Pět (5) největších rizik spojených s vícefaktorovým ověřováním pomocí SMS

Jakožto veteráni kybernetické bezpečnosti jsme v CyberHoot vCISO byli svědky vývoje technik vícefaktorového ověřování (MFA) v průběhu let. Přestože je MFA založená na SMS široce používána pro své pohodlí a snadnou implementaci, má několik zranitelností, které mohou útočníci zneužít. V tomto blogu se budeme zabývat riziky spojenými s MFA založenou na SMS, včetně nedostatečného šifrování, výpadků sítě, útoků SS7, sociálního inženýrství a výměny SIM karet. Dále doporučíme alternativní řešení MFA, která poskytují lepší zabezpečení.

Rizika spojená s víceúčelovou finanční pomoc (MFA) založenou na SMS:

Vícefaktorová autentizace (MFA) založená na SMS je zranitelná vůči různým typům útoků, což ji činí méně bezpečnou než jiné metody MFA. Významnými riziky spojenými s MFA založenou na SMS jsou absence šifrování SMS zpráv, riziko útoků SS7, sociální inženýrství a výměna SIM karet.

Nedostatek šifrování:

SMS zprávy nejsou šifrované, a proto je mohou útočníci zachytit a přečíst. Pokud SMS zpráva obsahuje citlivé informace, například šestimístný ověřovací kód, mohou ji útočníci použít k získání přístupu k cílovému účtu.

Výpadky sítě

Mobilní operátoři nejsou imunní vůči výpadkům sítě, které znemožňují odesílání SMS zpráv. K takovým výpadkům, i když jsou vzácné, může dojít, i když je internet stále funkční, a v případě nouze vám tak zabrání v přístupu k vašim důležitým účtům.

Útok signalizačního systému 7 (SS7):

SS7 je zkratka pro Signaling System 7, protokol, který byl poprvé nasazen v roce 1988 a naposledy aktualizován v roce 1993 (před 30 lety). Používají jej telekomunikační společnosti k výměně informací mezi sítěmi mobilních operátorů. Hackeři mohou zneužít zranitelnosti v SS7 k zachycení a přesměrování SMS zpráv určených pro zamýšleného příjemce. Tento útok je známý jako útok SS7. Umožňuje útočníkům zachytit proces MFA a získat přístup k přihlašovacím údajům druhého faktoru cílových účtů. V kombinaci s opakovaně použitým heslem mohou hackeři získat přístup ke kritickým účtům pomocí této formy ochrany MFA.

Sociální inženýrství:

Sociální inženýrství je taktika, kterou útočníci používají k oklamání jednotlivců a k vyzrazení důvěrných informací. V případě víceúčelového útoku (MFA) založeného na SMS mohou útočníci kontaktovat mobilního operátora oběti a vydávat se za oběť, aby získali SIM kartu spojenou s jejím telefonním číslem. S touto SIM kartou může útočník přijímat SMS zprávy určené pro oběť, čímž obejde proces víceúčelového útoku (MFA) a získá přístup k cílovému účtu. Další formou útoku na SIM kartu je tzv. výměna SIM karty (SIM-Swapping), kterou si nyní probereme.

Výměna SIM karty:

Výměna SIM karty je technika, kterou útočníci používají k získání kontroly nad telefonním číslem oběti. Útočníci se mohou vydávat za oběť a přesvědčit poskytovatele mobilních služeb k převodu telefonního čísla oběti na SIM kartu, kterou vlastní. S kontrolou telefonního čísla oběti získá útočník přístup k druhému faktoru, SMS kódu, a získá přístup k cílovému účtu s odhaleným, znovu použitým nebo prolomeným heslem.

Toto představuje pět největších rizik pro vícefaktorové ověřování založené na SMS. Zaměřme se na osvědčené postupy, které je třeba dodržovat, pokud musíte používat SMS MFA, i když vám CyberHoot nedoporučuje to již dělat. Poté vám poskytneme alternativní metody MFA, které jsou mnohem bezpečnější než MFA založené na SMS.

Nejlepší postupy pro vícefaktorovou autentizaci (MFA) založenou na SMS:

Navzdory svým zranitelnostem může vícefaktorová autentizace založená na SMS při správném použití poskytovat další vrstvu zabezpečení. Zde je několik osvědčených postupů, které mohou pomoci zmírnit rizika spojená s vícefaktorovou autentizací založenou na SMS:

1. Použijte jedinečné, nezveřejněné telefonní číslo: Používejte telefonní číslo, které není přidruženo k žádným jiným účtům ani službám a pokud možno není zveřejněno, abyste snížili riziko útoků sociálního inženýrství a výměny SIM karet.
2. Vyhněte se používání vícefaktorové autentizace (MFA) přes SMS u vysoce rizikových účtů: Nepoužívejte vícefaktorovou autentizaci (MFA) přes SMS u účtů, které mají přístup k citlivým informacím nebo finančním aktivům.
3. Sledujte aktivitu účtu: Pravidelně sledujte aktivitu na účtu a jakoukoli podezřelou aktivitu okamžitě nahlaste poskytovateli služeb.

Lepší alternativní řešení MFA k SMS MFA:

Pro zvýšení zabezpečení MFA existuje několik alternativních řešení, která jsou bezpečnější než MFA založená na SMS. Zde je několik příkladů:

1. Aplikace pro mobilní ověřováníAplikace ověřování, jako například Google Authenticator, Microsoft Authenticator a Authy, generují časově omezené jednorázové heslo (TOTP), které se mění každých 30 sekund. TOTP se používá jako druhý faktor v procesu ověřování a poskytuje tak další vrstvu zabezpečení.
2. Hardwarové tokeny: Hardwarové tokeny jako YubiKey a RSA SecurID generují unikátní kód, který se používá jako druhý faktor v procesu ověřování. Tyto tokeny jsou bezpečnější než MFA založené na SMS a nejsou zranitelné vůči útokům SS7, sociálnímu inženýrství, výměně SIM karet nebo nedostatku šifrování.
3. Biometrická autentizaceBiometrické ověřování využívá fyzické charakteristiky, jako jsou otisky prstů, rozpoznávání obličeje nebo rozpoznávání hlasu, jako druhý faktor v procesu ověřování. Tato metoda je vysoce bezpečná, protože biometrické údaje jsou jedinečné pro každého jednotlivce a nelze je snadno replikovat ani ukrást. Biometrické ověřování je také pohodlné, protože eliminuje nutnost, aby si uživatelé pamatovali hesla nebo nosili u sebe tokeny.

Závěry vícefaktorového ověřování:

Vícefaktorová autentizace (MFA) založená na SMS je široce používanou metodou pro poskytování další vrstvy zabezpečení, ale má značné zranitelnosti, které mohou útočníci zneužít. Nedostatek šifrování, výpadky sítě, útoky SS7, sociální inženýrství a výměna SIM karet jsou rizika spojená s MFA založenou na SMS. I když existují osvědčené postupy, které mohou pomoci tato rizika zmírnit, existují alternativní řešení MFA, která poskytují lepší zabezpečení, jako jsou aplikace pro mobilní ověřování, hardwarové tokeny a biometrické ověřování.

Jakožto veterán v oblasti kybernetické bezpečnosti CyberHoot doporučuje jednotlivcům i organizacím zvážit tato alternativní řešení pro posílení jejich zabezpečení a ochranu citlivých informací a aktiv.

Zabezpečte své podnikání s CyberHootem ještě dnes!!!

Zaregistrujte se teď

Podívejte se na toto dvouminutové video o 5 největších rizicích víceúčelové finanční pomoci (MFA) založené na SMS:

Další četba: Příběhy z krypty o rizicích víceúčelové autentizace založené na SMS