એક દાયકાથી વધુ સમયથી, પરંપરાગત સાયબર સુરક્ષા સૂત્ર હતું: «કોઈપણ 2FA ન હોવા કરતાં કોઈપણ 2FA હોવું સારું છે.» જ્યારે ઓછી મહેનતના, બલ્ક ક્રેડેન્શિયલ સ્ટફિંગ હુમલાઓ માટે તે સાચું રહે છે, પરંતુ SMS-આધારિત ટુ-ફેક્ટર ઓથેન્ટિકેશન એક વિનાશક સિંગલ પોઈન્ટ ઓફ ફેલ્યોર (single point of failure) માં પરિવર્તિત થઈ ગયું છે. ડાર્ક-વેબ પર મોટા પાયે વ્યક્તિગત ઓળખ માહિતી (PII) લીક, ટેલિકોમ્યુનિકેશન કેરિયર સ્ટોર્સમાં છેડછાડ અને Evilginx જેવા ઓટોમેટેડ Adversary-in-the-Middle (AiTM) રિવર્સ પ્રોક્સી ફ્રેમવર્ક્સ સાથે, SMS 2FA સુરક્ષાનો માત્ર એક ખોટો ભ્રમ આપે છે. આ તકનીકી દસ્તાવેજ વિશ્લેષણ કરે છે કે SMS વેરિફિકેશન કેવી રીતે અટકાવવામાં આવે છે અને શા માટે તમારી સુરક્ષા વ્યવસ્થાને તાત્કાલિક TOTP અને FIDO2 કી તરફ સ્થળાંતર કરવાની જરૂર છે.
01. SMS સુરક્ષાનો ભ્રમ અને ઐતિહાસિક વારસો
2000 ના દાયકાની શરૂઆતમાં, શૂન્ય વપરાશકર્તા ઘર્ષણને કારણે SMS-આધારિત વેરિફિકેશન ઓનલાઇન ઉપભોક્તા સુરક્ષા માટે મુખ્ય ધોરણ બની ગયું હતું. વપરાશકર્તાઓને સમર્પિત ક્રિપ્ટોગ્રાફિક એપ્લિકેશનો ઇન્સ્ટોલ કરવાની અથવા હાર્ડવેર કી ખરીદવાની જરૂર નહોતી. જ્યાં સુધી કોઈની પાસે મોબાઇલ ફોન હોય, ત્યાં સુધી 4 થી 6 અંકનો વેરિફિકેશન કોડ સીધો તેમના ખિસ્સામાં પહોંચાડી શકાતો હતો.
જોકે, શોર્ટ મેસેજ સર્વિસ (SMS) પ્રોટોકોલ મૂળરૂપે 1980 ના દાયકામાં યુરોપિયન ટેલિકોમ્યુનિકેશન્સ સ્ટાન્ડર્ડ્સ ઇન્સ્ટિટ્યૂટ (ETSI) દ્વારા GSM માનકીકરણ હેઠળ ઔપચારિક કરવામાં આવ્યો હતો. તે ક્યારેય ક્રિપ્ટોગ્રાફિક સિક્રેટ્સ વહન કરવા અથવા ઓળખ ચકાસણી પ્રોટોકોલ તરીકે સેવા આપવા માટે બનાવવામાં આવ્યો ન હતો. SMS સંદેશાઓમાં એન્ડ-ટુ-એન્ડ એન્ક્રિપ્શનનો અભાવ છે, મૂળ પ્રમાણીકરણનો અભાવ છે અને વપરાશકર્તાના સક્રિય વેબ બ્રાઉઝર સત્ર સાથે ક્રિપ્ટોગ્રાફિક ચેનલ બાઈન્ડિંગનો સંપૂર્ણ અભાવ છે.
