ਇੱਕ ਦਹਾਕੇ ਤੋਂ ਵੱਧ ਸਮੇਂ ਤੋਂ, ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਵਿੱਚ ਆਮ ਕਹਾਵਤ ਸੀ: "ਕੋਈ ਵੀ 2FA ਨਾ ਹੋਣ ਨਾਲੋਂ ਕੋਈ ਵੀ 2FA ਹੋਣਾ ਬਿਹਤਰ ਹੈ।" ਹਾਲਾਂਕਿ ਇਹ ਘੱਟ ਮਿਹਨਤ ਵਾਲੇ ਵੱਡੇ ਪੱਧਰ ਦੇ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਸਟਫਿੰਗ ਹਮਲਿਆਂ ਲਈ ਸੱਚ ਹੈ, ਪਰ SMS-ਅਧਾਰਿਤ ਦੋ-ਪੜਾਵੀ ਪ੍ਰਮਾਣੀਕਰਨ (2FA) ਇੱਕ ਵਿਨਾਸ਼ਕਾਰੀ ਸਿੰਗਲ ਪੁਆਇੰਟ ਆਫ ਫੇਲਿਅਰ (SPOF) ਬਣ ਚੁੱਕਾ ਹੈ। ਡਾਰਕ ਵੈੱਬ 'ਤੇ ਨਿੱਜੀ ਪਛਾਣ ਜਾਣਕਾਰੀ (PII) ਦੇ ਵੱਡੇ ਲੀਕ, ਦੂਰਸੰਚਾਰ ਕੰਪਨੀਆਂ ਦੇ ਸਟੋਰਾਂ ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ, ਅਤੇ Evilginx ਵਰਗੇ ਸਵੈਚਲਿਤ Adversary-in-the-Middle (AiTM) ਰਿਵਰਸ ਪ੍ਰੌਕਸੀ ਫਰੇਮਵਰਕ ਦੇ ਕਾਰਨ, SMS 2FA ਸੁਰੱਖਿਆ ਦਾ ਝੂਠਾ ਭਰਮ ਪੈਦਾ ਕਰਦਾ ਹੈ। ਇਹ ਤਕਨੀਕੀ ਰਿਪੋਰਟ ਵਿਸਥਾਰ ਨਾਲ ਦੱਸਦੀ ਹੈ ਕਿ SMS ਪੁਸ਼ਟੀਕਰਨ ਕਿਵੇਂ ਇੰਟਰਸੈਪਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਤੁਹਾਡੀ ਸੁਰੱਖਿਆ ਸਥਿਤੀ ਨੂੰ ਤੁਰੰਤ TOTP ਅਤੇ FIDO2 ਕੁੰਜੀਆਂ ਵੱਲ ਕਿਉਂ ਮਾਈਗ੍ਰੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।
01. SMS ਸੁਰੱਖਿਆ ਦਾ ਭਰਮ ਅਤੇ ਇਤਿਹਾਸਕ ਪਿਛੋਕੜ
2000 ਦੇ ਦਹਾਕੇ ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ, SMS-ਅਧਾਰਿਤ ਤਸਦੀਕ ਬਿਨਾਂ ਕਿਸੇ ਰੁਕਾਵਟ ਦੇ ਖਪਤਕਾਰਾਂ ਲਈ ਔਨਲਾਈਨ ਸੁਰੱਖਿਆ ਦਾ ਪ੍ਰਮੁੱਖ ਮਿਆਰ ਬਣ ਗਈ। ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਵਿਸ਼ੇਸ਼ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਐਪਲੀਕੇਸ਼ਨ ਸਥਾਪਤ ਕਰਨ ਜਾਂ ਹਾਰਡਵੇਅਰ ਕੁੰਜੀਆਂ ਖਰੀਦਣ ਦੀ ਲੋੜ ਨਹੀਂ ਸੀ। ਜਦੋਂ ਤੱਕ ਕਿਸੇ ਕੋਲ ਮੋਬਾਈਲ ਫ਼ੋਨ ਹੁੰਦਾ ਸੀ, 4 ਤੋਂ 6 ਅੰਕਾਂ ਦਾ ਤਸਦੀਕ ਕੋਡ ਸਿੱਧਾ ਉਨ੍ਹਾਂ ਦੀ ਜੇਬ ਵਿੱਚ ਪਹੁੰਚਾਇਆ ਜਾ ਸਕਦਾ ਸੀ।
ਹਾਲਾਂਕਿ, Short Message Service (SMS) ਪ੍ਰੋਟੋਕੋਲ ਮੂਲ ਰੂਪ ਵਿੱਚ 1980 ਦੇ ਦਹਾਕੇ ਵਿੱਚ ਯੂਰਪੀਅਨ ਟੈਲੀਕਮਿਊਨੀਕੇਸ਼ਨ ਸਟੈਂਡਰਡਜ਼ ਇੰਸਟੀਚਿਊਟ (ETSI) ਦੁਆਰਾ GSM ਮਾਨਕੀਕਰਨ ਅਧੀਨ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਸਨੂੰ ਕਦੇ ਵੀ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਭੇਦ ਲਿਜਾਣ ਜਾਂ ਪਛਾਣ ਤਸਦੀਕ ਪ੍ਰੋਟੋਕੋਲ ਵਜੋਂ ਕੰਮ ਕਰਨ ਲਈ ਡਿਜ਼ਾਈਨ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ। SMS ਸੁਨੇਹਿਆਂ ਵਿੱਚ ਐਂਡ-ਟੂ-ਐਂਡ ਏਨਕ੍ਰਿਪਸ਼ਨ ਦੀ ਘਾਟ ਹੁੰਦੀ ਹੈ, ਮੂਲ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਹੁੰਦੀ, ਅਤੇ ਉਪਭੋਗਤਾ ਦੇ ਕਿਰਿਆਸ਼ੀਲ ਵੈੱਬ ਬ੍ਰਾਊਜ਼ਰ ਸੈਸ਼ਨ ਨਾਲ ਕੋਈ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਚੈਨਲ ਬਾਈਂਡਿੰਗ (Channel Binding) ਨਹੀਂ ਹੁੰਦੀ।
ਟੈਲੀਕਾਮ ਆਪਰੇਟਰ ਟੈਕਸਟ ਸੁਨੇਹਿਆਂ ਨੂੰ ਸੈੱਲ ਟਾਵਰ 'ਤੇ ਮੌਜੂਦਾ ਸਮੇਂ ਰਜਿਸਟਰਡ International Mobile Subscriber Identity (IMSI) ਦੇ ਆਧਾਰ 'ਤੇ ਰੂਟ ਕਰਦੇ ਹਨ—ਨਾ ਕਿ ਡਿਵਾਈਸ ਫੜਨ ਵਾਲੇ ਇਨਸਾਨ ਦੀ ਪਛਾਣ ਦੇ ਆਧਾਰ 'ਤੇ। ਜਦੋਂ ਤੁਸੀਂ SMS 2FA 'ਤੇ ਭਰੋਸਾ ਕਰਦੇ ਹੋ, ਤਾਂ ਤੁਹਾਡੀ ਡਿਜੀਟਲ ਪਛਾਣ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ ਦੁਆਰਾ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਹੁੰਦੀ; ਇਹ ਸਥਾਨਕ ਮੋਬਾਈਲ ਫ਼ੋਨ ਦੀ ਦੁਕਾਨ 'ਤੇ ਸਭ ਤੋਂ ਘੱਟ ਤਨਖਾਹ ਵਾਲੇ ਗਾਹਕ ਸਹਾਇਤਾ ਪ੍ਰਤੀਨਿਧੀ ਦੇ ਹੱਥਾਂ ਵਿੱਚ ਹੁੰਦੀ ਹੈ।
02. ਹਮਲੇ ਦਾ ਤਰੀਕਾ 1: SIM Swapping ਦੀ ਕਾਰਜਪ੍ਰਣਾਲੀ
SIM Swapping (ਜਿਸਨੂੰ SIM hijacking ਜਾਂ port-out scam ਵੀ ਕਿਹਾ ਜਾਂਦਾ ਹੈ) ਵੱਡੇ ਕ੍ਰਿਪਟੋ ਧਾਰਕਾਂ, ਕਾਰਪੋਰੇਟ ਅਧਿਕਾਰੀਆਂ, ਅਤੇ ਸਿਸਟਮ ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਣ ਵਾਲੇ ਉੱਨਤ ਹਮਲਾਵਰਾਂ ਦਾ ਪਸੰਦੀਦਾ ਹਥਿਆਰ ਹੈ। ਹਮਲਾਵਰ ਨੂੰ ਪੀੜਤ ਦੇ ਫ਼ੋਨ ਤੱਕ ਸਰੀਰਕ ਪਹੁੰਚ ਦੀ ਲੋੜ ਨਹੀਂ ਹੁੰਦੀ।
SIM Swapping ਹਮਲੇ ਦੇ ਕਦਮ:
ਹਮਲਾਵਰ ਪੀੜਤ ਦਾ ਸਮਾਜਿਕ ਸੁਰੱਖਿਆ ਨੰਬਰ/ਆਈਡੀ, ਪੂਰਾ ਨਾਮ, ਜਨਮ ਮਿਤੀ, ਘਰ ਦਾ ਪਤਾ, ਅਤੇ ਪ੍ਰਾਇਮਰੀ ਮੋਬਾਈਲ ਆਪਰੇਟਰ ਇਕੱਠਾ ਕਰਨ ਲਈ ਡਾਰਕ ਵੈੱਬ ਡਾਟਾਬੇਸ ਤੋਂ ਜਾਣਕਾਰੀ ਖਰੀਦਦੇ ਹਨ।
ਹਮਲਾਵਰ ਆਪਰੇਟਰ ਦੇ ਕਾਲ ਸੈਂਟਰ ਨੂੰ ਫ਼ੋਨ ਕਰਦਾ ਹੈ ਅਤੇ "ਸਿਮ ਗੁੰਮ ਜਾਂ ਖ਼ਰਾਬ ਹੋਣ" ਦਾ ਢੋਂਗ ਕਰਕੇ ਪੀੜਤ ਬਣਦਾ ਹੈ, ਸਰਲ ਪੁਸ਼ਟੀਕਰਨ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਜਾਂ ਫਿਰ, ਸਾਈਬਰ ਅਪਰਾਧੀ ਗਰੋਹ ਪ੍ਰਤੀ ਅਣਅਧਿਕਾਰਤ ਸਿਮ ਸਵੈਪ ਲਈ ਸਟੋਰ ਕਰਮਚਾਰੀਆਂ ਨੂੰ $500-$1,000 ਰਿਸ਼ਵਤ ਦਿੰਦੇ ਹਨ।
ਆਪਰੇਟਰ ਪੀੜਤ ਦਾ MSISDN ਫ਼ੋਨ ਨੰਬਰ ਹਮਲਾਵਰ ਦੇ ਸਿਮ ਕਾਰਡ 'ਤੇ ਟ੍ਰਾਂਸਫਰ ਕਰ ਦਿੰਦਾ ਹੈ। ਪੀੜਤ ਦੇ ਫ਼ੋਨ ਦਾ ਸੈਲੂਲਰ ਸਿਗਨਲ ਤੁਰੰਤ ਗਾਇਬ ਹੋ ਜਾਂਦਾ ਹੈ ਅਤੇ "No Service" ਜਾਂ "ਸਿਰਫ਼ ਐਮਰਜੈਂਸੀ ਕਾਲਾਂ" ਦਿਖਾਉਣ ਲੱਗਦਾ ਹੈ। ਜ਼ਿਆਦਾਤਰ ਪੀੜਤ ਇਸਨੂੰ ਇੱਕ ਅਸਥਾਈ ਨੈੱਟਵਰਕ ਖ਼ਰਾਬੀ ਸਮਝਦੇ ਹਨ, ਅਤੇ ਮਹੱਤਵਪੂਰਨ 10-ਮਿੰਟ ਦਾ ਜਵਾਬੀ ਸਮਾਂ ਗੁਆ ਦਿੰਦੇ ਹਨ।
