफ़ायर भी संवेदनशील रहता है: RFC 5054 का खंड 3.3 वेरिफ़ायर की चोरी के बाद पासवर्ड का अनुमान लगाने का वर्णन करता है।
जहाँ सेवा उनका समर्थन करती है, वहाँ पासकी और सुरक्षा कुंजियाँ SMS पर निर्भरता घटाने के अन्य संभावित तरीके हैं। पासकी पर FIDO Alliance की व्याख्या सार्वजनिक-कुंजी क्रेडेंशियल और फ़िशिंग प्रतिरोध का वर्णन करती है। सामान्य लॉगिन की कोई भी विधि इस्तेमाल हो, वास्तविक खाता रिकवरी रास्ते की जाँच फिर भी आवश्यक है।
Livara का दस्तावेज़ों में बताया गया अलगाव
Livara का सुरक्षा पेज SRP लॉगिन को उसके एन्क्रिप्टेड पहचान बैकअप से अलग बताता है। संस्करण 7 पहचान सामग्री को अपलोड से पहले एक अलग रिकवरी कुंजी के अंतर्गत सील करता है और पहचान बहाल करता है, चैट इतिहास नहीं। थ्रेट मॉडल कहता है कि केवल चोरी हुआ पासवर्ड उन एन्क्रिप्शन कुंजियों को बहाल नहीं कर सकता।
ये सीमाएँ प्रमाणीकरण और डिक्रिप्शन में अंतर समझने में मदद करती हैं। इनसे यह वादा उचित नहीं हो जाता कि खाते पर कब्ज़े के हर रास्ते का ऑडिट हो चुका है या मोबाइल सेवा प्रदाता की किसी घटना का कोई असर नहीं हो सकता। क्लाइंट में वर्तमान लॉगिन और रिकवरी विकल्प जाँचें; किसी प्रोटोकॉल के नाम से ऐसे व्यवहार का निष्कर्ष न निकालें जिसका दस्तावेज़ों में उल्लेख नहीं है।
पोस्ट-क्वांटम कुंजी स्थापना एक अलग समस्या हल करती है: पकड़े गए एन्क्रिप्टेड ट्रैफ़िक पर भविष्य के हमले। यह मोबाइल सेवा प्रदाता को फ़ोन नंबर स्थानांतरित करने से नहीं रोकती और न ही किसी खाते को इंटरसेप्ट किए गए SMS पर भरोसा करने से रोकती है।
घटना से पहले जोखिम घटाएँ
- मोबाइल सेवा प्रदाता के खाते को अलग PIN या पासवर्ड और उपलब्ध नंबर पोर्ट-आउट नियंत्रणों से सुरक्षित करें।
- जहाँ समर्थन हो, वहाँ मज़बूत गैर-SMS प्रमाणीकरण को प्राथमिकता दें और रिकवरी विकल्प सुरक्षित रखें।
- जाँचें कि खाता रिकवरी चुपचाप फ़ोन नंबर पर वैकल्पिक रास्ते के रूप में तो नहीं लौटती।
- अलग-अलग खातों के लिए अनूठे पासवर्ड रखें और रिकवरी के लिए इस्तेमाल होने वाले ईमेल खाते की रक्षा करें।
- जानें कि मैसेंजर लिंक किए गए उपकरण, पंजीकरण बदलाव और संपर्कों की कुंजियों में बदलाव कैसे दिखाता है।
यदि आपको लगे कि आपका नंबर ले लिया गया है
- सत्यापित माध्यम से तुरंत सेवा प्रदाता से संपर्क करें और नंबर की जाँच तथा रिकवरी का अनुरोध करें।
- भरोसेमंद उपकरण से प्रभावित खातों को सुरक्षित करें और अनजान सत्रों की जाँच करें। नंबर वापस मिलने से हमलावर का मौजूदा सत्र अनिवार्य रूप से समाप्त नहीं होता।
- रिकवरी सेटिंग में बदलाव जाँचें और आधिकारिक प्रक्रियाओं से प्रभावित क्रेडेंशियल रीसेट करें।
- यदि आपकी पहचान में संदेश भेजे जाने की आशंका हो, तो किसी दूसरे भरोसेमंद माध्यम से महत्वपूर्ण संपर्कों को चेताएँ। जहाँ क्रिप्टोग्राफ़िक पहचान बदली हो, उसे दोबारा सत्यापित करें।
- सहायता या रिपोर्टिंग के लिए संबंधित सूचनाएँ और समय-मुद्राएँ सुरक्षित रखें। संदेश में समस्या “ठीक” करने की पेशकश करने वाले किसी व्यक्ति को कभी OTP, पासवर्ड या रिकवरी वाक्यांश न भेजें।
उपयोगी सुरक्षा ऐसा खाता डिज़ाइन है जिसमें एक चोरी हुआ कारक बाकी सभी नियंत्रणों को दरकिनार न कर सके, और उसके साथ रिकवरी तथा सत्रों पर प्रतिक्रिया की स्पष्ट योजना हो।
