الوحدة 4 من SSO - تعزيز الأمان عبر الإنترنت: استكشاف المصادقة الثنائية 2FA وقيودها وخطر تبديل شرائح SIM

في web3، يُعد ضمان تدابير أمنية قوية أمرًا بالغ الأهمية.

أحد هذه التدابير الأمنية هو المصادقة الثنائية (2FA)، التي تضيف طبقة حماية إضافية لحسابات المستخدمين ومعاملاتهم.

في هذه الدورة، نتعمق في آلية عمل المصادقة الثنائية في web3، ونفحص قيودها، ونسلط الضوء على التهديد المتنامي لتبديل شرائح SIM.

فهم المصادقة الثنائية في Web3

المصادقة الثنائية هي آلية أمنية تتطلب من المستخدمين تقديم عاملين متميزين للمصادقة للوصول إلى الحساب.

والهدف هو تأمين أموالك قدر الإمكان عبر تقليل خطر أن يقوم سارق كلمة مرور بسيطة بتصفيتها في لمح البصر.

تنقسم عوامل المصادقة هذه إلى ثلاث فئات:

1. شيء تعرفه: يشمل كلمة مرور أو رقم PIN أو أسئلة أمان.
2. شيء تملكه: جهاز مادي، مثل هاتف ذكي أو رمز أجهزة، يولّد رموزًا حساسة للوقت.
3. شيء أنت عليه: بيانات بيومترية مثل بصمات الأصابع أو التعرف على الوجه.

في عالم web3، يتضمن التطبيق الأكثر شيوعًا للمصادقة الثنائية الجمع بين كلمة مرور (شيء تعرفه) ورمز حساس للوقت يولّده تطبيق هاتف ذكي (شيء تملكه).

المصدر: Swoopnow

يتغير هذا الرمز الديناميكي كل بضع ثوانٍ، مما يجعل من الصعب للغاية على المهاجمين الحصول على وصول غير مصرح به، حتى لو تمكنوا من الحصول على كلمة المرور.

المصادقة الثنائية (2FA) ممارسة معيارية في البورصات المركزية (CEXs)، وهي عملية إلزامية لا بد من المرور بها لا تقل أهمية عن التحقق من الهوية (KYC).

غالبًا ما تطور البورصات المركزية (CEXs) تطبيق مصادقة خاصًا بها مثل Binance Authenticator يتيح لك الوصول إلى حسابك عبر رمز QR ومفتاح مكوّن من 16 رقمًا.

المصدر: Binance

قيود المصادقة الثنائية (2FA)

على الرغم من فعاليتها، فإن المصادقة الثنائية (2FA) لها قيود معينة:

1. هجمات التصيّد: إذا خُدع المستخدمون للكشف عن بيانات اعتمادهم عبر مواقع ويب أو رسائل بريد إلكتروني مزيفة، فقد لا يمنع التحقق بخطوتين الوصول غير المصرح به تمامًا.
2. الاعتماد على الجهاز: قد يؤدي الاعتماد على جهاز واحد للتحقق بخطوتين إلى نقطة فشل واحدة. فقدان الجهاز أو مواجهة مشكلات تقنية قد يقفل حسابات المستخدمين.
3. الهندسة الاجتماعية: قد يخدع المهاجمون المهرة ممثلي خدمة العملاء لنقل التحقق بخطوتين الخاص بالمستخدم إلى جهاز جديد، والحصول على وصول غير مصرح به. تهديد تبديل شرائح SIM

في مجال web3، برز تبديل شرائح SIM كتهديد كبير.

يتضمن تبديل شرائح SIM إقناع فاعل خبيث لشركة الاتصالات المتنقلة الخاصة بالمستخدم بنقل رقم هاتفه إلى شريحة SIM جديدة تحت سيطرة المهاجم.

بمجرد تحقيق ذلك، يمكن للمهاجم اعتراض رموز المصادقة الثنائية (2FA) المرسلة عبر الرسائل النصية القصيرة.

المصدر: SimSwapLaw

تداعيات تبديل شرائح SIM في سياق web3 خطيرة.

إذا سيطر المهاجم على رقم هاتف الضحية، فقد يتمكن من تجاوز المصادقة الثنائية (2FA)، والوصول إلى محافظ العملات المشفرة والتطبيقات اللامركزية (dApps) والحسابات الحساسة الأخرى.

أدى ذلك إلى خسائر مالية كبيرة للعديد من الأفراد.

في عام 2018، وقع مستثمر العملات المشفرة Michael Terpin ضحية هجوم تبديل شرائح SIM مذهل بقيمة 23.8 مليون دولار. في أكتوبر 2021، كشفت Coinbase عن أن قراصنة إلكترونيين استولوا بشكل غير قانوني على عملات مشفرة من 6,000 مستخدم على الأقل نتيجة اختراق نظام المصادقة الثنائية (2FA) لديهم عبر تبديل شرائح الاتصال (SIM swapping).

«مع تزايد شعبية Web3 واجتذابها لمزيد من الأشخاص إلى المجال، يزداد احتمال هجمات تبديل شرائح الاتصال (SIM swapping) أيضًا بسبب متطلباتها التقنية المنخفضة نسبيًا.» قال مؤخرًا مدير أمن المعلومات (CISO) في شركة الأمن البلوكشين Slowmist لـ CoinTelegraph.

أثبتت سلسلة من هجمات تبديل شرائح الاتصال (SIM swapping) في مجال العملات المشفرة خلال الأسابيع الماضية صحة تلك الكلمات.