ਫ਼ੋਨ ਨੰਬਰ ਹੱਥ ਵਿੱਚ ਆਉਣ 'ਤੇ, ਹਮਲਾਵਰ Gmail, Microsoft, Telegram, Binance ਅਤੇ ਔਨਲਾਈਨ ਬੈਂਕਿੰਗ 'ਤੇ ਪਾਸਵਰਡ ਰੀਸੈੱਟ ਸ਼ੁਰੂ ਕਰਦੇ ਹਨ। ਹਰੇਕ ਇਨਕਮਿੰਗ SMS OTP ਸਿੱਧਾ ਹਮਲਾਵਰ ਦੇ ਫ਼ੋਨ 'ਤੇ ਆਉਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਖਾਤੇ 'ਤੇ ਤੁਰੰਤ ਪੂਰਾ ਕੰਟਰੋਲ ਮਿਲ ਜਾਂਦਾ ਹੈ।
- ਜੈਕ ਡੋਰਸੀ (Twitter CEO): ਅਗਸਤ 2019 ਵਿੱਚ, ਹੈਕਰਾਂ ਨੇ ਡੋਰਸੀ ਦੇ ਸਿਮ ਨੂੰ ਸਵੈਪ ਕਰਨ ਲਈ AT&T ਰਿਟੇਲ ਆਊਟਲੇਟ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਇਆ, ਅਤੇ Twitter ਦੇ ਪੁਰਾਣੇ SMS-to-tweet ਗੇਟਵੇ (Cloudhopper) ਰਾਹੀਂ ਅਪਮਾਨਜਨਕ ਟਵੀਟ ਪੋਸਟ ਕਰਨ ਲਈ ਉਹਨਾਂ ਦੇ ਚੋਰੀ ਕੀਤੇ ਫ਼ੋਨ ਨੰਬਰ ਦੀ ਵਰਤੋਂ ਕੀਤੀ।
- ਅਮਰੀਕੀ SEC ਦਾ ਅਧਿਕਾਰਤ X ਖਾਤਾ (2024): ਹਮਲਾਵਰਾਂ ਨੇ SEC ਦੇ ਅਧਿਕਾਰਤ ਰਿਕਵਰੀ ਮੋਬਾਈਲ ਨੰਬਰ 'ਤੇ ਅਣਅਧਿਕਾਰਤ ਸਿਮ ਸਵੈਪ ਕੀਤਾ, ਸਪਾਟ ਬਿਟਕੋਇਨ ETF ਦੀ ਪ੍ਰਵਾਨਗੀ ਦਾ ਝੂਠਾ ਐਲਾਨ ਕੀਤਾ ਅਤੇ ਗਲੋਬਲ ਬਾਜ਼ਾਰਾਂ ਵਿੱਚ ਕਰੋੜਾਂ ਡਾਲਰਾਂ ਦੇ ਲੀਵਰੇਜਡ ਸੌਦਿਆਂ ਨੂੰ ਖ਼ਤਮ ਕਰ ਦਿੱਤਾ।
03. ਹਮਲੇ ਦਾ ਤਰੀਕਾ 2: SS7 ਅਤੇ ਸੈਲੂਲਰ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਸ਼ੋਸ਼ਣ
ਜਿੱਥੇ SIM swapping ਮਨੁੱਖੀ ਗ਼ਲਤੀ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਉੱਥੇ Signaling System No. 7 (SS7) ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਗਲੋਬਲ ਦੂਰਸੰਚਾਰ ਰੂਟਿੰਗ ਵਿੱਚ ਢਾਂਚਾਗਤ ਖ਼ਾਮੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦੀਆਂ ਹਨ।
1975 ਵਿੱਚ ਤਿਆਰ ਕੀਤਾ ਗਿਆ SS7, ਦੁਨੀਆ ਭਰ ਦੇ ਸੈਂਕੜੇ ਟੈਲੀਕਾਮ ਆਪਰੇਟਰਾਂ ਵਿਚਕਾਰ ਕਾਲ ਸੈੱਟਅੱਪ, ਨੰਬਰ ਅਨੁਵਾਦ, SMS ਡਿਲੀਵਰੀ, ਅਤੇ ਅੰਤਰਰਾਸ਼ਟਰੀ ਰੋਮਿੰਗ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਦਾ ਹੈ। ਮਹੱਤਵਪੂਰਨ ਤੌਰ 'ਤੇ, SS7 ਨੂੰ ਅੰਨ੍ਹੇ ਭਰੋਸੇ ਦੇ ਮਾਡਲ 'ਤੇ ਡਿਜ਼ਾਈਨ ਕੀਤਾ ਗਿਆ ਸੀ: SS7 ਬੈਕਬੋਨ ਨਾਲ ਜੁੜੇ ਕਿਸੇ ਵੀ ਟੈਲੀਕਾਮ ਪ੍ਰਦਾਤਾ ਨੂੰ ਸੁਰੱਖਿਅਤ ਅਤੇ ਅਧਿਕਾਰਤ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ।
ਇਹ ਵਿਰੋਧੀ ਖ਼ੁਫ਼ੀਆ ਏਜੰਸੀਆਂ ਜਾਂ ਅਪਰਾਧਿਕ ਗਰੋਹਾਂ ਨੂੰ ਪੀੜਤ ਨੂੰ ਸ਼ੱਕ ਹੋਏ ਬਿਨਾਂ ਅੰਤਰਰਾਸ਼ਟਰੀ ਸਰਹੱਦਾਂ ਦੇ ਪਾਰ ਬੈਂਕਿੰਗ ਅਤੇ ਕ੍ਰਿਪਟੋ OTP ਇੰਟਰਸੈਪਟ ਕਰਨ ਦੇ ਯੋਗ ਬਣਾਉਂਦਾ ਹੈ। LTE Diameter ਪ੍ਰੋਟੋਕੋਲ ਅੱਪਗ੍ਰੇਡ ਦੇ ਬਾਵਜੂਦ, ਪੁਰਾਣੇ SS7 ਨਾਲ ਬੈਕਵਰਡ ਅਨੁਕੂਲਤਾ ਲਗਾਤਾਰ ਖ਼ਤਰਾ ਬਣੀ ਰਹਿੰਦੀ ਹੈ।
04. ਹਮਲੇ ਦਾ ਤਰੀਕਾ 3: ਰੀਅਲ-ਟਾਈਮ AiTM ਫਿਸ਼ਿੰਗ (Evilginx ਫਰੇਮਵਰਕ)
ਬਹੁਤ ਸਾਰੇ ਉਪਭੋਗਤਾ ਗ਼ਲਤਫ਼ਹਿਮੀ ਵਿੱਚ ਰਹਿੰਦੇ ਹਨ: "ਜੇਕਰ ਮੇਰਾ ਸਿਮ ਕਾਰਡ ਸਵੈਪ ਨਹੀਂ ਹੋਇਆ, ਤਾਂ ਮੇਰੇ ਟੈਕਸਟ ਕੋਡ ਸੁਰੱਖਿਅਤ ਹਨ।" ਇਹ ਧਾਰਨਾ Evilginx 3.0, Modlishka, ਅਤੇ Muraena ਵਰਗੇ ਆਧੁਨਿਕ Adversary-in-the-Middle (AiTM) ਰਿਵਰਸ ਪ੍ਰੌਕਸੀ ਟੂਲਜ਼ ਦੇ ਸਾਹਮਣੇ ਅਸਫ਼ਲ ਹੋ ਜਾਂਦੀ ਹੈ।
ਰਵਾਇਤੀ ਫਿਸ਼ਿੰਗ ਵਿੱਚ ਸਿਰਫ਼ ਨਕਲੀ ਲੌਗਇਨ ਫਾਰਮ ਬਣਾਏ ਜਾਂਦੇ ਸਨ। ਅੱਜ ਦੇ ਰਿਵਰਸ ਪ੍ਰੌਕਸੀ ਲਾਈਵ ਵਿਚੋਲੇ ਵਜੋਂ ਕੰਮ ਕਰਦੇ ਹਨ:
ਸਥਿਰ ਪਾਸਵਰਡ ਚੋਰੀ ਕਰਦੀ ਹੈ। ਜੇਕਰ 2FA ਚਾਲੂ ਹੈ ਤਾਂ ਇਹ ਤੁਰੰਤ ਅਸਫ਼ਲ ਹੋ ਜਾਂਦੀ ਹੈ ਕਿਉਂਕਿ ਹਮਲਾਵਰ 60 ਸਕਿੰਟਾਂ ਵਿੱਚ ਖ਼ਤਮ ਹੋਣ ਵਾਲੇ OTP ਕੋਡ ਦੀ ਮੁੜ ਵਰਤੋਂ ਨਹੀਂ ਕਰ ਸਕਦਾ।
ਉਪਭੋਗਤਾ ਅਤੇ ਅਸਲ ਸਰਵਰ ਵਿਚਕਾਰ ਲਾਈਵ ਟ੍ਰੈਫਿਕ ਨੂੰ ਪ੍ਰੌਕਸੀ ਕਰਦੀ ਹੈ। ਜਦੋਂ ਉਪਭੋਗਤਾ SMS ਕੋਡ ਦਾਖਲ ਕਰਦਾ ਹੈ, ਪ੍ਰੌਕਸੀ ਇਸਨੂੰ ਤੁਰੰਤ ਅੱਗੇ ਭੇਜਦੀ ਹੈ, ਪ੍ਰਮਾਣੀਕਰਨ ਪੂਰਾ ਕਰਦੀ ਹੈ, ਅਤੇ ਪ੍ਰਮਾਣਿਤ ਸੈਸ਼ਨ ਕੂਕੀਜ਼ ਅਤੇ OAuth ਬੇਅਰਰ ਟੋਕਨ ਚੋਰੀ ਕਰ ਲੈਂਦੀ ਹੈ।
login.example.com ਅਤੇ login.examp1e.com ਵਿਚਕਾਰ ਫ਼ਰਕ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਦੂਜੇ ਪਾਸੇ, FIDO2/WebAuthn ਪ੍ਰਮਾਣੀਕਰਤਾ ਪਬਲਿਕ-ਕੀ ਦਸਤਖਤਾਂ ਨੂੰ ਸਿੱਧਾ ਬ੍ਰਾਊਜ਼ਰ ਦੇ ਓਰੀਜਿਨ URL ਨਾਲ ਬੰਨ੍ਹਦੇ ਹਨ, ਜਿਸ ਨਾਲ ਫਿਸ਼ਿੰਗ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਤੁਰੰਤ ਰੁਕ ਜਾਂਦੀਆਂ ਹਨ।
05. ਹਮਲੇ ਦਾ ਤਰੀਕਾ 4: IMSI Catchers ਅਤੇ Android ਟਰੋਜਨ
ਸਥਾਨਕ ਰੇਡੀਓ ਫ੍ਰੀਕੁਐਂਸੀ ਅਤੇ ਐਂਡਪੁਆਇੰਟ ਪੱਧਰ 'ਤੇ, SMS ਸੁਨੇਹਿਆਂ ਨੂੰ ਹੋਰ ਗੰਭੀਰ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸਾਹਮਣਾ ਕਰਨਾ ਪੈਂਦਾ ਹੈ:
-
●
IMSI Catchers (Stingrays) ਅਤੇ 2G ਫਾਲਬੈਕ ਹਮਲੇ: ਨਕਲੀ ਪੋਰਟੇਬਲ ਸੈਲੂਲਰ ਬੇਸ ਸਟੇਸ਼ਨ ਉੱਚ-ਸ਼ਕਤੀ ਵਾਲੇ ਸਿਗਨਲ ਪ੍ਰਸਾਰਿਤ ਕਰਦੇ ਹਨ ਜੋ ਨੇੜਲੇ ਫ਼ੋਨਾਂ ਨੂੰ 4G/5G ਤੋਂ ਡਿਸਕਨੈਕਟ ਕਰਕੇ ਪੁਰਾਣੇ 2G (GSM) 'ਤੇ ਆਉਣ ਲਈ ਮਜਬੂਰ ਕਰਦੇ ਹਨ। ਕਿਉਂਕਿ GSM ਬੇਸ ਸਟੇਸ਼ਨ ਨੂੰ ਮੋਬਾਈਲ ਫ਼ੋਨ ਪ੍ਰਤੀ ਪ੍ਰਮਾਣਿਤ ਨਹੀਂ ਕਰਦਾ, ਹਮਲਾਵਰ ਕਮਜ਼ੋਰ A5/1 ਸਾਈਫਰਾਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਕੇ ਵੌਇਸ ਕਾਲਾਂ ਅਤੇ ਪਲੇਨਟੈਕਸਟ SMS ਟੋਕਨਾਂ ਨੂੰ ਹਵਾ ਵਿੱਚੋਂ ਹੀ ਡੀਕ੍ਰਿਪਟ ਕਰ ਲੈਂਦੇ ਹਨ।
-
●
Android SMS ਸਨਿਫਰ ਮਾਲਵੇਅਰ: ਧੋਖੇਬਾਜ਼ ਐਪਸ ਜਾਂ ਥਰਡ-ਪਾਰਟੀ ਏਪੀਕੇ (APKs)
android.permission.RECEIVE_SMSਜਾਂBIND_NOTIFICATION_LISTENER_SERVICEਅਨੁਮਤੀਆਂ ਮੰਗਦੇ ਹਨ। ਇੱਕ ਵਾਰ ਇੰਸਟਾਲ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਬੈਕਗ੍ਰਾਊਂਡ ਸਰਵਿਸਿਜ਼ ਪੁਸ਼ਟੀਕਰਨ ਕੋਡਾਂ ਨੂੰ ਆਉਂਦੇ ਹੀ ਇੰਟਰਸੈਪਟ ਕਰ ਲੈਂਦੀਆਂ ਹਨ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਟੈਲੀਗ੍ਰਾਮ ਬੋਟਾਂ ਜਾਂ ਕਮਾਂਡ-ਐਂਡ-ਕੰਟਰੋਲ ਸਰਵਰਾਂ 'ਤੇ ਅਸਲ ਸਮੇਂ ਵਿੱਚ ਭੇਜ ਦਿੰਦੀਆਂ ਹਨ।
06. NIST SP 800-63B ਰੱਦ ਕਰਨ ਸੰਬੰਧੀ ਦਿਸ਼ਾ-ਨਿਰਦੇਸ਼
ਇਨ੍ਹਾਂ ਖ਼ਤਰਨਾਕ ਹਮਲਿਆਂ ਨੂੰ ਮਾਨਤਾ ਦਿੰਦੇ ਹੋਏ, ਨੈਸ਼ਨਲ ਇੰਸਟੀਚਿਊਟ ਆਫ਼ ਸਟੈਂਡਰਡਜ਼ ਐਂਡ ਟੈਕਨਾਲੋਜੀ (NIST) ਨੇ ਆਪਣੇ ਮਹੱਤਵਪੂਰਨ ਡਿਜੀਟਲ ਪਛਾਣ ਦਸਤਾਵੇਜ਼, Special Publication 800-63B (Digital Identity Guidelines: Authentication and Lifecycle Management) ਵਿੱਚ SMS ਪ੍ਰਮਾਣੀਕਰਨ ਨੂੰ ਅਧਿਕਾਰਤ ਤੌਰ 'ਤੇ ਸੀਮਤ ਕੀਤਾ ਹੈ:
"PSTN ਸਿਸਟਮਾਂ (SMS ਜਾਂ ਵੌਇਸ) ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਆਊਟ-ਆਫ-ਬੈਂਡ (OOB) ਪ੍ਰਮਾਣੀਕਰਨ ਨੂੰ ਰਸਮੀ ਤੌਰ 'ਤੇ RESTRICTED (ਪਾਬੰਦੀਸ਼ੁਦਾ) ਮਨੋਨੀਤ ਕੀਤਾ ਗਿਆ ਹੈ। SMS ਤਸਦੀਕ ਤੈਨਾਤ ਕਰਨ ਵਾਲੇ ਸਿਸਟਮਾਂ ਨੂੰ ਸਿਮ ਸਵੈਪਿੰਗ, ਨੰਬਰ ਸਪੂਫਿੰਗ, ਸਿਗਨਲਿੰਗ ਇੰਟਰਸੈਪਸ਼ਨ, ਅਤੇ ਡਿਵਾਈਸ ਕਲੋਨਿੰਗ ਦੇ ਅਸਲ ਖ਼ਤਰਿਆਂ ਨੂੰ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਦਸਤਾਵੇਜ਼ਬੱਧ ਅਤੇ ਸਵੀਕਾਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। Authenticator Assurance Level 2 (AAL2) ਜਾਂ ਉੱਚ ਪੱਧਰ ਦੀ ਪਾਲਣਾ ਕਰਨ ਵਾਲੀਆਂ ਸੰਸਥਾਵਾਂ ਲਈ, ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਮਲਟੀ-ਫੈਕਟਰ ਪ੍ਰਮਾਣੀਕਰਤਾਵਾਂ (TOTP ਐਪਾਂ ਜਾਂ ਹਾਰਡਵੇਅਰ FIDO ਟੋਕਨਾਂ) ਦੀ ਵਰਤੋਂ ਲਾਜ਼ਮੀ ਤੌਰ 'ਤੇ ਲੋੜੀਂਦੀ ਹੈ।"
ਯੂਰਪੀਅਨ ਅਧਿਕਾਰੀਆਂ (ENISA) ਅਤੇ ਯੂ.ਐੱਸ. ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਅਤੇ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਸੁਰੱਖਿਆ ਏਜੰਸੀ (CISA) ਨੇ ਵੀ ਇਸ ਨੀਤੀ ਦਾ ਸਮਰਥਨ ਕੀਤਾ ਹੈ, ਅਤੇ ਉਦਯੋਗਾਂ ਨੂੰ ਨਾਜ਼ੁਕ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਤੋਂ SMS ਪ੍ਰਮਾਣੀਕਰਨ ਨੂੰ ਪੜਾਅਵਾਰ ਹਟਾਉਣ ਦੇ ਨਿਰਦੇਸ਼ ਦਿੱਤੇ ਹਨ।
07. ਆਰਕੀਟੈਕਚਰ ਤੁਲਨਾ: SMS ਬਨਾਮ TOTP ਬਨਾਮ FIDO2
Time-based One-Time Password (RFC 6238 TOTP) ਬੁਨਿਆਦੀ ਤੌਰ 'ਤੇ SMS ਨਾਲੋਂ ਕਿਉਂ ਉੱਤਮ ਹੈ? ਹੇਠਾਂ ਦਿੱਤੀ ਤੁਲਨਾ ਸੁਰੱਖਿਆ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨੂੰ ਸਪਸ਼ਟ ਕਰਦੀ ਹੈ:
| ਸੁਰੱਖਿਆ ਪਹਿਲੂ | SMS ਤਸਦੀਕ | TOTP ਪ੍ਰਮਾਣੀਕਰਤਾ (RFC 6238) | ਹਾਰਡਵੇਅਰ FIDO2 / YubiKey |
|---|---|---|---|
| ਡਿਲੀਵਰੀ ਚੈਨਲ | ਸੈਲੂਲਰ ਟੈਲੀਕਾਮ ਨੈੱਟਵਰਕ | 100% ਕਲਾਇੰਟ-ਸਾਈਡ ਸਥਾਨਕ ਗਣਿਤ | ਸਥਾਨਕ Secure Element ਚਿੱਪ |
| SIM Swap ਸੁਰੱਖਿਆ | ਜ਼ੀਰੋ (ਤੁਰੰਤ ਚੋਰੀ ਹੋ ਜਾਂਦਾ ਹੈ) | ਪੂਰੀ ਸੁਰੱਖਿਆ (ਫ਼ੋਨ ਨੰਬਰ ਤੋਂ ਸੁਤੰਤਰ) | ਪੂਰੀ ਸੁਰੱਖਿਆ (ਹਾਰਡਵੇਅਰ ਅਲੱਗ-ਥਲੱਗ) |
| SS7 ਸਿਗਨਲਿੰਗ ਇੰਟਰਸੈਪਸ਼ਨ | ਕਮਜ਼ੋਰ | ਪੂਰੀ ਸੁਰੱਖਿਆ (ਜ਼ੀਰੋ ਨੈੱਟਵਰਕ ਪੈਕੇਟ) | ਪੂਰੀ ਸੁਰੱਖਿਆ (ਕੋਈ ਨੈੱਟਵਰਕ ਟ੍ਰਾਂਜ਼ਿਟ ਨਹੀਂ) |
| IMSI Catcher / 2G ਡਾਊਨਗ੍ਰੇਡ | ਕਮਜ਼ੋਰ | ਪੂਰੀ ਸੁਰੱਖਿਆ | ਪੂਰੀ ਸੁਰੱਖਿਆ |
| AiTM ਰਿਵਰਸ ਪ੍ਰੌਕਸੀ (Evilginx) | ਆਸਾਨੀ ਨਾਲ ਬਾਈਪਾਸ | ਦਰਮਿਆਨੀ (ਚੌਕਸੀ ਦੀ ਲੋੜ) | ਸੰਪੂਰਨ (ਓਰੀਜਿਨ ਬਾਈਂਡਿੰਗ) |
| ਏਅਰਪਲੇਨ ਮੋਡ / ਆਫ਼ਲਾਈਨ ਵਰਤੋਂ | ਉਪਲਬਧ ਨਹੀਂ | ਪੂਰੀ ਤਰ੍ਹਾਂ ਕਾਰਜਸ਼ੀਲ (ਸਿਰਫ਼ ਸਮਾਂ ਚਾਹੀਦਾ ਹੈ) | ਪੂਰੀ ਤਰ੍ਹਾਂ ਕਾਰਜਸ਼ੀਲ |
| ਲਾਗੂ ਕਰਨ ਦੀ ਲਾਗਤ | ਪ੍ਰਤੀ SMS ਕੈਰੀਅਰ ਫ਼ੀਸ | ਮੁਫ਼ਤ ਅਤੇ ਖੁੱਲ੍ਹਾ ਸਟੈਂਡਰਡ | ਹਾਰਡਵੇਅਰ ਟੋਕਨ ($45 - $80) |
08. ਅਮਲੀ ਸੁਰੱਖਿਆ ਅਤੇ ਮਾਈਗ੍ਰੇਸ਼ਨ ਰੋਡਮੈਪ
ਇਸ ਕਮਜ਼ੋਰੀ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ ਉਦੋਂ ਤੱਕ ਉਡੀਕ ਨਾ ਕਰੋ ਜਦੋਂ ਤੱਕ ਤੁਹਾਡਾ ਸੈਲੂਲਰ ਸਿਗਨਲ ਰਹੱਸਮਈ ਢੰਗ ਨਾਲ ਗਾਇਬ ਨਾ ਹੋ ਜਾਵੇ। ਅੱਜ ਹੀ ਇਹ ਠੋਸ ਕਦਮ ਚੁੱਕੋ:
Google, Apple ID, GitHub, Binance, Kraken, ਅਤੇ ਆਪਣੇ ਪ੍ਰਾਇਮਰੀ ਈਮੇਲ ਪ੍ਰਦਾਤਾਵਾਂ ਵਿੱਚ ਲੌਗਇਨ ਕਰੋ। ਇੱਕ ਪ੍ਰਮਾਣੀਕਰਤਾ ਐਪ (ਜਿਵੇਂ ਕਿ Aegis, 2FAS, ਜਾਂ Bitwarden) ਜਾਂ ਹਾਰਡਵੇਅਰ ਸੁਰੱਖਿਆ ਕੁੰਜੀ ਦਰਜ ਕਰੋ। ਜੇਕਰ ਇਜਾਜ਼ਤ ਹੋਵੇ, ਤਾਂ SMS ਨੂੰ ਬੈਕਅੱਪ ਰਿਕਵਰੀ ਵਿਧੀ ਵਜੋਂ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਅਸਮਰੱਥ ਕਰੋ।
ਆਪਣੇ ਟੈਲੀਕਾਮ ਪ੍ਰਦਾਤਾ ਨਾਲ ਸੰਪਰਕ ਕਰੋ ਅਤੇ ਇੱਕ ਲਾਜ਼ਮੀ ਪੋਰਟ-ਆਊਟ ਪਿੰਨ ਜਾਂ "Account Takeover Freeze" ਕੌਂਫਿਗਰ ਕਰੋ। iOS/Android ਸੈਟਿੰਗਾਂ ਦੇ ਅੰਦਰ ਆਨ-ਡਿਵਾਈਸ SIM PIN ਨੂੰ ਸਮਰੱਥ ਬਣਾਓ ਤਾਂ ਜੋ ਚੋਰੀ ਹੋਇਆ ਭੌਤਿਕ ਸਿਮ ਕਾਰਡ ਕਿਸੇ ਹੋਰ ਫ਼ੋਨ ਵਿੱਚ ਨਾ ਪਾਇਆ ਜਾ ਸਕੇ।
ਜਦੋਂ ਵੀ ਤੁਸੀਂ ਪ੍ਰਮਾਣੀਕਰਤਾ ਸੈੱਟਅੱਪ ਕਰਦੇ ਹੋ, ਕੱਚੀ 16-ਅੱਖਰਾਂ ਦੀ Base32 ਸੀਕਰੇਟ ਕੁੰਜੀ ਨੂੰ ਇੱਕ ਆਫ਼ਲਾਈਨ ਭੌਤਿਕ ਮਾਧਿਅਮ (ਕਾਗਜ਼ ਜਾਂ ਏਨਕ੍ਰਿਪਟਡ ਕੋਲਡ ਸਟੋਰੇਜ) 'ਤੇ ਸਟੋਰ ਕਰੋ ਅਤੇ ਖਾਤੇ ਦੇ 10 ਸਿੰਗਲ-ਯੂਜ਼ ਐਮਰਜੈਂਸੀ ਰਿਕਵਰੀ ਕੋਡਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖੋ।
09. ਅਕਸਰ ਪੁੱਛੇ ਜਾਂਦੇ ਸਵਾਲ (FAQ)
ਸ1: ਕੀ ਕੋਈ ਦੂਜਾ ਫੈਕਟਰ ਨਾ ਹੋਣ ਨਾਲੋਂ SMS 2FA ਹੋਣਾ ਅਜੇ ਵੀ ਬਿਹਤਰ ਨਹੀਂ ਹੈ? ▼
ਕਮਜ਼ੋਰ ਪਾਸਵਰਡਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਣ ਵਾਲੇ ਬੁਨਿਆਦੀ ਸਵੈਚਲਿਤ ਬੋਟ ਹਮਲਿਆਂ ਲਈ, SMS 2FA ਨਾਮਾਤਰ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਹਾਲਾਂਕਿ, SMS 2FA ਦਾ ਵਿਰੋਧਾਭਾਸ ਇਹ ਹੈ ਕਿ ਸੇਵਾਵਾਂ ਤੁਹਾਡੇ ਫ਼ੋਨ ਨੰਬਰ ਨੂੰ ਇੱਕ ਅਚੂਕ ਮਾਸਟਰ ਰਿਕਵਰੀ ਕੁੰਜੀ ਵਜੋਂ ਮੰਨਦੀਆਂ ਹਨ। ਜੇਕਰ ਕੋਈ ਹਮਲਾਵਰ ਤੁਹਾਡੇ ਸਿਮ ਨੂੰ ਸਵੈਪ ਕਰਦਾ ਹੈ, ਤਾਂ SMS ਸੁਰੱਖਿਆ ਬਣਨ ਦੀ ਬਜਾਏ ਤੁਹਾਡੇ ਹਰੇਕ ਪਾਸਵਰਡ ਨੂੰ ਰੀਸੈੱਟ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਣ ਵਾਲਾ ਹਥਿਆਰ ਬਣ ਜਾਂਦਾ ਹੈ।
ਸ2: ਕੀ eSIM ਦੀ ਵਰਤੋਂ ਕਰਨ ਨਾਲ ਮੈਂ SIM Swapping ਤੋਂ ਸੁਰੱਖਿਅਤ ਰਹਿੰਦਾ ਹਾਂ? ▼
ਨਹੀਂ। eSIM ਭੌਤਿਕ ਕਾਰਡ ਚੋਰੀ ਤੋਂ ਬਚਾਉਂਦਾ ਹੈ, ਪਰ ਇਹ ਸੋਸ਼ਲ ਇੰਜੀਨੀਅਰਿੰਗ ਤੋਂ ਨਹੀਂ ਬਚਾਉਂਦਾ। ਜੋ ਹਮਲਾਵਰ ਕਿਸੇ ਕੈਰੀਅਰ ਪ੍ਰਤੀਨਿਧੀ ਨੂੰ ਤੁਹਾਡਾ ਨੰਬਰ ਦੁਬਾਰਾ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਮਨਾ ਲੈਂਦੇ ਹਨ, ਉਹ ਸਿਰਫ਼ ਇੱਕ ਇਲੈਕਟ੍ਰਾਨਿਕ eSIM QR ਕੋਡ ਪ੍ਰਾਪਤ ਕਰਦੇ ਹਨ, ਅਤੇ ਸਕਿੰਟਾਂ ਵਿੱਚ ਇੰਟਰਨੈਟ ਰਾਹੀਂ ਤੁਹਾਡਾ ਨੰਬਰ ਆਪਣੇ ਡਿਵਾਈਸ 'ਤੇ ਡਾਊਨਲੋਡ ਕਰ ਲੈਂਦੇ ਹਨ।
ਸ3: ਰਿਟੇਲ ਬੈਂਕ ਅਜੇ ਵੀ SMS ਤਸਦੀਕ ਨੂੰ ਲਾਜ਼ਮੀ ਕਿਉਂ ਕਰਦੇ ਹਨ? ▼
