To-faktor SMS-godkjenning vil ikke beskytte deg hvis hackere kan avskjære meldingene dine

For enkelhets skyld beskriver eksperter ofte to-faktor autentisering (2FA) som et system som lar deg logge inn på kontoen din bare hvis du oppgir noe du vet så vel som noe du har.

Det du vet er åpenbart - riktig brukernavn og passordkombinasjon. Det du har, er imidlertid en annen historie. Med noen få unntak gir du faktisk ikke noe du har med deg. Du skriver vanligvis inn en midlertidig kode som på en eller annen måte vises på en enhet du har. Og hvilken enhet har du til enhver tid? Det stemmer, mobiltelefonen din.

SMS og tofaktorautentisering

Det er en åpenbar løsning å sende den midlertidige passordet til mobiltelefonen din. Det er raskt, det er billig, og for en stund var det ingen andre alternativer. Til i dag er det mange online tjenester som tilbyr denne typen tofaktorautentisering, og mange bruker den, og tenker at det er den mest fornuftige tingen i verden.

Sikkerhetsspesialister har imidlertid vært i tvil en stund. Saken er at når de gir uttrykk for bekymring, blir de ofte kritisert for å være altfor paranoide, og det må sies at scenariene noen av dem beskriver ikke nå og igjen ikke er veldig sannsynlige, spesielt ikke når det gjelder vanlige brukere. Når det gjelder SMS og tofaktorautentisering, er frykten imidlertid basert på kalde, harde fakta om den aktuelle teknologien, og de bør ikke avfeies lett.

SS7 - den gamle teknologien som vi fremdeles bruker for å sende og motta SMSer

Signalingssystem nr. 7 (SS7) er en samling protokoller som vi har brukt til blant annet å overføre tekstmeldinger helt siden de første mobiltelefonene kom ut. De faktiske protokollene ble utviklet helt tilbake i 1975, og som enhver teknologi som er mer enn førti år gammel, har de også vist seg å ha en eller to ulemper.

Fra et sikkerhetsmessig synspunkt har ting vært spesielt bekymringsfullt, spesielt i løpet av det siste tiåret eller så. Eksperter har snakket om sårbarheter i SS7 siden 2008, med de første manglene som tillater sporing av ofre, og med senere funn som lar kjeltringer videresende og avlytte samtaler og meldinger. I teorien er det bare telekommunikasjonsleverandører som skal ha tilgang til SS7-nettverk, men i virkeligheten kan hvem som helst gå til underjordiske markeder og kjøpe verktøy som vil tillate dem å skumme gjennom informasjonsflyten.

Så snart de fant de første sårbarhetene, erklærte eksperter SS7 utilstrekkelig for å beskytte brukernes personvern og sa at noe mer moderne burde erstatte det. Tilsynelatende trodde imidlertid telekommunikasjonsleverandørene at trusselen ikke er så alvorlig, og sikkerhetssamfunnets samtaler ble ignorert. I 2017 skjedde det uunngåelige.

Den tyske filialen av O2-Telefonica, en europeisk leverandør av mobiltjenester, innrømmet at noen av kundene har fått bankkontiene sine tappet etter at kriminelle utnyttet en feil i SS7-nettverket. Først brukte hackerne sosialteknikk for å lure ofre til å installere skadelig programvare på datamaskinene sine. Bevæpnet med stjålne brukernavn, passord og telefonnummer prøvde skurkene å logge seg på brukernes kontoer midt på natten. Deretter fanget de sms-ene med tofaktorautentiseringskodene og forsøkte vellykket av pengene.

I kjølvannet av hendelsen begynte flere å presse på for en nyere teknologi for å erstatte SS7, men faktum er at for øyeblikket har vi rett og slett ikke noe alternativ. Dette, sammen med trusselen om SIM-bytte, gjør SMS som et medium for å overføre 2FA-koder mindre enn perfekt. Betyr dette at du ikke under noen omstendigheter bør bruke SMS-tofaktorautentisering?

SMS-tofaktorautentisering er bedre enn ingen tofaktorautentisering

SMS-en, spesielt når den brukes til noe så følsom som 2FA-koder, har sine feil. Det må imidlertid sies at noen mennesker blir litt revet med advarslene. SS7-angrep er faktisk ikke bare en teoretisk mulighet, men et faktum om livet, slik kunder hos O2-Telefonica kan vitne. Denne typen kriminalitet kan imidlertid bare gjøres av sofistikerte hackinggrupper som er både dyktige og høyt motiverte. Og i motsetning til folketro, er det ikke så mange av de rundt. De fleste av nettkriminelle som bytter brukere, har verken kunnskap eller ressurser til å trekke et slikt angrep. Det samme gjelder for SIM-bytte.

Og i alle fall, selv om de er dyktige nok til å avskjære tekstmeldinger, ved å aktivere tofaktorautentisering, gjør du i det minste deres liv mye vanskeligere. Det er alltid bra.

Du bør vite nå at det er noen få alternativer. To-faktor autentiseringsapper som Google Authenticator genererer kodene sine lokalt, noe som betyr at skurker ikke kan avskjære dem. Og hvis du vil være enda sikrere, kan du alltid se på U2F-godkjenningstokener.

Til og med disse alternativene er ikke feilfrie, men spesielt hvis du beskytter noe viktig som e-postadressen din eller nettbanken din, gjør de en mye bedre jobb enn tekstmeldinger. Sjekk 2FA-alternativene for alle tjenestene du bruker, og hvis du kan velge noe sikrere enn tekstmeldinger, må du sørge for at du gjør det. Selv om SMSer er det eneste alternativet, bør du sørge for at 2FA er aktivert.