Proszę przestań używać SMS-ów do uwierzytelniania dwuskładnikowego

Uwierzytelnianie dwuskładnikowe (2FA) jest jednym z najlepszych sposobów na dodanie dodatkowej warstwy zabezpieczeń do Twoich kont online. Ten tajny kod chroni przed wieloma próbami włamań i świetnie, że wiele osób go teraz używa. Jednakże, sposób w jaki otrzymujesz ten kod jest niezwykle ważny. Jeśli używałeś SMS-ów, tak jak ja przez długi czas, mam do Ciebie ogromną prośbę — proszę, przestań.

Niezależnie od tego, czy to Facebook, Amazon czy PayPal, wielu z nas decyduje się używać SMS-ów do dwuskładnikowej autoryzacji. Jednak SMS został zaprojektowany bez żadnego uwzględnienia bezpieczeństwa, dlatego jest najsłabszą metodą otrzymywania tego ważnego kodu. Możesz nawet wybrać inny czynnik uwierzytelniania zamiast kodów SMS. Porozmawiajmy o tym.

SMS to najprostszy sposób na otrzymanie kodu uwierzytelniania dwuskładnikowego

Ale prostota może oznaczać, że czegoś brakuje

Rozumiem, dlaczego korzystanie z SMS jako preferowanej metody 2FA jest atrakcyjne — to niezwykła wygoda. Nie trzeba pobierać żadnej aplikacji, nie trzeba zarządzać żadnymi ustawieniami ani posiadać wiedzy technicznej. Wystarczy podać swój numer telefonu, a kod przychodzi na urządzenie, które zawsze masz przy sobie. Nie wymaga połączenia z internetem, a nawet stary telefon niebędący smartfonem może odebrać SMS.

Pomimo swojej wygody, użyteczności i uniwersalności, SMS ma pewne luki w zabezpieczeniach. Pozwól, że omówię tylko dwie największe, które powinny cię niepokoić w nocy.

SMS używa przestarzałego protokołu transmisji

Największym problemem z korzystaniem z SMS-ów jest to, że używana technologia jest przestarzała. Po prostu nie jest w stanie sprostać współczesnym wymaganiom bezpieczeństwa, ponieważ używa starego protokołu transmisji zwanego Signaling System No. 7 (SS7), opracowanego pod koniec lat 70. i w latach 80. XX wieku. Jest łatwiejszy do wykorzystania, ponieważ został opracowany w czasach, gdy dostęp był ograniczony, a wszyscy korzystający z niego byli godni zaufania.

Głównym problemem z SS7 jest brak kryptograficznej autoryzacji. Mówiąc prosto, protokół zakłada, że każda wiadomość w jego sieci sygnalizacyjnej pochodzi z legalnego źródła, co oznacza, że haker, który uzyska do niej dostęp — zazwyczaj poprzez słabo zabezpieczonego operatora — może przesyłać złośliwe polecenia, które śledzą, podszywają się pod inne osoby i przechwytują wiadomości.

Jest jeszcze gorzej. Protokół SS7 nie ma szyfrowania typu end-to-end, które uważamy za oczywiste w aplikacjach takich jak WhatsApp i iMessage. Wiadomości SMS są przesyłane jako zwykły tekst, co oznacza, że hakerzy mogą przechwycić wiadomości z kodem 2FA i łatwo je odczytać, ponieważ nie są zaszyfrowane.

Poza możliwością zobaczenia treści wiadomości, hakerzy mają również dostęp do metadanych. Oznacza to, że mogą zobaczyć inne informacje, takie jak numery telefonów, lokalizacja i informacje o urządzeniu powiązane z wiadomościami.

Podszywanie się pod kartę SIM jest rosnącym zagrożeniem

W dzisiejszych czasach hakerzy nie muszą nawet uzyskiwać dostępu do sieci sygnalizacyjnej, aby włamać się na Twoje konto. Mogą wykorzystać jeden z najsłabszych ogniw w każdym łańcuchu bezpieczeństwa — ludzi. Hakerzy mogą użyć phishingu, aby oszukać operatora i przenieść Twój numer telefonu na kartę SIM, którą posiadają. Następnie mogą otrzymywać kody uwierzytelniania dwuskładnikowego przeznaczone dla Ciebie, co pozwala im uzyskać dostęp do Twoich kont.

Jak dużym zagrożeniem jest zamiana karty SIM? Według raportu TransUnion, około 27% menedżerów ds. telekomunikacji w USA uważa zamianę karty SIM za największe pojawiające się zagrożenie w oszustwach telekomunikacyjnych. Jednak zamiana karty SIM faktycznie zajęła drugie miejsce, a na pierwszym miejscu znalazło się oszustwo z wykorzystaniem syntetycznej tożsamości (30%), natomiast kradzież urządzenia zajęła trzecie miejsce (20%).

Czego możesz użyć do uwierzytelniania dwuskładnikowego zamiast SMS

Inne czynniki uwierzytelniania poza SMS

Innym problemem z SMS, który uważam za irytujący, a nie za lukę w zabezpieczeniach, jest to, że może zawieść w najważniejszym momencie. Pamiętam próbę zalogowania się na moje konto Amazon na innym urządzeniu i kiedy próbowałem wysłać kod przez SMS, nigdy nie przyszedł. Czasami kod przychodzi po ponownym wysłaniu, ale po wielokrotnych niepowodzeniach zdecydowałem, że SMS nie jest niezawodny do odbierania kodów 2FA. Doświadczyłem podobnych problemów z PayPal i Payoneer.

Oto bezpieczniejsze i bardziej niezawodne alternatywy dla SMS-ów w przypadku uwierzytelniania dwuskładnikowego:

• Aplikacje uwierzytelniające: Możesz używać Google Authenticator, Microsoft Authenticator, Authy lub innych aplikacji uwierzytelniających, które generują TOTP (jednorazowe hasło czasowe). Jest to tymczasowy, jednorazowy kod — wiele popularnych kont pozwala na powiązanie z nimi aplikacji uwierzytelniających. Te aplikacje resetują kod co 30 sekund i działają nawet bez dostępu do internetu. Kody są bezpieczne, ponieważ są generowane lokalnie, zamiast być wysyłane przez sieć.
• Klucze dostępu: Możesz także użyć klucza dostępu, który jest jak cyfrowe poświadczenie przechowywane na Twoim urządzeniu (np. telefonie lub komputerze). Podczas logowania się do konta serwer wysyła Twojemu urządzeniu wyzwanie do podpisania przy użyciu prywatnego klucza przechowywanego lokalnie. Po podpisaniu serwer weryfikuje podpis za pomocą klucza publicznego, umożliwiając Ci dostęp, gdy wszystko się zgadza. Tak więc, chyba że haker fizycznie ukradnie Twój telefon i obejdzie zabezpieczenia (np. kod dostępu, odcisk palca lub rozpoznawanie twarzy), nie dostanie się do tego konta.
• Klucze bezpieczeństwa: Możesz również przekształcić USB w klucz bezpieczeństwa (np. YubiKey). Działa to w taki sam sposób jak hasło jednorazowe, ale wyzwanie jest podpisywane przy użyciu klucza bezpieczeństwa. Ponownie, ktoś musiałby fizycznie zdobyć klucz bezpieczeństwa, aby móc włamać się na Twoje konta. Fizyczne zdobycie klucza jest bardzo ryzykowne, dlatego hakerzy w ogromnej większości przypadków polegają na atakach zdalnych.

Oczywiście, istnieje więcej metod niż ta. To są tylko te, które są stosunkowo łatwiejsze do skonfigurowania i oferują znacznie większe bezpieczeństwo niż SMS.

SMS daje fałszywe poczucie bezpieczeństwa

Używanie SMS-ów do 2FA sprawia, że ludzie stają się bierno-ostrożni, ponieważ rzeczywiście myślą, że są chronieni. Działa, i to wszystko, co muszą wiedzieć. Jednak poleganie na technologii, która nie ewoluowała od lat 70., jest ogromnym ryzykiem bezpieczeństwa. Jesteśmy w erze cyfrowej, gdzie zagrożenia szybko się rozwijają, pogłębiając luki bezpieczeństwa tej przestarzałej technologii. Czas przejść na coś lepszego.