ഒരു ദശാബ്ദത്തിലേറെയായി പരമ്പരാഗത സൈബർ സുരക്ഷാ തത്വം ഇപ്രകാരമായിരുന്നു: "2FA ഇല്ലാത്തതിനേക്കാൾ ഏത് 2FA ഉള്ളതും നല്ലതാണ്." ലളിതമായ, ബൾക്ക് ക്രെഡൻഷ്യൽ സ്റ്റഫിംഗ് ആക്രമണങ്ങൾക്ക് ഇത് ഇപ്പോഴും ശരിയാണെങ്കിലും, SMS അടിസ്ഥാനമാക്കിയുള്ള ടു-ഫാക്ടർ ഓതന്റിക്കേഷൻ വിനാശകരമായ ഒരു സിംഗിൾ പോയിന്റ് ഓഫ് ഫെയ്‌ലർ (Single Point of Failure) ആയി മാറിയിരിക്കുന്നു. ഡാർക്ക് വെബിലെ വൻതോതിലുള്ള വ്യക്തിഗത തിരിച്ചറിയൽ വിവരങ്ങളുടെ (PII) ചോർച്ചകൾ, ടെലികോം കാരിയർ സ്റ്റോറുകളിലെ സുരക്ഷാ വീഴ്ചകൾ, Evilginx പോലുള്ള ഓട്ടോമേറ്റഡ് അഡ്‌വേഴ്‌സറി-ഇൻ-ദി-മിഡിൽ (AiTM) റിവേഴ്സ് പ്രോക്സി ചട്ടക്കൂടുകൾ എന്നിവ കാരണം SMS 2FA നൽകുന്നത് വെറുമൊരു വ്യാജ സുരക്ഷാബോധം മാത്രമാണ്. SMS വെരിഫിക്കേഷൻ എങ്ങനെ തടസ്സപ്പെടുത്തപ്പെടുന്നുവെന്നും നിങ്ങളുടെ സുരക്ഷാ സംവിധാനം എന്തുകൊണ്ട് ഉടനടി TOTP, FIDO2 കീകളിലേക്ക് മാറണമെന്നും ഈ സാങ്കേതിക പ്രബന്ധം വ്യക്തമാക്കുന്നു.
01. SMS സുരക്ഷയെന്ന മിഥ്യാധാരണയും ചരിത്ര പശ്ചാത്തലവും
2000-കളുടെ തുടക്കത്തിൽ, ഉപയോക്താക്കൾക്ക് യാതൊരു തടസ്സവുമില്ലാത്തതിനാൽ (Zero Friction) ഓൺലൈൻ ഉപഭോക്തൃ സുരക്ഷയ്ക്കായി SMS അടിസ്ഥാനമാക്കിയുള്ള വെരിഫിക്കേഷൻ പ്രധാന മാനദണ്ഡമായി മാറി. പ്രത്യേക ക്രിപ്റ്റോഗ്രാഫിക് ആപ്ലിക്കേഷനുകൾ ഇൻസ്റ്റാൾ ചെയ്യുകയോ ഹാർഡ്‌വെയർ കീകൾ വാങ്ങുകയോ ഉപയോക്താക്കൾക്ക് ചെയ്യേണ്ടതില്ലായിരുന്നു. ഒരു വ്യക്തിക്ക് മൊബൈൽ ഫോൺ ഉണ്ടെങ്കിൽ, 4 മുതൽ 6 അക്കങ്ങളുള്ള സ്ഥിരീകരണ കോഡ് നേരിട്ട് അവരുടെ ഫോണിലേക്ക് അയയ്ക്കാൻ കഴിഞ്ഞിരുന്നു.
എന്നിരുന്നാലും, യൂറോപ്യൻ ടെലികമ്മ്യൂണിക്കേഷൻസ് സ്റ്റാൻഡേർഡ്സ് ഇൻസ്റ്റിറ്റ്യൂട്ട് (ETSI) GSM സ്റ്റാൻഡേർഡൈസേഷന് കീഴിൽ 1980-കളിലാണ് ഷോർട്ട് മെസ്സേജ് സർവീസ് (SMS) പ്രോട്ടോക്കോൾ രൂപകൽപ്പന ചെയ്തത്. ക്രിപ്റ്റോഗ്രാഫിക് രഹസ്യങ്ങൾ കൈമാറുന്നതിനോ ഐഡന്റിറ്റി വെരിഫിക്കേഷൻ പ്രോട്ടോക്കോളായി വർത്തിക്കുന്നതിനോ വേണ്ടിയല്ല ഇത് ഒരിക്കലും രൂപകൽപ്പന ചെയ്തിട്ടുള്ളത്. SMS സന്ദേശങ്ങളിൽ എൻഡ്-ടു-എൻഡ് എൻക്രിപ്ഷൻ ഇല്ല, ഒറിജിൻ ഓതന്റിക്കേഷൻ ഇല്ല, ഉപയോക്താവിന്റെ സജീവ വെബ് ബ്രൗസർ സെഷനുമായി യാതൊരുവിധ ക്രിപ്റ്റോഗ്രാഫിക് ചാനൽ ബൈൻഡിംഗും (Channel Binding) ഇല്ല.