ટેલિકોમ કેરિયર્સ સેલ્યુલર ટાવર પર હાલમાં નોંધાયેલા ઇન્ટરનેશનલ મોબાઇલ સબ્સ્ક્રાઇબર આઇડેન્ટિટી (IMSI) ના આધારે ટેક્સ્ટ સંદેશાઓ રૂટ કરે છે—નહીં કે ઉપકરણ ધરાવનાર વ્યક્તિની ઓળખના આધારે. જ્યારે તમે SMS 2FA પર આધાર રાખો છો, ત્યારે તમારી ડિજિટલ ઓળખ ક્રિપ્ટોગ્રાફી દ્વારા સુરક્ષિત નથી હોતી; તે સ્થાનિક મોબાઇલ ફોનની દુકાનમાં સૌથી ઓછા વેતનવાળા ગ્રાહક સપોર્ટ પ્રતિનિધિ દ્વારા સુરક્ષિત હોય છે.
02. એટેક વેક્ટર 1: SIM Swapping મિકેનિક્સનું ઊંડાણપૂર્વક વિશ્લેષણ
SIM Swapping (જેને SIM hijacking અથવા port-out scamming તરીકે પણ ઓળખવામાં આવે છે) એ ઉચ્ચ-સંપત્તિ ધરાવતા ક્રિપ્ટો ધારકો, કોર્પોરેટ એક્ઝિક્યુટિવ્સ અને સિસ્ટમ એડમિનિસ્ટ્રેટર્સ પર હુમલો કરતા લક્ષિત હુમલાખોરો માટે પસંદગીનું હથિયાર છે. હુમલાખોરને લક્ષ્યના હેન્ડસેટની ભૌતિક ઍક્સેસની જરૂર હોતી નથી.
SIM Swapping એટેક લાઇફસાયકલ:
હુમલાખોરો પીડિતના સોશિયલ સિક્યુરિટી નંબર (SSN), પૂરું નામ, જન્મ તારીખ, ઘરનું સરનામું અને પ્રાથમિક સેલ્યુલર કેરિયર એકત્રિત કરવા માટે ડાર્ક-વેબ બ્રીચ ડેટાબેઝમાંથી એગ્રીગેટેડ ડેટા ખરીદે છે.
હુમલાખોર સરળ ચકાસણી પ્રશ્નોના સફળતાપૂર્વક જવાબો આપીને "ખોવાયેલ અથવા ક્ષતિગ્રસ્ત સિમ" સાથે પીડિત હોવાનો ડોળ કરીને કેરિયર સપોર્ટને કૉલ કરે છે. વૈકલ્પિક રીતે, સાયબર ક્રાઇમ સિન્ડિકેટ્સ અનધિકૃત સિમ સ્વેપ દીઠ રિટેલ સ્ટોરના કર્મચારીઓને $500-$1,000 ની લાંચ આપે છે.
કેરિયર પીડિતનો MSISDN ફોન નંબર હુમલાખોરના સિમ કાર્ડ પર ટ્રાન્સફર કરે છે. પીડિતના ફોનનું નેટવર્ક કવરેજ તરત જ ઘટીને «No Service» અથવા «Emergency Calls Only» થઈ જાય છે. મોટાભાગના પીડિતો માને છે કે તે અસ્થાયી સેલ્યુલર ખામી છે, અને મહત્વપૂર્ણ 10-મિનિટની પ્રતિક્રિયા વિન્ડો ગુમાવી દે છે.
ફોન નંબર હાથમાં હોવાથી, હુમલાખોરો Gmail, Microsoft, Telegram, Binance અને ઓનલાઇન બેંકિંગ પર પાસવર્ડ રીસેટ વિનંતીઓ ચલાવે છે. આવતો દરેક SMS OTP સીધો હુમલાખોરના બર્નર ફોન પર આવે છે, જે ખાતા પર ત્વરિત સંપૂર્ણ નિયંત્રણ આપે છે.
- જેક ડોર્સી (Twitter ના CEO): ઓગસ્ટ 2019 માં, હેકર્સ દ્વારા ડોર્સીનું સિમ સ્વેપ કરવા માટે AT&T રિટેલ આઉટલેટને ટાર્ગેટ કરવામાં આવ્યું હતું, અને Twitter ના જૂના SMS-to-tweet ગેટવે (Cloudhopper) દ્વારા અપમાનજનક ટ્વીટ્સ પ્રકાશિત કરવા માટે તેમના હાઇજેક કરેલા ફોન નંબરનો ઉપયોગ કરવામાં આવ્યો હતો.
