A két tényezőjű SMS-hitelesítés nem fog védelmet nyújtani, ha a hackerek meg tudják szakítani az üzeneteidet

Az egyszerűség kedvéért a szakértők gyakran írják kéttényezős hitelesítést (2FA) olyan rendszer, amely lehetővé teszi, hogy jelentkezzen be a fiókjába, ha az Ön által megadott amiről tudja, valamint valami van.

A dolog, amit tudsz, nyilvánvaló - a helyes felhasználónév és jelszó kombinációja. A másik dolog, amiben van. Néhány kivételtől eltekintve nem ad valamit, ami magával van. Általában be egy ideiglenes kódot, hogy valahogy úgy tűnik, egy eszközön van. És melyik eszköz van mindig veled? Így van, a mobiltelefonod.

SMS és két tényezős hitelesítés

Az ideiglenes jelszó elküldése a mobiltelefonra egyértelmű megoldás. Gyors, olcsó, és egy ideig nem volt más alternatíva. A mai napig számos online szolgáltatás kínál ilyen típusú kétfaktoros hitelesítést, és sokan használják azt, gondolva, hogy ez a legérzékenyebb dolog a világon.

A biztonsági szakembereknek azonban egy ideje vannak kétségeik. A helyzet az, hogy amikor aggodalmukat fejezik ki, gyakran bírálják őket túlságosan paranoid jellegük miatt, és el kell mondani, hogy egyes esetekben néhány általuk leírt forgatókönyv nem mindig hihető, főleg a szokásos felhasználókat illetően. Az SMS és a két tényezővel történő hitelesítés esetében azonban a félelmek a szóban forgó technológiával kapcsolatos hideg, nehéz tényekre épülnek, és ezeket nem szabad könnyedén elutasítani.

SS7 - az ősi technológia, amelyet továbbra is használunk SMS-ek küldésére és fogadására

A 7. sz. Jelzőrendszer (SS7) olyan protokollok gyűjteménye, amelyeket többek között szöveges üzenetek továbbítására használunk az első mobiltelefonok megjelenése óta. A tényleges protokollokat már 1975-ben fejlesztették ki, és mint minden negyven évnél régebbi technológia, ezek is bizonyították, hogy vannak egy vagy két hátrányuk.

Biztonsági szempontból a dolgok különösen aggasztóak, különösen az elmúlt évtizedben. A szakértők 2008 óta beszélnek az SS7 sérülékenységeiről, az első hibákkal lehetővé téve az áldozatok nyomon követését, a későbbi felfedezésekkel pedig lehetővé tette a csalók számára, hogy elrejtsék a hívásokat és üzeneteket. Elméletileg csak a telekommunikációs szolgáltatók férhetnek hozzá az SS7 hálózatokhoz, de a valóságban bárki elmehet a föld alatti piacokra és olyan eszközöket vásárolhat, amelyek lehetővé teszik számukra az információáramláson keresztül történő átjutást.

Amint megtalálták az első sebezhetőséget, a szakértők az SS7-et nem megfelelőnek nyilvánították a felhasználók magánéletének védelme érdekében, és azt állították, hogy valami modernabbnak kell helyettesítenie. Nyilvánvalóan azonban a távközlési szolgáltatók úgy gondolták, hogy a fenyegetés nem olyan súlyos, és a biztonsági közösség hívásait figyelmen kívül hagyták. 2017-ben az elkerülhetetlen történt.

Az O2-Telefonica, az európai mobilszolgáltató német fióktelepe elismerte, hogy néhány ügyfelének bankszámláját leürítették, miután a bűnözők kihasználták az SS7 hálózat hibáját. Először, a hackerek a társadalmi mérnökök segítségével becsapják az áldozatokat a rosszindulatú programok telepítésébe számítógépükre. Lopott felhasználónevekkel, jelszavakkal és telefonszámokkal felfegyverkezve a csalók éjszaka megpróbálták bejelentkezni a felhasználói fiókokba.. Ezután elfogták az SMS-eket a két tényezőjű hitelesítési kódokkal, és sikeresen elrontották a pénzt.

Az esemény következményeként egyre több ember kezdte az SS7 helyett újabb technológiát szorgalmazni, de az a tény, hogy pillanatnyilag egyszerűen nincs alternatíva. Ez a SIM-csere fenyegetése mellett az SMS-t méltányossá teszi a 2FA-kód átviteléhez. Ez azt jelenti, hogy semmilyen körülmények között nem szabad soha használni az SMS két faktoros hitelesítést?

Az SMS kéttényezős hitelesítés jobb, mint ha nincs kétfaktora hitelesítés

Az SMS-nek hibái vannak, különösen akkor, ha olyan érzékeny dolgokra használják, mint a 2FA-kódokat. Azt kell azonban mondani, hogy néhány ember egy kicsit elviszi a figyelmeztetéseket. Valójában az SS7 támadások nem csupán elméleti lehetőség, hanem életfelfogás is, ahogyan az O2-Telefonica ügyfelei tanúvallomást tehetnek. Az ilyen típusú bűncselekményeket csak kifinomult csapkodó csoportok követhetik el, akik ugyanakkor magasan képzettek és motiváltak is. És a közhiedelemmel ellentétben, a környéken nincs ilyen sokan. A felhasználók elkísérlő számítógépes bűnözők többségének nincs ismerete és erőforrása az ilyen támadás elhárításához. Ugyanez vonatkozik a SIM-cserére.

És mindenesetre, még ha elég képzettek is a szöveges üzenetek elfogására, a két tényezővel történő hitelesítés bekapcsolásával Ön legalábbis sokkal nehezebbé teszi életét. Ez mindig jó dolog.

Mostanra tudnia kell, hogy van néhány alternatíva. Két tényezőjű hitelesítő alkalmazások, például a Google Authenticator, helyben generálják kódjaikat, azaz a csalók nem tudják elfogni őket. És ha még biztonságosabb akar lenni, akkor mindig megnézheti az U2F hitelesítési tokeneket.

Még ezek az opciók sem hibátlanok, de főleg, ha olyasmit véd, mint például az e-mail vagy az online bankszámla, sokkal jobb munkát végeznek, mint a szöveges üzenetek. Ellenőrizze a 2FA opciókat az összes használt szolgáltatásnál, és ha valami biztonságosabbat választhat, mint a szöveges üzenetek, akkor mindenképpen tegye meg. Még ha az SMS-ek is az egyetlen lehetőség, győződjön meg arról, hogy a 2FA engedélyezve van.