ടെലികോം കാരിയറുകൾ ടെക്സ്റ്റ് സന്ദേശങ്ങൾ റൂട്ട് ചെയ്യുന്നത് ഒരു സെല്ലുലാർ ടവറിൽ രജിസ്റ്റർ ചെയ്തിട്ടുള്ള ഇന്റർനാഷണൽ മൊബൈൽ സബ്സ്ക്രൈബർ ഐഡന്റിറ്റി (IMSI) അടിസ്ഥാനമാക്കിയാണ്—അല്ലാതെ ഉപകരണം കൈവശം വെച്ചിരിക്കുന്ന വ്യക്തിയുടെ ഐഡന്റിറ്റി അടിസ്ഥാനമാക്കിയല്ല. നിങ്ങൾ SMS 2FA-യെ ആശ്രയിക്കുമ്പോൾ, നിങ്ങളുടെ ഡിജിറ്റൽ ഐഡന്റിറ്റി ക്രിപ്റ്റോഗ്രഫി ഉപയോഗിച്ചല്ല സംരക്ഷിക്കപ്പെടുന്നത്; മറിച്ച് ഒരു പ്രാദേശിക മൊബൈൽ ഷോപ്പിലെ ഏറ്റവും കുറഞ്ഞ ശമ്പളമുള്ള കസ്റ്റമർ സപ്പോർട്ട് പ്രതിനിധിയുടെ തീരുമാനങ്ങളിലാണ് അത് നിലനിൽക്കുന്നത്.
02. ആക്രമണ മാർഗ്ഗം 1: SIM സ്വാപ്പിംഗിന്റെ പ്രവർത്തന രീതി
വൻതോതിൽ ക്രിപ്റ്റോ കൈവശം വെച്ചിരിക്കുന്നവർ, കമ്പനി എക്സിക്യൂട്ടീവുകൾ, സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാർ എന്നിവരെ ലക്ഷ്യമിട്ട് അക്രമികൾ ഉപയോഗിക്കുന്ന പ്രധാന ആയുധമാണ് SIM സ്വാപ്പിംഗ് (SIM Swapping - SIM ഹൈജാക്കിംഗ് അല്ലെങ്കിൽ പോർട്ട്-ഔട്ട് തട്ടിപ്പ് എന്നും അറിയപ്പെടുന്നു). ഇരയുടെ ഫോൺ ഉപകരണം അക്രമിയുടെ കൈവശം ഭൗതികമായി ഉണ്ടായിരിക്കേണ്ടതില്ല.
SIM സ്വാപ്പിംഗ് ആക്രമണത്തിന്റെ ഘട്ടങ്ങൾ:
ഡാർക്ക്-വെബ് ബ്രീച്ച് ഡാറ്റാബേസുകളിൽ നിന്ന് ഇരയുടെ തിരിച്ചറിയൽ രേഖകൾ, പൂർണ്ണമായ പേര്, ജനനത്തീയതി, താമസസ്ഥലത്തെ വിലാസം, ടെലികോം കാരിയർ എന്നിവ അക്രമികൾ ശേഖരിക്കുന്നു.
"SIM കാർഡ് നഷ്ടപ്പെട്ടു അല്ലെങ്കിൽ കേടായി" എന്ന് നടിച്ച് അക്രമി കാരിയർ കസ്റ്റമർ കെയറിലേക്ക് വിളിക്കുകയും അടിസ്ഥാന വെരിഫിക്കേഷൻ ചോദ്യങ്ങൾക്ക് മറുപടി നൽകുകയും ചെയ്യുന്നു. അല്ലെങ്കിൽ അനധികൃത SIM സ്വാപ്പിനായി സൈബർ ക്രൈം സംഘങ്ങൾ സ്റ്റോർ ജീവനക്കാർക്ക് $500 മുതൽ $1,000 വരെ കൈക്കൂലി നൽകുന്നു.