- યુ.એસ. સિક્યોરિટીઝ એન્ડ એક્સચેન્જ કમિશન (SEC) X એકાઉન્ટ (2024): હુમલાખોરોએ SEC ના અધિકૃત એકાઉન્ટ રિકવરી મોબાઇલ નંબર પર અનધિકૃત SIM સ્વેપ ચલાવ્યું, સ્પોટ બિટકોઇન ઇટીએફની મંજૂરીની ખોટી જાહેરાત કરી અને વૈશ્વિક બજારોમાં સેંકડો મિલિયન ડોલરના લિવરેજ્ડ ટ્રેડ્સ લિક્વિડેટ કરાવી દીધા.
03. એટેક વેક્ટર 2: SS7 અને સેલ્યુલર પ્રોટોકોલ્સનું શોષણ
જ્યારે SIM swapping માનવીય નિષ્ફળતા પર આધાર રાખે છે, ત્યારે Signaling System No. 7 (SS7) ની નબળાઈઓ વૈશ્વિક ટેલિકોમ્યુનિકેશન રૂટીંગમાં માળખાકીય ખામીઓનું શોષણ કરે છે.
1975 માં આર્કિટેક્ટ કરાયેલ, SS7 વિશ્વભરમાં સેંકડો ટેલ્કો વચ્ચે કૉલ સેટઅપ, નંબર ટ્રાન્સલેશન, SMS ડિલિવરી અને આંતરરાષ્ટ્રીય રોમિંગનું સંચાલન કરે છે. નિર્ણાયક રીતે, SS7 બ્લાઇન્ડ-ટ્રસ્ટ મોડેલ પર ડિઝાઇન કરવામાં આવ્યું હતું: SS7 બેકબોન સાથે જોડાયેલ કોઈપણ ટેલિકોમ પ્રદાતા સૌમ્ય અને અધિકૃત હોવાનું માનવામાં આવે છે.
આ પ્રતિકૂળ ગુપ્તચર એજન્સીઓ અથવા અત્યાધુનિક ગુનાહિત સિન્ડિકેટ્સને પીડિતને કંઈપણ શંકા ગયા વિના રાષ્ટ્રીય સરહદો પાર બેંકિંગ અને ક્રિપ્ટો OTP અટકાવવા સક્ષમ બનાવે છે. LTE Diameter પ્રોટોકોલ અપગ્રેડ સાથે પણ, લેગસી SS7 સાથે બેકવર્ડ સુસંગતતા સતત જોખમ ઊભું કરે છે.
04. એટેક વેક્ટર 3: રીઅલ-ટાઇમ AiTM ફિશિંગ (Evilginx ફ્રેમવર્ક)
ઘણા વપરાશકર્તાઓ ભૂલથી માને છે: «જો મારું સિમ કાર્ડ સ્વેપ ન થયું હોય, તો મારા ટેક્સ્ટ કોડ્સ સુરક્ષિત છે.» આ ધારણા Evilginx 3.0, Modlishka અને Muraena જેવા આધુનિક Adversary-in-the-Middle (AiTM) રિવર્સ પ્રોક્સી ટૂલ્સ સામે ભાંગી પડે છે.
પરંપરાગત ઓળખપત્ર હાર્વેસ્ટિંગ સ્થિર સ્પૂફ્ડ લૉગિન ફોર્મ્સ બનાવતું હતું. આજની આક્રમક રિવર્સ પ્રોક્સીઓ જીવંત પારદર્શક મધ્યસ્થી તરીકે કાર્ય કરે છે:
સ્થિર પાસવર્ડ્સ ચોરે છે. જો 2FA સક્ષમ હોય તો તરત જ નિષ્ફળ જાય છે કારણ કે હુમલાખોર 60-સેકન્ડની વિન્ડોમાં સમાપ્ત થતા OTP કોડને ફરીથી ચલાવી શકતો નથી.
વપરાશકર્તા અને કાયદેસર સર્વર વચ્ચે લાઇવ ટ્રાફિકનું સંચાલન કરે છે. જ્યારે વપરાશકર્તા તેનો SMS કોડ દાખલ કરે છે, ત્યારે પ્રોક્સી તેને તરત જ ફોરવર્ડ કરે છે, પ્રમાણીકરણ પૂર્ણ કરે છે અને પ્રમાણિત સત્ર કૂકીઝ (session cookies) અને OAuth બેરર ટોકન્સની ચોરી કરે છે.
login.example.com વિરુદ્ધ login.examp1e.com પર કોડ દાખલ કરવા વચ્ચે તફાવત કરી શકતો નથી. તેનાથી વિપરીત, FIDO2/WebAuthn પ્રમાણકર્તાઓ પબ્લિક-કી સિગ્નેચર્સને સીધા જ બ્રાઉઝરના મૂળ URL સાથે જોડે છે, જે ફિશિંગના પ્રયાસોને તરત જ અટકાવે છે.
05. એટેક વેક્ટર 4: IMSI કેચર્સ અને એન્ડ્રોઇડ ટ્રોજન
સ્થાનિક રેડિયો ફ્રિકવન્સી અને એન્ડપોઇન્ટ સ્તરે, SMS સંદેશાઓ વધુ ગંભીર નબળાઈઓનો સામનો કરે છે:
-
●
IMSI કેચર્સ (Stingrays) અને 2G ડાઉનગ્રેડ એટેક્સ: દૂષિત પોર્ટેબલ સેલ્યુલર બેઝ સ્ટેશનો ઉચ્ચ-પાવર બીકન સિગ્નલોનું પ્રસારણ કરે છે જે નજીકના હેન્ડસેટ્સને 4G/5G થી ડિસ્કનેક્ટ થવા અને લેગસી 2G (GSM) પર ડાઉનગ્રેડ થવા દબાણ કરે છે. GSM મોબાઇલ હેન્ડસેટ સાથે બેઝ સ્ટેશનને પ્રમાણિત કરતું ન હોવાથી, હુમલાખોરો હવા દ્વારા વૉઇસ કૉલ્સ અને પ્લેનટેક્સ્ટ SMS ટોકન્સને ડિક્રિપ્ટ કરવા માટે તૂટેલા A5/1 સાઇફર્સનું શોષણ કરે છે.
-
●
એન્ડ્રોઇડ SMS સ્નિફર માલવેર: ભ્રામક યુટિલિટી એપ્સ અથવા સાઇડલોડેડ APKs
android.permission.RECEIVE_SMSઅથવાBIND_NOTIFICATION_LISTENER_SERVICEપરવાનગીઓની વિનંતી કરે છે. એકવાર ઇન્સ્ટોલ થઈ ગયા પછી, બેકગ્રાઉન્ડ ડેમન્સ વેરિફિકેશન કોડ્સ આવે કે તરત જ તેને અટકાવે છે, અને તેને એન્ક્રિપ્ટેડ ટેલિગ્રામ બૉટો અથવા કમાન્ડ-એન્ડ-કંટ્રોલ સર્વર્સ દ્વારા રીઅલ ટાઇમમાં ફોરવર્ડ કરે છે.
