Пять основных (5) рисков многофакторной аутентификации на основе SMS

Будучи ветеранами кибербезопасности, виртуальные специалисты по информационной безопасности CyberHoot наблюдали за развитием методов многофакторной аутентификации (MFA) на протяжении многих лет. Хотя MFA на основе SMS широко используется благодаря удобству и простоте реализации, у него есть ряд уязвимостей, которыми могут воспользоваться злоумышленники. В этой статье мы обсудим риски, связанные с MFA на основе SMS, включая отсутствие шифрования, сбои в работе сети, атаки на SS7, социальную инженерию и подмену SIM-карт. Кроме того, мы порекомендуем альтернативные решения MFA, обеспечивающие более высокий уровень безопасности.

Риски, связанные с многофакторной аутентификацией с помощью SMS:

Многофакторная аутентификация (MFA) на основе SMS уязвима к различным типам атак, что делает её менее безопасной, чем другие методы MFA. Отсутствие шифрования SMS-сообщений, риск атак на SS7, социальная инженерия и подмена SIM-карт — серьёзные риски, связанные с MFA на основе SMS.

Отсутствие шифрования:

SMS-сообщения не зашифрованы, поэтому злоумышленники могут перехватить и прочитать их. Если SMS-сообщение содержит конфиденциальную информацию, например, шестизначный код аутентификации, злоумышленники могут использовать его для получения доступа к целевой учётной записи.

Сбои в сети

Сети мобильных операторов не застрахованы от сбоев, из-за которых SMS-сообщения недоступны. Такие сбои, хоть и редкие, могут происходить даже при работающем интернете, что может помешать вам получить доступ к критически важным аккаунтам в экстренных случаях.

Атака сигнальной системы 7 (SS7):

SS7 расшифровывается как Signaling System 7 (Сигнальная система 1988), протокол, впервые развернутый в 1993 году и последний раз обновлявшийся в 30 году (7 лет назад). Он используется телекоммуникационными компаниями для обмена информацией между сетями операторов мобильной связи. Хакеры могут использовать уязвимости SS7 для перехвата и перенаправления SMS-сообщений, предназначенных получателю. Эта атака известна как атака SS2. Она позволяет злоумышленникам перехватить процесс MFA и получить доступ к данным второго фактора аутентификации целевых аккаунтов. В сочетании с повторно используемым паролем хакеры могут получить доступ к критически важным аккаунтам, используя эту форму защиты MFA.

Социальная инженерия:

Социальная инженерия — это тактика, используемая злоумышленниками, чтобы обманом заставить людей раскрыть конфиденциальную информацию. В случае многофакторной аутентификации (MFA) через SMS злоумышленники могут связаться с оператором мобильной связи жертвы и выдать себя за неё, чтобы получить SIM-карту, привязанную к её номеру телефона. Используя SIM-карту, злоумышленник может получать SMS-сообщения, предназначенные жертве, минуя процесс MFA и получая доступ к целевой учётной записи. Другой вид атаки с использованием SIM-карт называется SIM-свопингом, который мы сейчас рассмотрим.

Замена SIM-карты:

Подмена SIM-карт — это метод, используемый злоумышленниками для получения контроля над номером телефона жертвы. Злоумышленники могут выдать себя за жертву, чтобы убедить оператора мобильной связи перенести номер телефона жертвы на SIM-карту, находящуюся в их распоряжении. Получив контроль над номером телефона жертвы, злоумышленник получает доступ ко второму фактору аутентификации (коду из SMS) и к целевой учётной записи, используя раскрытый, повторно использованный или взломанный пароль.

Вот пять основных рисков многофакторной аутентификации через SMS. Давайте рассмотрим рекомендации, которым стоит следовать, если вам необходимо использовать SMS MFA, несмотря на то, что CyberHoot больше не рекомендует этого делать. Затем мы предложим вам альтернативные методы MFA, которые гораздо безопаснее, чем MFA через SMS.

Лучшие практики для многофакторной аутентификации на основе SMS:

Несмотря на свою уязвимость, многофакторная аутентификация (MFA) на основе SMS при правильном использовании может обеспечить дополнительный уровень безопасности. Вот несколько рекомендаций, которые помогут снизить риски, связанные с MFA на основе SMS:

1. Используйте уникальный, неопубликованный номер телефона: По возможности используйте номер телефона, не связанный с другими учетными записями или службами и не опубликованный, чтобы снизить риск атак с использованием социальной инженерии и подмены SIM-карт.
2. Избегайте использования многофакторной аутентификации на основе SMS для счетов с высоким уровнем риска: Избегайте использования многофакторной аутентификации на основе SMS для учетных записей, имеющих доступ к конфиденциальной информации или финансовым активам.
3. Мониторинг активности аккаунта: Регулярно контролируйте активность на счете и немедленно сообщайте поставщику услуг о любых подозрительных действиях.

Лучшие альтернативные решения MFA для SMS MFA:

Для повышения безопасности MFA существует несколько альтернативных решений, более безопасных, чем MFA на основе SMS. Вот несколько примеров:

1. Мобильные приложения для аутентификации: Приложения для аутентификации, такие как Google Authenticator, Microsoft Authenticator и Authy, генерируют одноразовый пароль (TOTP), который меняется каждые 30 секунд. TOTP используется в качестве второго фактора аутентификации, обеспечивая дополнительный уровень безопасности.
2. Аппаратные токены: Аппаратные токены, такие как YubiKey и RSA SecurID, генерируют уникальный код, который используется в качестве второго фактора аутентификации. Эти токены более безопасны, чем многофакторная аутентификация через SMS, и не подвержены атакам SS7, социальной инженерии, подмене SIM-карт и отсутствию шифрования.
3. Биометрическая аутентификацияБиометрическая аутентификация использует физические характеристики, такие как отпечатки пальцев, распознавание лица или голоса, в качестве второго фактора аутентификации. Этот метод отличается высокой безопасностью, поскольку биометрические данные уникальны для каждого человека и не могут быть легко скопированы или украдены. Биометрическая аутентификация также удобна, поскольку избавляет пользователей от необходимости запоминать пароли или носить токены.

Выводы по многофакторной аутентификации:

Многофакторная аутентификация (MFA) на основе SMS широко используется для обеспечения дополнительного уровня безопасности, но она имеет существенные уязвимости, которыми могут воспользоваться злоумышленники. Отсутствие шифрования, сбои в работе сети, атаки на SS7, социальная инженерия и подмена SIM-карт — всё это риски, связанные с MFA на основе SMS. Хотя существуют передовые практики, помогающие снизить эти риски, существуют альтернативные решения MFA, обеспечивающие более высокий уровень безопасности, такие как мобильные приложения-аутентификаторы, аппаратные токены и биометрическая аутентификация.

Будучи ветераном в сфере кибербезопасности, CyberHoot рекомендует частным лицам и организациям рассмотреть эти альтернативные решения для повышения уровня безопасности и защиты своей конфиденциальной информации и активов.

Защитите свой бизнес с CyberHoot сегодня!!!

Подписаться

Посмотрите это 2-минутное видео о 5 главных рисках многофакторной аутентификации с помощью SMS:

Дополнительная литература: «Истории из склепа» о рисках многофакторной аутентификации на основе SMS.