കാരിയർ ഇരയുടെ MSISDN ഫോൺ നമ്പർ അക്രമിയുടെ പുതിയ SIM കാർഡിലേക്ക് മാറ്റുന്നു. ഇരയുടെ ഫോണിലെ സിഗ്നൽ തൽക്ഷണം നഷ്ടപ്പെടുകയും "No Service" അല്ലെങ്കിൽ "Emergency Calls Only" എന്ന് കാണിക്കുകയും ചെയ്യുന്നു. മിക്ക ഉപയോക്താക്കളും ഇത് താത്കാലിക നെറ്റ്‌വർക്ക് പ്രശ്‌നമാണെന്ന് കരുതി സുപ്രധാനമായ 10 മിനിറ്റ് പ്രതികരണ സമയം പാഴാക്കുന്നു.
ഫോൺ നമ്പർ സ്വന്തമാക്കിയതോടെ, അക്രമികൾ Gmail, Microsoft, Telegram, Binance, ഓൺലൈൻ ബാങ്കിംഗ് എന്നിവയിൽ പാസ്‌വേഡ് റീസെറ്റ് അഭ്യർത്ഥനകൾ നടത്തുന്നു. വരുന്ന എല്ലാ SMS OTP കോഡുകളും നേരിട്ട് അക്രമിയുടെ ഫോണിലെത്തുകയും നിമിഷങ്ങൾക്കുള്ളിൽ അക്കൗണ്ടുകളുടെ പൂർണ്ണ നിയന്ത്രണം അവർ നേടുകയും ചെയ്യുന്നു.
- ജാക്ക് ഡോർസി (ട്വിറ്റർ സിഇഒ): 2019 ഓഗസ്റ്റിൽ, ഹാക്കർമാർ AT&T റീട്ടെയിൽ ഔട്ട്‌ലെറ്റിനെ സമീപിച്ച് ഡോർസിയുടെ SIM സ്വാപ്പ് ചെയ്യുകയും, ഹൈജാക്ക് ചെയ്ത ഫോൺ നമ്പർ ഉപയോഗിച്ച് ട്വിറ്ററിന്റെ ലെഗസി SMS-ടു-ട്വീറ്റ് ഗേറ്റ്‌വേ (Cloudhopper) വഴി അധിക്ഷേപകരമായ ട്വീറ്റുകൾ പ്രസിദ്ധീകരിക്കുകയും ചെയ്തു.
- യു.എസ്. എസ്ഇസി (SEC) എക്സ് അക്കൗണ്ട് (2024): അക്രമികൾ യു.എസ്. സെക്യൂരിറ്റീസ് ആൻഡ് എക്സ്ചേഞ്ച് കമ്മീഷന്റെ (SEC) ഔദ്യോഗിക അക്കൗണ്ട് റിക്കവറി മൊബൈൽ നമ്പറിൽ അനധികൃത SIM സ്വാപ്പ് നടത്തി സ്പോട്ട് ബിറ്റ്‌കോയിൻ ഇടിഎഫ് (Spot Bitcoin ETF) അംഗീകരിച്ചതായി വ്യാജ പ്രഖ്യാപനം നടത്തുകയും ആഗോള വിപണികളിൽ കോടിക്കണക്കിന് ഡോളറിന്റെ ലിക്വിഡേഷനുകൾക്ക് കാരണമാവുകയും ചെയ്തു.
03. ആക്രമണ മാർഗ്ഗം 2: SS7, സെല്ലുലാർ പ്രോട്ടോക്കോൾ ചൂഷണങ്ങൾ
SIM സ്വാപ്പിംഗ് മനുഷ്യസഹജമായ വീഴ്ചകളെ ആശ്രയിക്കുമ്പോൾ, സിഗ്നലിംഗ് സിസ്റ്റം നമ്പർ 7 (SS7) തകരാറുകൾ ആഗോള ടെലികമ്മ്യൂണിക്കേഷൻ റൂട്ടിംഗിലെ ഘടനാപരമായ വീഴ്ചകളെയാണ് ചൂഷണം ചെയ്യുന്നത്.
1975-ൽ രൂപകൽപ്പന ചെയ്ത SS7, കോൾ സെറ്റപ്പ്, നമ്പർ ട്രാൻസ്ലേഷൻ, SMS ഡെലിവറി, ലോകമെമ്പാടുമുള്ള നൂറുകണക്കിന് ടെലികോമുകൾ തമ്മിലുള്ള അന്താരാഷ്ട്ര റോമിംഗ് എന്നിവ കൈകാര്യം ചെയ്യുന്നു. ഏറ്റവും പ്രധാനമായി, SS7 ഒരു അന്ധമായ വിശ്വാസ മാതൃകയിലാണ് (Blind-Trust Model) നിർമ്മിച്ചിരിക്കുന്നത്: SS7 ബാക്ക്‌ബോണിലേക്ക് കണക്റ്റുചെയ്തിരിക്കുന്ന ഏതൊരു ടെലികോം ദാതാവിനെയും ആധികാരികവും അംഗീകൃതവുമായി കണക്കാക്കുന്നു.