ਗਾਹਕਾਂ ਦੀ ਆਦਤ ਅਤੇ ਤਕਨੀਕੀ ਸਹਾਇਤਾ ਦੇ ਖ਼ਰਚੇ ਕਾਰਨ। ਲੱਖਾਂ ਗ਼ੈਰ-ਤਕਨੀਕੀ ਬੈਂਕਿੰਗ ਗਾਹਕਾਂ ਨੂੰ ਪ੍ਰਮਾਣੀਕਰਤਾ ਐਪਸ ਵੱਲ ਮਜਬੂਰ ਕਰਨਾ ਕਾਲ ਸੈਂਟਰਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰੇਗਾ। ਇਸਦੀ ਬਜਾਏ ਬੈਂਕ ਸਾਲਾਨਾ ਕਰੋੜਾਂ ਡਾਲਰਾਂ ਦੀ ਧੋਖਾਧੜੀ ਦੇ ਨੁਕਸਾਨ ਨੂੰ ਸਹਿਣ ਕਰਦੇ ਹਨ ਅਤੇ ਪਰਦੇ ਪਿੱਛੇ ਚੱਲਣ ਵਾਲੇ ਜੋਖਮ ਮਾਡਲਾਂ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹਨ (ਜਿਵੇਂ ਕਿ ਟੈਲੀਕਾਮ ਕੰਪਨੀਆਂ ਨੂੰ ਇਹ ਪੁੱਛਣਾ ਕਿ ਕੀ ਪਿਛਲੇ 24 ਘੰਟਿਆਂ ਵਿੱਚ ਕੋਈ ਸਿਮ ਬਦਲਿਆ ਗਿਆ ਸੀ)।
ਸ4: ਜੇਕਰ ਮੇਰੇ ਸਮਾਰਟਫ਼ੋਨ 'ਤੇ ਅਚਾਨਕ "No Service" ਦਿਖਾਈ ਦੇਵੇ ਤਾਂ ਮੈਨੂੰ ਤੁਰੰਤ ਕੀ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ? ▼
ਇਸਨੂੰ ਇੱਕ ਗੰਭੀਰ ਸੁਰੱਖਿਆ ਘਟਨਾ ਮੰਨੋ। ਤੁਰੰਤ Wi-Fi ਨਾਲ ਕਨੈਕਟ ਕਰੋ, ਲੈਂਡਲਾਈਨ ਜਾਂ ਕਿਸੇ ਹੋਰ ਫ਼ੋਨ ਤੋਂ ਆਪਣੇ ਸੈਲੂਲਰ ਆਪਰੇਟਰ ਨੂੰ ਕਾਲ ਕਰੋ, ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕੀ ਤੁਹਾਡਾ ਨੰਬਰ ਪੋਰਟ ਆਊਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਸਦੇ ਨਾਲ ਹੀ ਇੱਕ ਡੈਸਕਟੌਪ ਕੰਪਿਊਟਰ ਤੋਂ ਆਪਣੇ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਐਕਸਚੇਂਜ ਖਾਤਿਆਂ ਨੂੰ ਫ੍ਰੀਜ਼ ਕਰੋ ਅਤੇ ਆਪਣੇ ਮਾਸਟਰ ਈਮੇਲ ਪਾਸਵਰਡ ਬਦਲੋ।
ਸ5: ਕੀ ਮੇਰਾ ਸਿਮ ਸਵੈਪ ਕਰਨ ਵਾਲਾ ਹਮਲਾਵਰ ਮੇਰੇ TOTP ਪ੍ਰਮਾਣੀਕਰਤਾ ਨੂੰ ਕੰਪਰੋਮਾਈਜ਼ ਕਰ ਸਕਦਾ ਹੈ? ▼
ਨਹੀਂ। ਪ੍ਰਮਾਣੀਕਰਤਾ ਐਪਸ ਤੁਹਾਡੀ ਡਿਵਾਈਸ ਦੇ ਅਲੱਗ-ਥਲੱਗ ਹਾਰਡਵੇਅਰ ਕੀਸਟੋਰ ਦੇ ਅੰਦਰ ਸਟੋਰ ਕੀਤੀ ਇੱਕ ਪੂਰਵ-ਸਾਂਝੀ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਕੋਡ ਤਿਆਰ ਕਰਦੀਆਂ ਹਨ। ਸੈਲੂਲਰ ਨੈੱਟਵਰਕ ਦੀ ਇਸ ਕੁੰਜੀ ਤੱਕ ਜ਼ੀਰੋ ਪਹੁੰਚ ਹੁੰਦੀ ਹੈ। ਭਾਵੇਂ ਕੋਈ ਹਮਲਾਵਰ ਤੁਹਾਡੇ ਫ਼ੋਨ ਨੰਬਰ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਕੰਟਰੋਲ ਕਰ ਲਵੇ, ਉਹ ਤੁਹਾਡੇ TOTP ਕੋਡ ਤਿਆਰ ਨਹੀਂ ਕਰ ਸਕਦਾ।
ਸਿੱਧੇ ਆਪਣੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਸੁਰੱਖਿਅਤ TOTP ਕੋਡ ਤਿਆਰ ਕਰੋ
ਸੈਲੂਲਰ ਇੰਟਰਸੈਪਟ ਖ਼ਤਰਿਆਂ ਨੂੰ ਅਲਵਿਦਾ ਕਹੋ। 2FA-Tool ਤੁਹਾਡੀਆਂ ਕੁੰਜੀਆਂ ਨੂੰ ਨਿੱਜੀ ਅਤੇ ਆਫ਼ਲਾਈਨ ਰੱਖਦੇ ਹੋਏ, ਤੁਹਾਡੇ ਸਥਾਨਕ ਬ੍ਰਾਊਜ਼ਰ ਸੈਂਡਬਾਕਸ ਵਿੱਚ RFC 6238 ਕੋਡ ਤਿਆਰ ਕਰਨ ਲਈ W3C Web Crypto API ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ।