Reddit: Czy uwierzytelnianie za pomocą wiadomości SMS jest naprawdę bezpieczne?
Niedawno Christopher Slowe ogłosił, że w dniach 14-18 czerwca w serwisie Reddit doszło do naruszenia, które wpłynęło na dane osobowe, wiadomości, hasła, adresy e-mail i inne. Reddit zazwyczaj korzysta z uwierzytelniania dwuskładnikowego w celu zabezpieczenia swoich kont użytkowników. Jednym z etapów tego uwierzytelniania jest wysłanie wiadomości SMS zawierającej unikalny kod umożliwiający zalogowanie się. Hakerom udało się przechwycić te wiadomości tekstowe, udowadniając, że uwierzytelnianie za pomocą wiadomości SMS nie jest tak bezpieczne, jak być może myślało wiele organizacji.
Zawsze sugerujemy, że uwierzytelnianie dwuskładnikowe (2FA) jest rozwiązaniem, jeśli chodzi o zabezpieczanie kont (niezależnie od tego, czy są to konta klientów, czy pracowników). Jak to ujął Christopher Slowe: „dowiedzieliśmy się, że uwierzytelnianie oparte na wiadomościach SMS nie jest tak bezpieczne, jak byśmy sobie tego życzyli, a główny atak polegał na przechwytywaniu wiadomości SMS. Zwracamy na to uwagę, aby zachęcić wszystkich tutaj do przejścia na technologię 2FA opartą na tokenach. ”
Jak to się stało?
Chociaż nie wiadomo, w jaki sposób atakującym udało się zhakować wiadomości SMS, Reddit podkreślił, że same telefony ich użytkowników. Mimo to istnieje wiele sposobów, którymi mogli dotrzeć do tych informacji.
Wiadomo, że napastnicy, powszechnie nazywani wymianą karty SIM, kontaktują się z dostawcami sieci komórkowych i podając się za użytkownika, przekonują ich do zmiany usługi na nową kartę SIM, nad którą atakujący ma kontrolę. Muszą po prostu zasugerować, że aktualna karta SIM została uszkodzona, zagubiona lub wymaga wymiany, a wielu dostawców od czasu do czasu się na nią nabierze.
Inna podobna technika polega na tym, że osoby atakujące żądają przeniesienia numeru telefonu komórkowego użytkownika do nowej sieci. Działa na tej samej zasadzie, co wymiana karty SIM, w tym sensie, że usługi telefoniczne ofiary są wyłączane, a wszelkie wiadomości tekstowe, w tym jednorazowe SMS-y 2FA, są wysyłane na urządzenie kontrolowane przez atakującego.
Jakie są alternatywy dla uwierzytelniania za pomocą wiadomości SMS?
Pomimo tej niewielkiej luki w bezpieczeństwie tekstowego 2FA, inne formy 2FA nadal sprawiają, że jest to jeden z najlepszych sposobów zabezpieczania kont użytkowników przed hakerami. Popularną i dość nową metodą 2FA jest aplikacja oparta na aplikacji, np. Google Authenticator, która oddziela hasło od sieci telefonicznej. Oznacza to, że gdyby haker chciał zdobyć ten kod, musiałby go fizycznie ukraść lub zainfekować jakimś złośliwym oprogramowaniem.
Z technicznego punktu widzenia proces ten można nazwać uwierzytelnianiem dwuetapowym, ponieważ 2FA zwykle obejmuje hasło z inną formą uwierzytelnienia, taką jak uwierzytelnianie biometryczne lub urządzenie. Ponieważ uwierzytelnianie oparte na aplikacji nadal opiera się na dwóch typach haseł, teoretycznie nadal jest narażone na ataki phishingowe i inne podobne zagrożenia cyberbezpieczeństwa.
Inna powszechnie stosowana metoda 2FA i być może najbezpieczniejsza wersja polega na użyciu kluczy fizycznych, takich jak urządzenia oparte na USB. Umożliwiają one użytkownikom logowanie się do systemów poprzez proste włożenie urządzenia i zarejestrowanie go w usłudze 2FA na tej konkretnej stronie internetowej. Po zarejestrowaniu użytkownik nie będzie już musiał wpisywać hasła, może po prostu zalogować się za pomocą urządzenia. Istnieje jednak kilka ograniczeń tej metody, w tym fakt, że niewiele witryn akceptuje obecnie używanie kluczy bezpieczeństwa jako metody uwierzytelniania.
Jak 2FA pasuje do Twojego planu bezpieczeństwa?
Niezależnie od tego, jakiej metody 2FA używasz, w tym tekstowej 2FA, jest ona prawdopodobnie znacznie bezpieczniejsza niż poleganie wyłącznie na hasłach. Jednak 2FA to dopiero początek budowania planu bezpieczeństwa, który naprawdę chroni Twoje wrażliwe dane i systemy. Kompleksowy plan bezpieczeństwa obejmuje regularne oceny ryzyka IT, szkolenia w zakresie bezpieczeństwa w całej organizacji, rygorystyczne zasady dotyczące haseł, regularne aktualizacje oprogramowania i rozwiązanie do audytu zmian, które pozwala monitorować sposób, w jaki użytkownicy wchodzą w interakcję z Twoimi danymi i otaczającymi je systemami.
Jeśli chcesz mieć pewność, że masz działającą strategię bezpieczeństwa swoich danych, zadzwoń do nas już dziś.