ഇത് വഴി ഇര അറിയാതെ തന്നെ ബാങ്കിംഗ്, ക്രിപ്റ്റോ OTP-കൾ അതിർത്തികൾക്കപ്പുറത്തേക്ക് ചോർത്താൻ ശത്രുതാപരമായ രഹസ്യാന്വേഷണ ഏജൻസികൾക്കോ ക്രിമിനൽ സംഘങ്ങൾക്കോ സാധിക്കുന്നു. LTE ഡയമീറ്റർ പ്രോട്ടോക്കോൾ അപ്‌ഗ്രേഡുകൾ ഉണ്ടെങ്കിൽ പോലും, ലെഗസി SS7-മായുള്ള ബാക്ക്‌വേർഡ് കോംപാറ്റിബിലിറ്റി ഈ ഭീഷണി നിലനിർത്തുന്നു.
04. ആക്രമണ മാർഗ്ഗം 3: തത്സമയ AiTM ഫിഷിംഗ് (Evilginx ചട്ടക്കൂട്)
പല ഉപയോക്താക്കളും തെറ്റായി ചിന്തിക്കുന്നു: "എന്റെ SIM കാർഡ് സ്വാപ്പ് ചെയ്തിട്ടില്ലെങ്കിൽ എന്റെ ടെക്സ്റ്റ് കോഡുകൾ സുരക്ഷിതമാണ്." എന്നാൽ Evilginx 3.0, Modlishka, Muraena തുടങ്ങിയ ആധുനിക അഡ്‌വേഴ്‌സറി-ഇൻ-ദി-മിഡിൽ (AiTM) റിവേഴ്സ് പ്രോക്സി ടൂളുകൾ വരുമ്പോൾ ഈ ധാരണ തകരുന്നു.
പരമ്പരാഗത ക്രെഡൻഷ്യൽ ഹാർവെസ്റ്റിംഗ് സ്റ്റാറ്റിക് വ്യാജ ലോഗിൻ ഫോമുകളാണ് ഉപയോഗിച്ചിരുന്നത്. എന്നാൽ ഇന്നത്തെ റിവേഴ്സ് പ്രോക്സികൾ ലൈവ് സുതാര്യമായ ഇടനിലക്കാരായി പ്രവർത്തിക്കുന്നു:
സ്റ്റാറ്റിക് പാസ്‌വേഡുകൾ മോഷ്ടിക്കുന്നു. 2FA സജീവമാണെങ്കിൽ ഉടൻ പരാജയപ്പെടുന്നു, കാരണം 60 സെക്കൻഡിനുള്ളിൽ അക്രമിക്ക് കാലഹരണപ്പെടുന്ന OTP കോഡ് റീപ്ലേ ചെയ്യാൻ കഴിയില്ല.
ഉപയോക്താവിനും യഥാർത്ഥ സെർവറിനുമിടയിൽ തത്സമയ ട്രാഫിക് പ്രോക്സി ചെയ്യുന്നു. ഉപയോക്താവ് അവരുടെ SMS കോഡ് നൽകുമ്പോൾ, പ്രോക്സി അത് തൽക്ഷണം കൈമാറുകയും ഓതന്റിക്കേഷൻ പൂർത്തിയാക്കി സെഷൻ കുക്കികളും OAuth ബെയറർ ടോക്കണുകളും മോഷ്ടിക്കുകയും ചെയ്യുന്നു.
login.example.com-ലാണോ അതോ login.examp1e.com-ലാണോ എന്ന് ഉപയോക്താവിന് തിരിച്ചറിയാൻ കഴിയില്ല. നേരെമറിച്ച്, FIDO2/WebAuthn ഓതന്റിക്കേറ്ററുകൾ ബ്രൗസറിന്റെ URL ഒറിജിനുമായി പബ്ലിക്-കീ ഒപ്പുകളെ നേരിട്ട് ബന്ധിപ്പിക്കുന്നു, ഇത് ഫിഷിംഗ് ശ്രമങ്ങളെ തൽക്ഷണം തടയുന്നു.