منذ يونيو 2023، أكثر من 30 مشروعًا للعملات المشفرة تعرضت لهجمات تبديل شرائح الاتصال (SIM swapping) التي تُستخدم للسيطرة على حسابات Twitter ونشر برامج تصريف المحافظ. في هجوم واحد، سُرقت NFTs بقيمة 765 ألف دولار على الأقل من حساب Gutter Cat Gang على Twitter تم اختراقه عبر تبديل بطاقة SIM.

المصدر: Matt Medev، الشريك المؤسس والرئيس التنفيذي ورئيس التحرير في NFT Now

التخفيف من التهديد

لمواجهة المخاطر المرتبطة بتبديل بطاقة SIM وتعزيز الأمان في web3، يمكن اتخاذ عدة خطوات:

1. تطبيقات المصادقة: استخدام تطبيقات 2FA مخصصة مثل Google Authenticator أو Authy يولّد رموزًا دون اتصال بالإنترنت، مما يقلل من التعرض لتبديل بطاقة SIM.
2. إذا لم ترغب في استخدام نظام مصادقة خارج رقم هاتفك:

• يجب عليك على الأقل الكشف عن رقم هاتفك لأقل عدد ممكن من الأشخاص، وعدم نشره أبدًا على وسائل التواصل الاجتماعي، بما في ذلك LinkedIn. وكذلك حماية البيانات الشخصية مثل الاسم والعنوان وتاريخ الميلاد، التي يمكن استخدامها لاسترداد رقم هاتفك.
• أفضل استراتيجية يمكنك تنفيذها هي امتلاك شريحة SIM مخصصة حصريًا للتحقق من هويتك، ويكون رقم هاتفها المقابل غير مفصح عنه لأحد سواك.

3. الرموز المميزة للأجهزة: توفر الأجهزة مثل YubiKey وسيلة مادية لتوليد رموز 2FA وهي محصنة ضد تبديل شرائح SIM.

4. المحافظ متعددة التوقيعات: يضيف استخدام المحافظ متعددة التوقيعات طبقة إضافية من الأمان، تتطلب أجهزة أو أطرافًا متعددة لتفويض المعاملات.

5. المصادقة الثنائية للمعاملات: في Nefture، طورنا نظام مصادقة ثنائية للمعاملات ينبهك إلى كل معاملة تجريها، ويطلب تأكيدك، ويبلغك بالمخاطر المحتملة المرتبطة بها.

من خلال خوارزميات متقدمة تراقب المعاملات وتحدد المخاطر المحتملة في الوقت الفعلي، وتحلل أنماط المعاملات وبيانات البلوكشين والبيانات التاريخية لاكتشاف الحالات الشاذة والأنشطة الاحتيالية والسلوك المشبوه، يتم تحذير المستخدم مسبقًا من المخاطر المرتبطة بكل معاملة يرغب في إجرائها ويتمكن من اتخاذ الإجراءات المناسبة في الوقت الفعلي.

في الختام، ورغم أن المصادقة الثنائية تعزز الأمان بشكل كبير في بيئة web3، لا يمكن تجاهل قيودها والتهديد المحدق المتمثل في تبديل شرائح SIM.

لضمان أقصى حماية، يجب على المستخدمين اعتماد أفضل الممارسات مثل استخدام تطبيقات المصادقة والرموز المادية.

مع استمرار تطور web3، يجب أن تتطور تدابير الأمان لدينا أيضًا لمواجهة التهديدات والثغرات الناشئة.

الملخص

تهانينا! لقد أكملت الوحدة 4 - تعزيز الأمان في Web3: استكشاف المصادقة الثنائية وقيودها وخطر تبديل شرائح SIM

لنراجع ما تعلمته:

المصادقة الثنائية في Web3: المصادقة الثنائية (2FA) هي طريقة أمنية تستخدم عاملَي تحقق متميزين للوصول إلى الحساب.

• الأنواع:
• المعرفة (مثل كلمة المرور)
• الحيازة (مثل هاتف ذكي يولّد رموزًا محددة زمنيًا)
• الملازمة (مثل بصمات الأصابع).
• التطبيق: في Web3، الشائع هو كلمة مرور مقترنة برمز ديناميكي يولّده الهاتف الذكي.

البورصات المركزية (CEXs) والمصادقة الثنائية (2FA): تستخدم البورصات المركزية المصادقة الثنائية على نطاق واسع. على سبيل المثال، لدى Binance تطبيق «مصادقة» خاص بها يستخدم رمز QR ومفتاحًا.

قيود المصادقة الثنائية:

• عرضة لهجمات التصيد الاحتيالي.
• الاعتماد على الجهاز: قد يؤدي فقدان الجهاز أو تعطله إلى قفل المستخدمين خارج حساباتهم.
• الهندسة الاجتماعية: قد يتجاوز المهاجمون المصادقة الثنائية عبر أساليب تلاعبية.

تبديل شرائح SIM:

• التهديد: يخدع المهاجمون شركات الاتصالات لنقل رقم هاتف الضحية، وبالتالي اعتراض رموز المصادقة الثنائية المرسلة عبر SMS.
• التأثير: تجاوز المصادقة الثنائية يتيح وصولاً غير مصرح به إلى المحافظ والتطبيقات اللامركزية والحسابات الحساسة.
• حوادث بارزة: سرقة 23.8 مليون دولار من المستثمر Michael Terpin في 2018، واختراق نظام المصادقة الثنائية في Coinbase في 2021 أثر على 6,000 مستخدم.

هذا المقال مقدم إليك من: