Vairāk nekā desmit gadus vispārpieņemtais kiberdrošības princips bija: "Jebkura 2FA ir labāka par nekādu 2FA." Lai gan tas joprojām attiecas uz zemas sarežģītības masveida akreditācijas datu pildīšanas uzbrukumiem, SMS divfaktoru autentifikācija ir kļuvusi par katastrofālu viena punkta atteices risku. Ņemot vērā masveida personu identificējošās informācijas (PII) noplūdes tumšajā tīmeklī, kompromitētus telekomunikāciju operatoru veikalus un automatizētas starpnieka (AiTM) reversā starpniekservera sistēmas, piemēram, Evilginx, SMS 2FA sniedz tikai viltus drošības sajūtu. Šis tehniskais dokuments analizē, kā tiek pārtverta SMS verifikācija un kāpēc jūsu drošības stāvoklis prasa tūlītēju pāreju uz TOTP un FIDO2 atslēgām.
01. SMS drošības ilūzija un vēsturiskais mantojums
2000. gadu sākumā SMS verifikācija kļuva par dominējošo standartu tiešsaistes patērētāju drošībā, jo tā neradīja nekādus šķēršļus lietotājiem. Lietotājiem nebija jāinstalē īpašas kriptogrāfiskas lietotnes vai jāpērk aparatūras atslēgas. Kamēr vien personai bija mobilais tālrunis, 4 līdz 6 ciparu verifikācijas kodu varēja nosūtīt tieši uz kabatu.
Tomēr īsziņu pakalpojuma (SMS) protokols sākotnēji tika formalizēts 1980. gados saskaņā ar GSM standartizāciju Eiropas Telekomunikāciju standartu institūtā (ETSI). Tas nekad netika izstrādāts kriptogrāfisko noslēpumu pārsūtīšanai vai identitātes verifikācijas nodrošināšanai. SMS ziņojumiem trūkst pilnīgas šifrēšanas (end-to-end encryption), izcelsmes autentifikācijas un pilnībā trūkst kriptogrāfiskas kanāla piesaistes lietotāja aktīvajai tīmekļa pārlūkprogrammas sesijai.
Telekomunikāciju operatori maršrutē īsziņas, pamatojoties uz starptautisko mobilā abonenta identitāti (IMSI), kas pašlaik ir reģistrēta bāzes stacijā, nevis pamatojoties uz cilvēka, kurš tur ierīci, identitāti. Paļaujoties uz SMS 2FA, jūsu digitālo identitāti neaizsargā kriptogrāfija; to aizsargā vietējā mobilo sakaru veikala viszemāk apmaksātais klientu atbalsta darbinieks.
02. Uzbrukuma vektors 1: Padziļināta SIM maiņas mehānikas analīze
SIM maiņa (pazīstama arī kā SIM sagrābšana vai numura pārnešanas krāpšana) ir mērķtiecīgu uzbrucēju izvēlētais ierocis pret turīgiem kriptovalūtu turētājiem, uzņēmumu vadītājiem un sistēmu administratoriem. Uzbrucējam nav nepieciešama fiziska piekļuve mērķa tālrunim.
SIM maiņas uzbrukuma dzīves cikls:
Uzbrucēji iegādājas apkopotus datus no tumšā tīmekļa noplūžu datubāzēm, lai iegūtu upura personas kodu, pilnu vārdu, dzimšanas datumu, mājas adresi un primāro mobilo sakaru operatoru.
Uzbrucējs zvana operatora atbalsta dienestam, uzdodoties par upuri ar "pazaudētu vai bojātu SIM karti", un veiksmīgi atbild uz vienkāršiem verifikācijas jautājumiem. Alternatīvi kibernoziedznieku sindikāti maksā mazumtirdzniecības veikalu darbiniekiem 500–1000 ASV dolāru lielus kukuļus par katru neatļautu SIM maiņu.
Operators pārvieto upura MSISDN tālruņa numuru uz uzbrucēja SIM karti. Upura tālrunis nekavējoties zaudē mobilo sakaru signālu, parādoties paziņojumam "No Service" vai "Tikai ārkārtas zvani". Lielākā daļa upuru pieņem, ka tas ir īslaicīgs sakaru traucējums, izšķērdējot izšķirošo 10 minūšu reakcijas logu.