05. ആക്രമണ മാർഗ്ഗം 4: IMSI ക്യാച്ചറുകളും ആൻഡ്രോയിഡ് ട്രോജനുകളും
പ്രാദേശിക റേഡിയോ ഫ്രീക്വൻസി, എൻഡ്‌പോയിന്റ് തലങ്ങളിൽ SMS സന്ദേശങ്ങൾ കൂടുതൽ ഗുരുതരമായ സുരക്ഷാ ഭീഷണികൾ നേരിടുന്നു:
-
●
IMSI ക്യാച്ചറുകൾ (സ്റ്റിംഗ്റേ) & 2G ഡൗൺഗ്രേഡ് ആക്രമണങ്ങൾ: വ്യാജ പോർട്ടബിൾ സെല്ലുലാർ ബേസ് സ്റ്റേഷനുകൾ ഉയർന്ന കരുത്തുള്ള സിഗ്നലുകൾ പ്രക്ഷേപണം ചെയ്യുകയും അടുത്തുള്ള ഹാൻഡ്‌സെറ്റുകളെ 4G/5G-ൽ നിന്ന് വിച്ഛേദിച്ച് ലെഗസി 2G (GSM)-ലേക്ക് ഡൗൺഗ്രേഡ് ചെയ്യാൻ നിർബന്ധിക്കുകയും ചെയ്യുന്നു. GSM മൊബൈൽ ഹാൻഡ്‌സെറ്റിലേക്ക് ബേസ് സ്റ്റേഷനെ ഓതന്റിക്കേറ്റ് ചെയ്യാത്തതിനാൽ, വോയ്‌സ് കോളുകളും പ്ലെയിൻടെക്‌സ്റ്റ് SMS ടോക്കണുകളും തത്സമയം ഡീക്രിപ്റ്റ് ചെയ്യാൻ അക്രമികൾ തകർന്ന A5/1 സിഫറുകൾ ചൂഷണം ചെയ്യുന്നു.
-
●
ആൻഡ്രോയിഡ് SMS സ്നിഫർ മാൽവെയർ: വഞ്ചനാപരമായ ആപ്പുകൾ
android.permission.RECEIVE_SMSഅല്ലെങ്കിൽBIND_NOTIFICATION_LISTENER_SERVICEഅനുമതികൾ ആവശ്യപ്പെടുന്നു. ഇൻസ്റ്റാൾ ചെയ്തുകഴിഞ്ഞാൽ, പശ്ചാത്തലത്തിൽ പ്രവർത്തിക്കുന്ന പ്രോഗ്രാമുകൾ വെരിഫിക്കേഷൻ കോഡുകൾ എത്തുമ്പോൾ തന്നെ അവയെ തടസ്സപ്പെടുത്തുകയും എൻക്രിപ്റ്റ് ചെയ്ത ടെലിഗ്രാം ബോട്ടുകൾ വഴിയോ കമാൻഡ്-ആൻഡ്-കൺട്രോൾ സെർവറുകൾ വഴിയോ തത്സമയം കൈമാറുകയും ചെയ്യുന്നു.
06. NIST SP 800-63B ഒഴിവാക്കൽ മാർഗ്ഗനിർദ്ദേശങ്ങൾ
ഈ വിനാശകരമായ ആക്രമണ മാർഗ്ഗങ്ങൾ തിരിച്ചറിഞ്ഞ്, നാഷണൽ ഇൻസ്റ്റിറ്റ്യൂട്ട് ഓഫ് സ്റ്റാൻഡേർഡ്സ് ആൻഡ് ടെക്നോളജി (NIST) തങ്ങളുടെ പ്രധാന ഐഡന്റിറ്റി മാനദണ്ഡമായ Special Publication 800-63B (Digital Identity Guidelines: Authentication and Lifecycle Management)-ൽ SMS ഓതന്റിക്കേഷനെ ഔദ്യോഗികമായി നിയന്ത്രിച്ചു:
"PSTN സംവിധാനങ്ങൾ (SMS അല്ലെങ്കിൽ വോയ്‌സ്) ഉപയോഗിച്ചുള്ള ഔട്ട്-ഓഫ്-ബാൻഡ് (OOB) ഓതന്റിക്കേഷൻ ഔദ്യോഗികമായി RESTRICTED (നിയന്ത്രിതം) ആയി പ്രഖ്യാപിച്ചിരിക്കുന്നു. SMS സ്ഥിരീകരണം നടപ്പിലാക്കുന്ന സംവിധാനങ്ങൾ SIM സ്വാപ്പിംഗ്, നമ്പർ സ്പൂഫിംഗ്, സിഗ്നലിംഗ് ഇന്റർസെപ്ഷൻ, ഡിവൈസ് ക്ലോണിംഗ് എന്നിവയുടെ അപകടസാധ്യതകൾ രേഖപ്പെടുത്തുകയും സ്വീകരിക്കുകയും വേണം. ഓതന്റിക്കേറ്റർ അഷ്വറൻസ് ലെവൽ 2 (AAL2) അല്ലെങ്കിൽ ഉയർന്ന മാനദണ്ഡങ്ങൾ പാലിക്കുന്ന സ്ഥാപനങ്ങൾക്ക് ക്രിപ്റ്റോഗ്രാഫിക് മൾട്ടി-ഫാക്ടർ ഓതന്റിക്കേറ്ററുകൾ (TOTP ആപ്പുകൾ അല്ലെങ്കിൽ ഹാർഡ്‌വെയർ FIDO ടോക്കണുകൾ) നിർബന്ധമായും ആവശ്യമാണ്."
യൂറോപ്യൻ അധികാരികളും (ENISA) യു.എസ്. സൈബർ സെക്യൂരിറ്റി ആൻഡ് ഇൻഫ്രാസ്ട്രക്ചർ സെക്യൂരിറ്റി ഏജൻസിയും (CISA) ഈ നയം ആവർത്തിക്കുകയും സുപ്രധാന ഇൻഫ്രാസ്ട്രക്ചറുകളിൽ നിന്ന് SMS ഓതന്റിക്കേഷൻ പൂർണ്ണമായും ഒഴിവാക്കാൻ നിർദ്ദേശിക്കുകയും ചെയ്തിട്ടുണ്ട്.
07. ആർക്കിടെക്ചർ താരതമ്യം: SMS vs TOTP vs FIDO2
ടൈം-ബേസ്ഡ് വൺ-ടൈം പാസ്‌വേഡ് (RFC 6238 TOTP) എന്തുകൊണ്ടാണ് SMS-നേക്കാൾ മികച്ചതാകുന്നത്? ചുവടെ നൽകിയിരിക്കുന്ന താരതമ്യ പട്ടിക അവയുടെ സുരക്ഷാ സവിശേഷതകൾ വ്യക്തമാക്കുന്നു:
| സുരക്ഷാ ഘടകം | SMS വെരിഫിക്കേഷൻ | TOTP ഓതന്റിക്കേറ്റർ (RFC 6238) | ഹാർഡ്‌വെയർ FIDO2 / YubiKey |
|---|---|---|---|
| ഡെലിവറി ചാനൽ | സെല്ലുലാർ ടെലികോം നെറ്റ്‌വർക്ക് | 100% ക്ലയന്റ്-സൈഡ് ലോക്കൽ കണക്കുകൂട്ടൽ | ലോക്കൽ സെക്യുർ എലമെന്റ് ചിപ്പ് |
| SIM സ്വാപ്പ് പ്രതിരോധം | പൂജ്യം (ഉടൻ ഹൈജാക്ക് ചെയ്യപ്പെടുന്നു) | പൂർണ്ണ പ്രതിരോധം (ഫോൺ നമ്പറുമായി ബന്ധമില്ല) | പൂർണ്ണ പ്രതിരോധം (ഹാർഡ്‌വെയർ ഐസൊലേഷൻ) |
| SS7 സിഗ്നലിംഗ് ചോർത്തൽ | അപകടസാധ്യതയുണ്ട് | പൂർണ്ണ സുരക്ഷിതം (നെറ്റ്‌വർക്ക് പാക്കറ്റുകൾ ഇല്ല) | പൂർണ്ണ സുരക്ഷിതം (നെറ്റ്‌വർക്ക് ട്രാൻസിറ്റ് ഇല്ല) |
| IMSI ക്യാച്ചർ / 2G ഡൗൺഗ്രേഡ് | അപകടസാധ്യതയുണ്ട് | പൂർണ്ണ സുരക്ഷിതം | പൂർണ്ണ സുരക്ഷിതം |
| AiTM റിവേഴ്സ് പ്രോക്സി (Evilginx) | എളുപ്പത്തിൽ മറികടക്കാം | ഇടത്തരം (ശ്രദ്ധ ആവശ്യമാണ്) | മികച്ചത് (ഡൊമെയ്ൻ ഒറിജിൻ ബൈൻഡിംഗ്) |
| എയർപ്ലെയ്ൻ മോഡ് / ഓഫ്‌ലൈൻ ഉപയോഗം | ലഭ്യമല്ല | പൂർണ്ണമായി പ്രവർത്തിക്കുന്നു (ടൈംസ്റ്റാമ്പ് മാത്രം) | പൂർണ്ണമായി പ്രവർത്തിക്കുന്നു |
| ചെലവ് | ഓരോ SMS-നും കാരിയർ നിരക്കുകൾ | സൗജന്യവും ഓപ്പൺ സ്റ്റാൻഡേർഡുമാണ് | ഹാർഡ്‌വെയർ ടോക്കൺ ($45 - $80) |
08. പ്രായോഗിക സുരക്ഷാ മുൻകരുതലുകളും മൈഗ്രേഷൻ പ്ലാനും
നിങ്ങളുടെ ഫോൺ സിഗ്നൽ അപ്രത്യക്ഷമാകുന്നതുവരെ കാത്തിരിക്കരുത്. ഇന്ന് തന്നെ ഈ മുൻകരുതലുകൾ സ്വീകരിക്കുക:
Google, Apple ID, GitHub, Binance, Kraken, നിങ്ങളുടെ പ്രാഥമിക ഇമെയിൽ അക്കൗണ്ടുകൾ എന്നിവയിൽ ലോഗിൻ ചെയ്യുക. Aegis, 2FAS അല്ലെങ്കിൽ Bitwarden പോലുള്ള ഒരു ഓതന്റിക്കേറ്റർ ആപ്പോ ഹാർഡ്‌വെയർ സെക്യൂരിറ്റി കീയോ ചേർക്കുക. സാധ്യമെങ്കിൽ ഒരു ഫോൾബാക്ക് റിക്കവറി മാർഗ്ഗമായി SMS പൂർണ്ണമായും അൺലിങ്ക് ചെയ്യുക.
നിങ്ങളുടെ ടെലികോം ദാതാവിനെ ബന്ധപ്പെട്ട് നിർബന്ധിത പോർട്ട്-ഔട്ട് പിൻ അല്ലെങ്കിൽ അക്കൗണ്ട് ഫ്രീസ് സജ്ജമാക്കുക. iOS/Android ക്രമീകരണങ്ങളിൽ ഒരു SIM PIN സജ്ജമാക്കുക, അതിലൂടെ മോഷ്ടിക്കപ്പെട്ട SIM കാർഡ് മറ്റൊരു ഫോണിൽ പ്രവർത്തിപ്പിക്കാൻ സാധിക്കില്ല.
ഓതന്റിക്കേറ്റർ സജ്ജീകരിക്കുമ്പോൾ ലഭിക്കുന്ന 16-അക്ഷര Base32 സീഡ് ഓഫ്‌ലൈൻ പേപ്പറിലോ എൻക്രിപ്റ്റ് ചെയ്ത കോൾഡ് സ്റ്റോറേജിലോ സൂക്ഷിക്കുക. അക്കൗണ്ടിന്റെ 10 എമർജൻസി റിക്കവറി കോഡുകളും സുരക്ഷിതമായി സൂക്ഷിക്കുക.
09. പതിവായി ചോദിക്കുന്ന ചോദ്യങ്ങൾ (FAQ)
ചോദ്യം 1: 2FA ഇല്ലാത്തതിനേക്കാൾ എന്തുകൊണ്ടും SMS 2FA നല്ലതല്ലേ? ▼
ദുർബലമായ പാസ്‌വേഡുകൾ തിരയുന്ന ബോട്ടുകൾക്കെതിരെ SMS 2FA അടിസ്ഥാന സുരക്ഷ നൽകുന്നു. എന്നാൽ SMS 2FA-യുടെ വിരോധാഭാസം എന്തെന്നാൽ, സേവനങ്ങൾ നിങ്ങളുടെ ഫോൺ നമ്പറിനെ ഒരു പ്രധാന റിക്കവറി കീയായി പരിഗണിക്കുന്നു എന്നതാണ്. ലക്ഷ്യമിട്ടുള്ള ഒരു അക്രമി നിങ്ങളുടെ SIM സ്വാപ്പ് ചെയ്താൽ, SMS നിങ്ങളുടെ സംരക്ഷണമല്ലാതാകുകയും നിങ്ങളുടെ എല്ലാ പാസ്‌വേഡുകളും റീസെറ്റ് ചെയ്യാനുള്ള പ്രധാന ആയുധമായി മാറുകയും ചെയ്യുന്നു.
ചോദ്യം 2: eSIM ഉപയോഗിക്കുന്നത് എന്നെ SIM സ്വാപ്പിംഗിൽ നിന്ന് സംരക്ഷിക്കുമോ? ▼
ഇല്ല. ഭൗതിക കാർഡ് മോഷണത്തിനെതിരെ eSIM സംരക്ഷണം നൽകുന്നുണ്ടെങ്കിലും, സോഷ്യൽ എഞ്ചിനീയറിംഗിനെതിരെ ഇത് സംരക്ഷണം നൽകുന്നില്ല. നമ്പർ മാറ്റാൻ കാരിയർ പ്രതിനിധിയെ ബോധ്യപ്പെടുത്തുന്ന അക്രമികൾക്ക് ഇലക്ട്രോണിക് eSIM QR കോഡ് ലഭിക്കുകയും ഇന്റർനെറ്റ് വഴി നിമിഷങ്ങൾക്കുള്ളിൽ നിങ്ങളുടെ നമ്പർ അവരുടെ ഉപകരണത്തിലേക്ക് ഡൗൺലോഡ് ചെയ്യുകയും ചെയ്യാം.
