Lima (5) Risiko Teratas daripada Pengesahan Berbilang Faktor Berasaskan SMS

Sebagai veteran Cybersecurity, CyberHoot vCISO telah melihat evolusi teknik Pengesahan Berbilang Faktor (MFA) selama ini. Walaupun MFA berasaskan SMS telah digunakan secara meluas untuk kemudahan dan kemudahan pelaksanaannya, ia mempunyai beberapa kelemahan yang boleh dieksploitasi oleh penyerang. Dalam blog ini, kami akan membincangkan risiko yang berkaitan dengan MFA berasaskan SMS, termasuk kekurangan penyulitan, gangguan rangkaian, serangan SS7, kejuruteraan sosial dan Pertukaran SIM. Selain itu, kami akan mengesyorkan penyelesaian MFA alternatif yang memberikan keselamatan yang lebih baik.

Risiko Berkaitan dengan MFA berasaskan SMS:

MFA berasaskan SMS terdedah kepada pelbagai jenis serangan, menjadikannya kurang selamat berbanding kaedah MFA lain. Kekurangan penyulitan pada mesej SMS, risiko serangan SS7, kejuruteraan sosial dan pertukaran SIM adalah risiko penting yang dikaitkan dengan MFA berasaskan SMS.

Kekurangan Penyulitan:

Mesej SMS tidak disulitkan, dan akibatnya, ia boleh dipintas dan dibaca oleh penyerang. Jika mesej SMS mengandungi maklumat sensitif, seperti kod pengesahan enam digit, ia boleh digunakan oleh penyerang untuk mendapatkan akses kepada akaun yang disasarkan.

Gangguan Rangkaian

Rangkaian pembawa mudah alih tidak terlepas daripada gangguan rangkaian yang menyebabkan SMS tidak tersedia. Gangguan sedemikian, walaupun jarang berlaku semasa Internet kekal aktif dan berfungsi dengan itu menghalang anda daripada mengakses akaun kritikal anda semasa kecemasan.

Serangan Sistem Isyarat 7 (SS7):

SS7 adalah singkatan dari Signaling System 7, sebuah protokol yang pertama kali digunakan pada tahun 1988 dan terakhir dikemas kini pada tahun 1993 (30 tahun yang lalu). Ia digunakan oleh syarikat telekomunikasi untuk bertukar maklumat antara rangkaian pembawa mudah alih. Penggodam boleh mengeksploitasi kelemahan dalam SS7 untuk memintas dan mengubah hala mesej SMS yang dimaksudkan untuk penerima yang dimaksudkan. Serangan ini dikenali sebagai serangan SS7. Ia membolehkan penyerang memintas proses MFA dan mendapatkan akses kepada bukti kelayakan faktor kedua akaun yang disasarkan. Digabungkan dengan kata laluan yang digunakan semula dan penggodam boleh mendapat akses kepada akaun kritikal menggunakan bentuk perlindungan MFA ini.

Kejuruteraan sosial:

Kejuruteraan sosial ialah taktik yang digunakan oleh penyerang untuk menipu individu supaya mendedahkan maklumat sulit. Dalam kes MFA berasaskan SMS, penyerang boleh menghubungi penyedia perkhidmatan mudah alih mangsa dan menyamar sebagai mangsa untuk mendapatkan kad SIM yang dikaitkan dengan nombor telefon mangsa. Dengan kad SIM, penyerang boleh menerima mesej SMS yang ditujukan untuk mangsa, memintas proses MFA dan mendapatkan akses kepada akaun yang disasarkan. Satu lagi bentuk serangan kad SIM dipanggil SIM-Swapping yang kini kami periksa.

Pertukaran SIM:

SIM-Swapping ialah teknik yang digunakan oleh penyerang untuk mengawal nombor telefon mangsa. Penyerang boleh menyamar sebagai mangsa untuk meyakinkan penyedia perkhidmatan mudah alih untuk memindahkan nombor telefon mangsa ke kad SIM yang mereka miliki. Dengan kawalan nombor telefon mangsa, penyerang mendapat akses kepada faktor ke-2, kod SMS dan mendapat akses kepada akaun yang disasarkan dengan kata laluan akaun yang terdedah, digunakan semula atau dipecahkan.

Ini mewakili lima risiko teratas kepada pengesahan pelbagai faktor berasaskan SMS. Mari kita beralih perhatian kepada amalan terbaik untuk diikuti jika anda mesti menggunakan SMS MFA walaupun CyberHoot mengesyorkan anda untuk tidak lagi. Kami kemudiannya akan memberikan anda kaedah MFA alternatif yang jauh lebih selamat daripada MFA berasaskan SMS.

Amalan Terbaik untuk MFA berasaskan SMS:

Walaupun kelemahannya, MFA berasaskan SMS masih boleh menyediakan lapisan keselamatan tambahan apabila digunakan dengan betul. Berikut ialah beberapa amalan terbaik yang boleh membantu mengurangkan risiko yang berkaitan dengan MFA berasaskan SMS:

1. Gunakan nombor telefon yang unik dan tidak diterbitkan: Gunakan nombor telefon yang tidak dikaitkan dengan mana-mana akaun atau perkhidmatan lain dan tidak diterbitkan jika boleh, untuk mengurangkan risiko serangan kejuruteraan sosial dan Pertukaran SIM.
2. Elakkan menggunakan MFA berasaskan SMS untuk akaun berisiko tinggi: Elakkan menggunakan MFA berasaskan SMS untuk akaun yang mempunyai akses kepada maklumat sensitif atau aset kewangan.
3. Pantau aktiviti akaun: Pantau aktiviti akaun dengan kerap dan laporkan sebarang aktiviti yang mencurigakan kepada pembekal perkhidmatan dengan segera.

Penyelesaian MFA Alternatif yang Lebih Baik untuk SMS MFA:

Untuk meningkatkan keselamatan MFA, wujud beberapa penyelesaian alternatif yang lebih selamat daripada MFA berasaskan SMS. Berikut adalah beberapa contoh:

1. Apl Pengesah Mudah Alih: Apl pengesah seperti Google Authenticator, Microsoft Authenticator dan Authy menjana kata laluan satu masa (TOTP) berasaskan masa yang berubah setiap 30 saat. TOTP digunakan sebagai faktor kedua dalam proses pengesahan, menyediakan lapisan keselamatan tambahan.
2. Token Perkakasan: Token perkakasan seperti YubiKey dan RSA SecurID menjana kod unik yang digunakan sebagai faktor kedua dalam proses pengesahan. Token ini lebih selamat daripada MFA berasaskan SMS dan tidak terdedah kepada serangan SS7, kejuruteraan sosial, Pertukaran SIM atau kekurangan penyulitan.
3. Pengesahan Biometrik: Pengesahan biometrik menggunakan ciri fizikal seperti cap jari, pengecaman muka atau pengecaman suara sebagai faktor kedua dalam proses pengesahan. Kaedah ini sangat selamat, kerana data biometrik adalah unik untuk setiap individu dan tidak boleh direplikasi atau dicuri dengan mudah. Pengesahan biometrik juga mudah kerana ia menghapuskan keperluan untuk pengguna mengingati kata laluan atau membawa token.

Kesimpulan Pengesahan Pelbagai Faktor:

MFA berasaskan SMS telah menjadi kaedah yang digunakan secara meluas untuk menyediakan lapisan keselamatan tambahan, tetapi ia mempunyai kelemahan ketara yang boleh dieksploitasi oleh penyerang. Kekurangan penyulitan, gangguan rangkaian, serangan SS7, kejuruteraan sosial dan pertukaran SIM adalah semua risiko yang dikaitkan dengan MFA berasaskan SMS. Walaupun terdapat amalan terbaik yang boleh membantu mengurangkan risiko ini, penyelesaian MFA alternatif wujud yang menyediakan keselamatan yang lebih baik, seperti apl pengesah mudah alih, token perkakasan dan pengesahan biometrik.

Sebagai veteran keselamatan siber, CyberHoot mengesyorkan individu dan organisasi mempertimbangkan penyelesaian alternatif ini untuk meningkatkan postur keselamatan mereka dan melindungi maklumat dan aset sensitif mereka.

Lindungi perniagaan anda dengan CyberHoot Today!!!

Daftar Sekarang

Tonton video 2 minit ini mengenai 5 risiko teratas kepada MFA berasaskan SMS:

Bacaan Tambahan: Kisah dari Kript tentang Risiko MFA berasaskan SMS