Ieguvuši tālruņa numuru, uzbrucēji veic paroles atiestatīšanas pieprasījumus pakalpojumos Gmail, Microsoft, Telegram, Binance un internetbankās. Katrs ienākošais SMS OTP nonāk tieši uzbrucēja tālrunī, nodrošinot tūlītēju un pilnīgu kontroli pār kontiem.
- Džeks Dorsijs (Twitter izpilddirektors): 2019. gada augustā hakeri vērsās pret AT&T mazumtirdzniecības veikalu, lai nomainītu Dorsija SIM karti, izmantojot viņa nozagto numuru aizskarošu tvītu publicēšanai, izmantojot Twitter mantoto SMS vārteju (Cloudhopper).
- ASV Vērtspapīru un biržu komisijas (SEC) X konts (2024): Uzbrucēji veica neatļautu SIM maiņu SEC oficiālā konta atkopšanas mobilajam numuram, nepatiesi paziņojot par Spot Bitcoin ETF apstiprināšanu un izraisot simtiem miljonu dolāru zaudējumus likvidētos tirdzniecības darījumos visā pasaulē.
03. Uzbrukuma vektors 2: SS7 un mobilo sakaru protokolu izmantošana
Kamēr SIM maiņa balstās uz cilvēciskām kļūdām, Signalizācijas sistēmas Nr. 7 (SS7) ievainojamības izmanto globālās telekomunikāciju maršrutēšanas strukturālos trūkumus.
1975. gadā izstrādātā SS7 pārvalda zvanu iestatīšanu, numuru translāciju, SMS piegādi un starptautisko viesabonēšanu starp simtiem telekomunikāciju operatoru visā pasaulē. Būtiski, ka SS7 tika izstrādāta, balstoties uz akla uzticēšanās modeli: tiek pieņemts, ka jebkurš telekomunikāciju pakalpojumu sniedzējs, kas ir savienots ar SS7 maģistrāli, ir uzticams un autorizēts.
Tas ļauj naidīgiem izlūkdienestiem vai sarežģītiem noziedzīgiem grupējumiem pārtvert banku un kriptovalūtu OTP pāri valstu robežām bez upura aizdomām. Pat ar LTE Diameter protokola jauninājumiem atpakaļejošā saderība ar mantoto SS7 rada pastāvīgu apdraudējumu.
04. Uzbrukuma vektors 3: Reāllaika AiTM pikšķerēšana (Evilginx ietvars)
Daudzi lietotāji kļūdaini uzskata: "Ja mana SIM karte nav nomainīta, mani SMS kodi ir drošībā." Šis pieņēmums sabrūk, saskaroties ar moderniem starpnieka (AiTM) reversā starpniekservera rīkiem, piemēram, Evilginx 3.0, Modlishka un Muraena.
Tradicionālā akreditācijas datu ievākšana radīja statiskas viltotas pieteikšanās veidlapas. Mūsdienu uzbrukuma reversie starpniekserveri darbojas kā reāllaika caurspīdīgi starpnieki:
Nozog statiskas paroles. Nekavējoties neizdodas, ja ir iespējota 2FA, jo uzbrucējs nevar atkārtoti izmantot derīgumu zaudējošo OTP kodu 60 sekunžu logā.
Pārsūta reāllaika trafiku starp lietotāju un likumīgo serveri. Kad lietotājs ievada savu SMS kodu, starpniekserveris to nekavējoties pārsūta, pabeidz autentifikāciju un nozog autentificētās sesijas sīkfailus un OAuth bearer marķierus.
login.example.com no login.examp1e.com. Turpretī FIDO2/WebAuthn autentifikatori piesaista publiskās atslēgas parakstus tieši pārlūkprogrammas izcelsmes URL, acumirklī apturot pikšķerēšanas mēģinājumus.
05. Uzbrukuma vektors 4: IMSI uztvērēji un Android trojieši
Lokālo radiofrekvenču un gala ierīču līmenī SMS ziņojumi saskaras ar vēl smagākām ievainojamībām:
-
●
IMSI uztvērēji (Stingrays) un 2G pazemināšanas uzbrukumi: Viltotas portatīvās mobilo sakaru bāzes stacijas pārraida lieljaudas signālus, kas liek tuvumā esošajiem tālruņiem atvienoties no 4G/5G un pāriet uz mantoto 2G (GSM). Tā kā GSM neautentificē bāzes staciju mobilajā tālrunī, uzbrucēji izmanto uzlauztos A5/1 šifrus, lai pārtvertu un atšifrētu balss zvanus un vienkārša teksta SMS kodus tieši no ētera.