06. NIST SP 800-63B ડેપ્રિકેશન માર્ગદર્શિકા
આ વિનાશક હુમલાના વેક્ટર્સને ઓળખીને, નેશનલ ઇન્સ્ટિટ્યૂટ ઓફ સ્ટાન્ડર્ડ્સ એન્ડ ટેકનોલોજી (NIST) એ તેના સીમાચિહ્નરૂપ ડિજિટલ ઓળખ ધોરણ, Special Publication 800-63B (Digital Identity Guidelines: Authentication and Lifecycle Management) માં સત્તાવાર રીતે SMS પ્રમાણીકરણને પ્રતિબંધિત કર્યું છે:
«PSTN સિસ્ટમ્સ (SMS અથવા વૉઇસ) નો ઉપયોગ કરીને આઉટ-ઓફ-બેન્ડ (OOB) પ્રમાણીકરણને ઔપચારિક રીતે પ્રતિબંધિત (RESTRICTED) તરીકે નિયુક્ત કરવામાં આવ્યું છે. SMS વેરિફિકેશન ગોઠવતી સિસ્ટમોએ SIM સ્વેપિંગ, નંબર સ્પૂફિંગ, સિગ્નલિંગ ઇન્ટરસેપ્શન અને ડિવાઇસ ક્લોનિંગના જોખમોને સ્પષ્ટપણે દસ્તાવેજીકૃત કરવા અને સ્વીકારવા આવશ્યક છે. ઓથેન્ટિકેટર એશ્યોરન્સ લેવલ 2 (AAL2) અથવા તેથી વધુનું પાલન કરતી સંસ્થાઓ માટે, ક્રિપ્ટોગ્રાફિક મલ્ટી-ફેક્ટર ઓથેન્ટિકેટર્સ (TOTP એપ્સ અથવા હાર્ડવેર FIDO ટોકન્સ) નો ઉપયોગ સખત રીતે આવશ્યક છે.»
યુરોપિયન સત્તાવાળાઓ (ENISA) અને સાયબર સિક્યુરિટી એન્ડ ઇન્ફ્રાસ્ટ્રક્ચર સિક્યુરિટી એજન્સી (CISA) એ પણ આ નીતિનો પુનરોચ્ચાર કર્યો છે, જેમાં એન્ટરપ્રાઇઝિસ અને સરકારી સંસ્થાઓને તેમના નિર્ણાયક ઇન્ફ્રાસ્ટ્રક્ચરમાંથી SMS ઓથેન્ટિકેશનને ઝડપથી તબક્કાવાર બંધ કરવાનો નિર્દેશ આપવામાં આવ્યો છે.
07. આર્કિટેક્ચર સરખામણી: SMS વિરુદ્ધ TOTP વિરુદ્ધ FIDO2
શા માટે ટાઇમ-આધારિત વન-ટાઇમ પાસવર્ડ (RFC 6238 TOTP) મૂળભૂત રીતે SMS કરતાં ચડિયાતો છે? નીચેનું સરખામણી કોષ્ટક આર્કિટેક્ચરલ સુરક્ષા લાક્ષણિકતાઓની રૂપરેખા આપે છે:
| સુરક્ષા પરિમાણ | SMS વેરિફિકેશન | TOTP Authenticator (RFC 6238) | Hardware FIDO2 / YubiKey |
|---|---|---|---|
| ડિલિવરી ચેનલ | સેલ્યુલર ટેલ્કો નેટવર્ક | 100% ક્લાયન્ટ-સાઇડ લોકલ મેથ્સ | લોકલ સિક્યોર એલિમેન્ટ ચિપ |
| SIM Swap પ્રતિકાર | શૂન્ય (ત્વરિત હાઇજેક) | સુરક્ષિત (ફોન નંબરથી સ્વતંત્ર) | સુરક્ષિત (હાર્ડવેર આઇસોલેટેડ) |
| SS7 સિગ્નલિંગ ઇન્ટરસેપ્શન | સંવેદનશીલ | સુરક્ષિત (શૂન્ય નેટવર્ક પેકેટ્સ) | સુરક્ષિત (કોઈ નેટવર્ક ટ્રાન્ઝિટ નહીં) |
| IMSI કેચર / 2G ડાઉનગ્રેડ | સંવેદનશીલ | સુરક્ષિત | સુરક્ષિત |
| AiTM રિવર્સ પ્રોક્સી (Evilginx) | સરળતાથી બાયપાસ થાય છે | મધ્યમ (સાવધાની જરૂરી) | સંપૂર્ણ સુરક્ષિત (ઓરિજિન બાઈન્ડિંગ) |
| એરોપ્લેન મોડ / ઑફલાઇન ઉપયોગ | અનુપલબ્ધ | સંપૂર્ણપણે કાર્યાત્મક (માત્ર ટાઇમસ્ટેમ્પ) | સંપૂર્ણપણે કાર્યાત્મક |
| અમલીકરણ ખર્ચ | SMS દીઠ કેરિયર ફી | મફત અને ઓપન સ્ટાન્ડર્ડ | હાર્ડવેર ટોકન ($45 - $80) |
08. વ્યવહારુ સંરક્ષણ અને સ્થળાંતર રોડમેપ
આ નબળાઈને દૂર કરવા માટે તમારું સેલ્યુલર સિગ્નલ રહસ્યમય રીતે ગાયબ થઈ જાય ત્યાં સુધી રાહ જોશો નહીં. આજે જ આ નક્કર પગલાં લો:
Google, Apple ID, GitHub, Binance, Kraken અને તમારા પ્રાથમિક ઇમેઇલ પ્રદાતાઓમાં લૉગ ઇન કરો. ઓથેન્ટિકેટર એપ્લિકેશન (જેમ કે Aegis, 2FAS, અથવા Bitwarden) અથવા હાર્ડવેર સુરક્ષા કી રજીસ્ટર કરો. જો મંજૂરી હોય, તો ફોલબેક પુનઃપ્રાપ્તિ પદ્ધતિ તરીકે SMS ને સ્પષ્ટપણે અક્ષમ કરો.
તમારા ટેલિકોમ પ્રદાતા (Airtel, Jio, Vi, Vodafone, વગેરે) નો સંપર્ક કરો અને ફરજિયાત પોર્ટ-આઉટ PIN અથવા "એકાઉન્ટ ટેકઓવર ફ્રીઝ" ગોઠવો. iOS/Android સેટિંગ્સમાં ઉપકરણ પર SIM PIN સક્ષમ કરો જેથી ચોરાયેલું ભૌતિક સિમ કાર્ડ બીજા ફોનમાં દાખલ કરી શકાતું નથી.
જ્યારે પણ તમે ઓથેન્ટિકેટર સેટ કરો છો, ત્યારે 16-અક્ષરની રો Base32 સિક્રેટ કીને ઑફલાઇન ભૌતિક માધ્યમ (કાગળ અથવા એન્ક્રિપ્ટેડ કોલ્ડ સ્ટોરેજ) પર સંગ્રહિત કરો અને એકાઉન્ટના 10 સિંગલ-યુઝ ઇમરજન્સી રિકવરી કોડ્સ સાચવો.
09. વારંવાર પૂછાતા પ્રશ્નો (FAQ)
પ્ર1: શું બિલકુલ સેકન્ડ ફેક્ટર ન હોવા કરતાં SMS 2FA હજુ પણ સારું નથી? ▼
નબળા પુનઃઉપયોગમાં લેવાયેલા પાસવર્ડ્સ શોધતા મૂળભૂત ઓટોમેટેડ બોટ હુમલાઓ માટે, SMS 2FA નામમાત્ર સુરક્ષા પ્રદાન કરે છે. જોકે, SMS 2FA નો વિરોધાભાસ એ છે કે સેવાઓ તમારા ફોન નંબરને અચૂક માસ્ટર રિકવરી કી તરીકે ગણે છે. જો કોઈ લક્ષિત હુમલાખોર તમારું સિમ સ્વેપ કરે છે, તો SMS સંરક્ષણ બનવાનું બંધ કરે છે અને તમારી પાસે રહેલા દરેક પાસવર્ડને રીસેટ કરવા માટે વપરાતું શસ્ત્ર બની જાય છે.
પ્ર2: શું eSIM નો ઉપયોગ કરવાથી મને SIM swapping થી રક્ષણ મળે છે? ▼
ના. eSIM ભૌતિક કાર્ડની ચોરી સામે રક્ષણ આપે છે, પરંતુ તે સોશિયલ એન્જિનિયરિંગ સામે રક્ષણ આપતું નથી. કેરિયર પ્રતિનિધિને તમારો નંબર ફરીથી સોંપવા માટે રાજી કરનાર હુમલાખોરો ફક્ત ઇલેક્ટ્રોનિક eSIM QR કોડ મેળવે છે, અને સેકન્ડોમાં ઇન્ટરનેટ દ્વારા તમારા નંબરને તેમના ઉપકરણ પર ડાઉનલોડ કરી લે છે.
પ્ર3: શા માટે રિટેલ બેંકો હજુ પણ SMS ચકાસણી ફરજિયાત કરે છે? ▼
વસ્તી વિષયક જડતા અને ગ્રાહક સપોર્ટ ઓવરહેડને કારણે. લાખો બિન-તકનીકી બેંકિંગ ગ્રાહકોને ઓથેન્ટિકેટર એપ્સ તરફ દબાણ કરવાથી કૉલ સેન્ટરો પર ભારે બોજ પડશે. બેંકો તેના બદલે બેકગ્રાઉન્ડ રિસ્ક મોડેલો (જેમ કે છેલ્લા 24 કલાકમાં સિમ ફરીથી અસાઇન કરવામાં આવ્યું હતું કે કેમ તે ચકાસવા માટે ટેલ્કોસની પૂછપરછ કરવી) પર આધાર રાખીને વાર્ષિક કરોડો ડોલરની છેતરપિંડીની જવાબદારી સ્વીકારે છે.
પ્ર4: જો મારા સ્માર્ટફોન પર «No Service» દેખાય તો મારે તરત શું કરવું જોઈએ? ▼
તેને ગંભીર સુરક્ષા ઘટના ગણો. તરત જ Wi-Fi સાથે કનેક્ટ થાઓ, લેન્ડલાઇન અથવા વૈકલ્પિક ઉપકરણ પરથી તમારા સેલ્યુલર કેરિયરને કૉલ કરો અને ખાતરી કરો કે તમારો નંબર પોર્ટ આઉટ થયો છે કે નહીં. સાથોસાથ તમારા ક્રિપ્ટોકરન્સી એક્સચેન્જ એકાઉન્ટ્સ ફ્રીઝ કરો અને ડેસ્કટોપ કમ્પ્યુટર પરથી તમારા મુખ્ય ઇમેઇલ પાસવર્ડ્સ બદલો.
પ્ર5: શું મારા સિમને સ્વેપ કરનાર હુમલાખોર મારા TOTP ઓથેન્ટિકેટર સાથે ચેડાં કરી શકે છે? ▼
ના. ઓથેન્ટિકેટર એપ્સ તમારા ડિવાઇસના આઇસોલેટેડ હાર્ડવેર કીસ્ટોરની અંદર સંગ્રહિત પ્રી-શેર્ડ ક્રિપ્ટોગ્રાફિક કીનો ઉપયોગ કરીને સ્થાનિક રીતે કોડ્સની ગણતરી કરે છે. સેલ્યુલર નેટવર્ક પાસે આ કીની શૂન્ય ઍક્સેસ હોય છે. જો હુમલાખોર તમારા ફોન નંબરને સંપૂર્ણપણે નિયંત્રિત કરે તો પણ, તેઓ તમારા TOTP કોડ જનરેટ કરી શકતા નથી.
તમારા બ્રાઉઝરમાં સીધા જ સુરક્ષિત TOTP કોડ જનરેટ કરો
સેલ્યુલર ઇન્ટરસેપ્ટ જોખમોને અલવિદા કહો. 2FA-Tool તમારી કીને ખાનગી અને ઑફલાઇન રાખીને તમારા સ્થાનિક બ્રાઉઝર સેન્ડબોક્સમાં શુદ્ધપણે RFC 6238 કોડ જનરેટ કરવા માટે W3C Web Crypto API નો ઉપયોગ કરે છે.