ചോദ്യം 3: എന്തുകൊണ്ടാണ് റീട്ടെയിൽ ബാങ്കുകൾ ഇപ്പോഴും SMS വെരിഫിക്കേഷൻ നിർബന്ധമാക്കുന്നത്? ▼
സാങ്കേതിക പരിജ്ഞാനം കുറഞ്ഞ ദശലക്ഷക്കണക്കിന് ഉപഭോക്താക്കളെ പെട്ടെന്ന് ഓതന്റിക്കേറ്റർ ആപ്പുകളിലേക്ക് മാറ്റുന്നത് കോൾ സെന്ററുകളെ തളർത്തും എന്നതിനാലാണ് ബാങ്കുകൾ ഇത് തുടരുന്നത്. പകരം, ബാങ്കുകൾ വർഷം തോറും വൻ തുക നഷ്ടപരിഹാരമായി ഏറ്റെടുക്കുകയും പശ്ചാത്തല റിസ്ക് മോഡലുകളെ (കഴിഞ്ഞ 24 മണിക്കൂറിനുള്ളിൽ SIM മാറിയിട്ടുണ്ടോ എന്ന് പരിശോധിക്കുന്നത് പോലെ) ആശ്രയിക്കുകയും ചെയ്യുന്നു.
ചോദ്യം 4: സ്മാർട്ട്‌ഫോണിൽ "No Service" എന്ന് കണ്ടാൽ ഞാൻ ഉടൻ എന്താണ് ചെയ്യേണ്ടത്? ▼
ഇതൊരു അതീവ സുരക്ഷാ സംഭവമായി കാണുക. ഉടനടി Wi-Fi-ലേക്ക് കണക്റ്റുചെയ്‌ത് മറ്റൊരു ഫോണിൽ നിന്നോ ലാൻഡ്‌ലൈനിൽ നിന്നോ നിങ്ങളുടെ ടെലികോം ദാതാവിനെ വിളിച്ച് നമ്പർ പോർട്ട് ചെയ്തിട്ടുണ്ടോ എന്ന് സ്ഥിരീകരിക്കുക. അതോടൊപ്പം കമ്പ്യൂട്ടറിൽ നിന്ന് ക്രിപ്റ്റോ എക്സ്ചേഞ്ച് അക്കൗണ്ടുകൾ മരവിപ്പിക്കുകയും പ്രധാന ഇമെയിൽ പാസ്‌വേഡുകൾ മാറ്റുകയും ചെയ്യുക.
ചോദ്യം 5: എന്റെ SIM സ്വാപ്പ് ചെയ്ത ഒരാൾക്ക് എന്റെ TOTP ഓതന്റിക്കേറ്റർ തകർക്കാൻ കഴിയുമോ? ▼
ഇല്ല. നിങ്ങളുടെ ഉപകരണത്തിന്റെ സുരക്ഷിത ഹാർഡ്‌വെയർ കീസ്റ്റോറിൽ സൂക്ഷിച്ചിരിക്കുന്ന ക്രിപ്റ്റോഗ്രാഫിക് കീ ഉപയോഗിച്ചാണ് ഓതന്റിക്കേറ്റർ ആപ്പുകൾ പ്രാദേശികമായി കോഡുകൾ കണക്കാക്കുന്നത്. സെല്ലുലാർ നെറ്റ്‌വർക്കിന് ഈ കീയിലേക്ക് പ്രവേശനമില്ല. അക്രമി നിങ്ങളുടെ ഫോൺ നമ്പർ പൂർണ്ണമായി നിയന്ത്രിച്ചാലും അവർക്ക് നിങ്ങളുടെ TOTP കോഡുകൾ സൃഷ്ടിക്കാൻ കഴിയില്ല.
ബ്രൗസറിൽ നേരിട്ട് സുരക്ഷിതമായ TOTP കോഡുകൾ സൃഷ്ടിക്കൂ
സെല്ലുലാർ ചോർത്തൽ ഭീഷണികൾ ഒഴിവാക്കൂ. 2FA-Tool നിങ്ങളുടെ കീകൾ സുരക്ഷിതമായും ഓഫ്‌ലൈനായും സൂക്ഷിച്ചുകൊണ്ട് ബ്രൗസർ സാൻഡ്‌ബോക്‌സിനുള്ളിൽ പൂർണ്ണമായും RFC 6238 കോഡുകൾ സൃഷ്ടിക്കാൻ W3C Web Crypto API ഉപയോഗിക്കുന്നു.