-
●
Android SMS pārtveršanas ļaunprogrammatūra: Maldinošas utilītas vai ārpus veikala lejupielādēti APK pieprasa
android.permission.RECEIVE_SMSvaiBIND_NOTIFICATION_LISTENER_SERVICEatļaujas. Pēc instalēšanas fona procesi pārtver verifikācijas kodus to saņemšanas brīdī, reāllaikā pārsūtot tos caur šifrētiem Telegram botiem vai vadības serveriem.
06. NIST SP 800-63B novecošanās vadlīnijas
Atzīstot šos katastrofālos uzbrukuma vektorus, Nacionālais standartu un tehnoloģiju institūts (NIST) oficiāli ierobežoja SMS autentifikāciju savā nozīmīgajā identitātes standartā Special Publication 800-63B (Digitālās identitātes vadlīnijas: Autentifikācija un dzīves cikla pārvaldība):
"Ārpusjoslas (OOB) autentifikācija, izmantojot PSTN sistēmas (SMS vai balsi), ir oficiāli noteikta kā RESTRICTED (IEROBEŽOTA). Sistēmām, kas ievieš SMS verifikāciju, ir skaidri jādokumentē un jāpieņem eksistenciālie riski, kas saistīti ar SIM maiņu, numuru viltošanu, signalizācijas pārtveršanu un ierīču klonēšanu. Organizācijām, kas ievēro 2. autentifikatora nodrošinājuma līmeni (AAL2) vai augstāku, stingri tiek prasīta kriptogrāfisko daudzfaktoru autentifikatoru (TOTP lietotņu vai aparatūras FIDO marķieru) izmantošana."
Eiropas iestādes (ENISA) un Kiberdrošības un infrastruktūras drošības aģentūra (CISA) ir atbalstījušas šo politiku, aicinot uzņēmumus un valsts iestādes pakāpeniski un apņēmīgi atteikties no SMS autentifikācijas kritiskajās infrastruktūrās.
07. Arhitektūras salīdzinājums: SMS pret TOTP pret FIDO2
Kāpēc uz laiku balstīta vienreizējā parole (RFC 6238 TOTP) ir fundamentāli pārāka par SMS? Zemāk esošā salīdzināšanas matrica iezīmē arhitektūras drošības īpašības:
| Drošības dimensija | SMS verifikācija | TOTP autentifikators (RFC 6238) | Aparatūras FIDO2 / YubiKey |
|---|---|---|---|
| Piegādes kanāls | Mobilo sakaru tīkls | 100% klienta puses lokālā matemātika | Lokāla Secure Element mikroshēma |
| Noturība pret SIM maiņu | Nulle (uzreiz tiek sagrābta) | Imūna (neatkarīga no tālruņa numura) | Imūna (aparatūras līmenī izolēta) |
| SS7 signalizācijas pārtveršana | Ievainojama | Imūna (nulle tīkla pakešu) | Imūna (nav tīkla pārraides) |
| IMSI uztvērējs / 2G pazemināšana | Ievainojama | Imūna | Imūna |
| AiTM reversais starpniekserveris (Evilginx) | Viegli apejama | Mērena (prasa modrību) | Lieliska (izcelsmes piesaiste) |
| Lidmašīnas režīms / bezsaistes lietošana | Nav pieejams | Pilnībā funkcionāla (tikai laika zīmogs) | Pilnībā funkcionāla |
| Ieviešanas izmaksas | Piegādātāja maksa par katru SMS | Bezmaksas un atvērts standarts | Aparatūras marķieris ($45 - $80) |
08. Praktiska aizsardzība un migrācijas ceļvedis
Negaidiet, līdz jūsu mobilā tālruņa signāls noslēpumaini pazūd, lai novērstu šo ievainojamību. Veiciet šīs konkrētās darbības jau šodien:
Piesakieties pakalpojumos Google, Apple ID, GitHub, Binance, Kraken un savos galvenajos e-pasta kontos. Pievienojiet autentifikatora lietotni (piemēram, Aegis, 2FAS vai Bitwarden) vai aparatūras drošības atslēgu. Ja iespējams, skaidri atspējojiet SMS kā rezerves atkopšanas metodi.
Sazinieties ar savu mobilo sakaru operatoru un iestatiet obligātu numura pārnešanas PIN kodu vai "Konta pārņemšanas aizsardzību". Iespējojiet ierīces SIM PIN kodu iOS/Android iestatījumos, lai nozagtu fizisko SIM karti nevarētu ievietot citā tālrunī.
Iestatot autentifikatoru, saglabājiet sākotnējo 16 rakstzīmju Base32 slepeno atslēgu bezsaistes fiziskā datu nesējā (uz papīra vai šifrētā aukstajā krātuvē) un saglabājiet konta 10 vienreiz lietojamos avārijas atkopšanas kodus.
09. Bieži uzdotie jautājumi (FAQ)
1. jautājums: Vai SMS 2FA tomēr nav labāka par vispār nekādu otro faktoru? ▼
Vienkāršiem automatizētiem botu uzbrukumiem, kuros tiek meklētas vājas, atkārtoti izmantotas paroles, SMS 2FA nodrošina zināmu aizsardzību. Tomēr SMS 2FA paradokss ir tāds, ka pakalpojumi uzskata jūsu tālruņa numuru par nekļūdīgu galveno atkopšanas atslēgu. Ja mērķtiecīgs uzbrucējs nomaina jūsu SIM karti, SMS pārstāj būt aizsardzība un kļūst par ieroci, ko izmanto visu jūsu paroļu atiestatīšanai.
2. jautājums: Vai eSIM izmantošana pasargā mani no SIM maiņas? ▼
Nē. eSIM aizsargā pret fiziskas kartes zādzību, taču tā neaizsargā pret sociālo inženieriju. Uzbrucēji, kuri pārliecina operatora pārstāvi pārcelt jūsu numuru, vienkārši saņem elektronisku eSIM QR kodu, dažu sekunžu laikā lejupielādējot jūsu numuru savā ierīcē internetā.
3. jautājums: Kāpēc komercbankas joprojām pieprasa SMS verifikāciju? ▼
Klientu paradumu un klientu atbalsta lielās noslodzes dēļ. Ja miljoniem tehniski nesagatavotu bankas klientu tiktu piespiesti izmantot autentifikatora lietotnes, zvanu centri tiktu pārslogoti. Tā vietā bankas katru gadu uzņemas simtiem miljonu dolāru krāpšanas zaudējumus, paļaujoties uz aizkulišu riska modeļiem (piemēram, vaicājot operatoriem, vai SIM karte ir mainīta pēdējo 24 stundu laikā).
4. jautājums: Kas man jādara nekavējoties, ja mans viedtālrunis rāda "No Service"? ▼
Uztveriet to kā kritisku drošības incidentu. Nekavējoties izveidojiet savienojumu ar Wi-Fi, zvaniet savam mobilo sakaru operatoram no fiksētā tālruņa vai citas ierīces un pārbaudiet, vai jūsu numurs nav pārnests. Vienlaikus iesaldējiet savus kriptovalūtu biržu kontus un nomainiet galveno e-pastu paroles no galddatora.
5. jautājums: Vai uzbrucējs, kurš nomainījis manu SIM karti, var piekļūt manam TOTP autentifikatoram? ▼
Nē. Autentifikatora lietotnes aprēķina kodus lokāli, izmantojot iepriekš kopīgotu kriptogrāfisko atslēgu, kas glabājas jūsu ierīces izolētajā aparatūras atslēgu glabātavā. Mobilo sakaru tīklam nav nekādas piekļuves šai atslēgai. Pat ja uzbrucējs pilnībā kontrolē jūsu tālruņa numuru, viņš nevar ģenerēt jūsu TOTP kodus.
Ģenerējiet drošus TOTP kodus tieši savā pārlūkprogrammā
Atvadieties no mobilo sakaru pārtveršanas riskiem. 2FA-Tool izmanto W3C Web Crypto API, lai ģenerētu RFC 6238 kodus tikai jūsu lokālajā pārlūkprogrammas smilškastē, saglabājot jūsu atslēgas privātas un bezsaistē.