Päť (5) najväčších rizík spojených s viacfaktorovým overovaním prostredníctvom SMS

Ako veteráni kybernetickej bezpečnosti, CyberHoot vCISOs boli svedkami vývoja techník viacfaktorového overovania (MFA) v priebehu rokov. Hoci sa MFA založená na SMS široko používa pre svoje pohodlie a jednoduchú implementáciu, má niekoľko zraniteľností, ktoré môžu útočníci zneužiť. V tomto blogu sa budeme venovať rizikám spojeným s MFA založenou na SMS, vrátane nedostatočného šifrovania, výpadkov siete, útokov SS7, sociálneho inžinierstva a výmeny SIM kariet. Okrem toho odporučíme alternatívne riešenia MFA, ktoré poskytujú lepšiu bezpečnosť.

Riziká spojené s viacúčelovou fajčiarskou službou (MFA) založenou na SMS:

MFA založená na SMS je zraniteľná voči rôznym typom útokov, vďaka čomu je menej bezpečná ako iné metódy MFA. Nedostatočné šifrovanie SMS správ, riziko útokov SS7, sociálne inžinierstvo a výmena SIM kariet sú významnými rizikami spojenými s MFA založenou na SMS.

Nedostatok šifrovania:

SMS správy nie sú šifrované, a preto ich útočníci môžu zachytiť a prečítať. Ak SMS správa obsahuje citlivé informácie, ako napríklad šesťmiestny overovací kód, útočníci ju môžu použiť na získanie prístupu k cieľovému účtu.

Výpadky siete

Mobilné siete nie sú imúnne voči výpadkom siete, ktoré znemožňujú odosielanie SMS správ. Takéto výpadky, hoci sú zriedkavé, sa môžu vyskytnúť, aj keď je internet stále funkčný, a v prípade núdze vám tak zabránia v prístupe k vašim dôležitým účtom.

Útok signalizačného systému 7 (SS7):

SS7 je skratka pre Signaling System 7, protokol, ktorý bol prvýkrát nasadený v roku 1988 a naposledy aktualizovaný v roku 1993 (pred 30 rokmi). Používajú ho telekomunikačné spoločnosti na výmenu informácií medzi sieťami mobilných operátorov. Hackeri môžu zneužiť zraniteľnosti v SS7 na zachytenie a presmerovanie SMS správ určených pre zamýšľaného príjemcu. Tento útok je známy ako útok SS7. Umožňuje útočníkom zachytiť proces MFA a získať prístup k prihlasovacím údajom druhého faktora cieľových účtov. V kombinácii s opakovane použitým heslom môžu hackeri získať prístup ku kritickým účtom pomocou tejto formy ochrany MFA.

Sociálne inžinierstvo:

Sociálne inžinierstvo je taktika, ktorú útočníci používajú na oklamanie jednotlivcov a vynútenie si prezradenia dôverných informácií. V prípade viacúčelového útoku (MFA) prostredníctvom SMS môžu útočníci kontaktovať poskytovateľa mobilných služieb obete a vydávať sa za obeť, aby získali SIM kartu spojenú s jej telefónnym číslom. Pomocou SIM karty môže útočník prijímať SMS správy určené pre obeť, čím obíde proces MFA a získa prístup k cieľovému účtu. Ďalšou formou útoku na SIM kartu je výmena SIM karty (SIM-Swapping), ktorú teraz preskúmame.

Výmena SIM karty:

Výmena SIM karty je technika, ktorú útočníci používajú na získanie kontroly nad telefónnym číslom obete. Útočníci sa môžu vydávať za obeť, aby presvedčili poskytovateľa mobilných služieb, aby preniesol telefónne číslo obete na SIM kartu, ktorú vlastní. S kontrolou nad telefónnym číslom obete získa útočník prístup k druhému faktoru, SMS kódu, a získa prístup k cieľovému účtu s odhaleným, opakovane použitým alebo prelomeným heslom.

Toto predstavuje päť najväčších rizík viacfaktorového overovania založeného na SMS. Zamerajme sa na osvedčené postupy, ktoré treba dodržiavať, ak musíte používať SMS MFA, aj keď vám CyberHoot neodporúča používať ho. Následne vám poskytneme alternatívne metódy MFA, ktoré sú oveľa bezpečnejšie ako MFA založená na SMS.

Najlepšie postupy pre MFA prostredníctvom SMS:

Napriek svojim zraniteľnostiam môže MFA založená na SMS pri správnom používaní poskytnúť ďalšiu vrstvu zabezpečenia. Tu je niekoľko osvedčených postupov, ktoré môžu pomôcť zmierniť riziká spojené s MFA založenou na SMS:

1. Použite jedinečné, nezverejnené telefónne číslo: Používajte telefónne číslo, ktoré nie je prepojené so žiadnymi inými účtami alebo službami a ak je to možné, nie je zverejnené, aby ste znížili riziko útokov sociálneho inžinierstva a výmeny SIM kariet.
2. Vyhnite sa používaniu viacfaktorovej autentifikácie (MFA) prostredníctvom SMS pre vysoko rizikové účty: Nepoužívajte viacfaktorovú autentifikáciu (MFA) prostredníctvom SMS správ pre účty, ktoré majú prístup k citlivým informáciám alebo finančným aktívam.
3. Sledujte aktivitu účtu: Pravidelne monitorujte aktivitu na účte a akúkoľvek podozrivú aktivitu okamžite nahláste poskytovateľovi služieb.

Lepšie alternatívne riešenia MFA k SMS MFA:

Na zvýšenie bezpečnosti MFA existuje niekoľko alternatívnych riešení, ktoré sú bezpečnejšie ako MFA založená na SMS. Tu je niekoľko príkladov:

1. Aplikácie na mobilné overovanieAutentifikačné aplikácie ako Google Authenticator, Microsoft Authenticator a Authy generujú časovo obmedzené jednorazové heslo (TOTP), ktoré sa mení každých 30 sekúnd. TOTP sa používa ako druhý faktor v procese autentifikácie a poskytuje ďalšiu vrstvu zabezpečenia.
2. Hardvérové tokeny: Hardvérové ​​tokeny ako YubiKey a RSA SecurID generujú jedinečný kód, ktorý sa používa ako druhý faktor v procese autentifikácie. Tieto tokeny sú bezpečnejšie ako MFA založené na SMS a nie sú zraniteľné voči útokom SS7, sociálnemu inžinierstvu, výmene SIM kariet alebo nedostatku šifrovania.
3. Biometrická autentifikáciaBiometrické overovanie využíva fyzické charakteristiky, ako sú odtlačky prstov, rozpoznávanie tváre alebo rozpoznávanie hlasu, ako druhý faktor v procese overovania. Táto metóda je vysoko bezpečná, pretože biometrické údaje sú jedinečné pre každého jednotlivca a nedajú sa ľahko replikovať ani ukradnúť. Biometrické overovanie je tiež pohodlné, pretože eliminuje potrebu, aby si používatelia pamätali heslá alebo nosili so sebou tokeny.

Závery viacfaktorového overovania:

Viacfaktorová autentifikácia (MFA) založená na SMS je široko používanou metódou na poskytovanie dodatočnej vrstvy zabezpečenia, má však významné zraniteľnosti, ktoré môžu útočníci zneužiť. Nedostatočné šifrovanie, výpadky siete, útoky SS7, sociálne inžinierstvo a výmena SIM kariet sú všetko riziká spojené s MFA založenou na SMS. Hoci existujú osvedčené postupy, ktoré môžu pomôcť zmierniť tieto riziká, existujú aj alternatívne riešenia MFA, ktoré poskytujú lepšiu bezpečnosť, ako sú aplikácie mobilných autentifikátorov, hardvérové ​​tokeny a biometrické overovanie.

Spoločnosť CyberHoot ako veterán v oblasti kybernetickej bezpečnosti odporúča jednotlivcom a organizáciám, aby zvážili tieto alternatívne riešenia na zlepšenie svojej bezpečnosti a ochranu svojich citlivých informácií a majetku.

Zabezpečte si svoje podnikanie s CyberHoot ešte dnes!!!

Zaregistrujte sa

Pozrite si toto 2-minútové video o 5 najväčších rizikách viacúčelovej finančnej pomoci založenej na SMS:

Doplňujúce čítanie: Príbehy z krypty o rizikách viacúčelovej komunikácie založenej na SMS