ماژول ۴ SSO - تقویت امنیت آنلاین: بررسی 2FA، محدودیت‌های آن و خطر جابه‌جایی سیم‌کارت

در وب۳، تضمین اقدامات امنیتی قوی بسیار مهم است.

یکی از این امنیت‌ها، احراز هویت دو مرحله‌ای (2FA) است که لایه‌ای اضافی از حفاظت را به حساب‌های کاربری و تراکنش‌ها اضافه می‌کند.

در این دوره، به نحوه کار 2FA در وب۳ می‌پردازیم، محدودیت‌های آن را بررسی می‌کنیم و تهدید روزافزون جابه‌جایی سیم‌کارت را روشن می‌سازیم.

درک 2FA در وب۳

احراز هویت دو مرحله‌ای یک سازوکار امنیتی است که از کاربران می‌خواهد برای دسترسی به حساب، دو عامل احراز هویت متمایز ارائه دهند.

هدف این است که با کاهش خطر چیزی به سادگی یک دزد رمز عبور که در یک چشم به هم زدن دارایی‌های شما را تخلیه می‌کند، تا حد امکان از دارایی‌هایتان محافظت شود.

این عوامل احراز هویت در سه دسته قرار می‌گیرند:

1. چیزی که می‌دانید: شامل رمز عبور، پین یا پرسش‌های امنیتی است.
2. چیزی که دارید: یک دستگاه فیزیکی مانند گوشی هوشمند یا توکن سخت‌افزاری که کدهای زمان‌محور تولید می‌کند.
3. چیزی که هستید: داده‌های بیومتریک مانند اثر انگشت یا تشخیص چهره.

در حوزه وب۳، رایج‌ترین کاربرد 2FA ترکیب یک رمز عبور (چیزی که می‌دانید) با کدی زمان‌محور است که توسط یک اپلیکیشن گوشی هوشمند (چیزی که دارید) تولید می‌شود.

منبع: Swoopnow

این کد پویا هر چند ثانیه تغییر می‌کند و همین امر دسترسی غیرمجاز مهاجمان را بسیار دشوار می‌سازد، حتی اگر موفق به یافتن گذرواژه شده باشند.

احراز هویت دومرحله‌ای (2FA) روی صرافی‌های متمرکز (CEX) یک رویه استاندارد است؛ فرایندی اجباری که به اندازه احراز هویت (KYC) اهمیت دارد.

صرافی‌های متمرکز اغلب «برنامه احراز هویت» اختصاصی خود را توسعه می‌دهند، مانند Binance Authenticator که به شما امکان دسترسی به حساب از طریق کد QR و یک کلید ۱۶ رقمی را می‌دهد.

منبع: Binance

محدودیت‌های 2FA

با وجود اثربخشی، 2FA محدودیت‌های مشخصی دارد:

1. حملات فیشینگ: اگر کاربران فریب بخورند و اطلاعات ورود خود را از طریق وب‌سایت‌ها یا ایمیل‌های جعلی افشا کنند، 2FA ممکن است به‌طور کامل از دسترسی غیرمجاز جلوگیری نکند.
2. وابستگی به دستگاه: اتکا به یک دستگاه واحد برای 2FA می‌تواند به یک نقطه شکست واحد منجر شود. از دست دادن دستگاه یا بروز مشکلات فنی می‌تواند کاربران را از حساب‌هایشان قفل کند.
3. مهندسی اجتماعی: مهاجمان ماهر ممکن است نمایندگان خدمات مشتری را فریب دهند تا 2FA کاربر را به دستگاه جدیدی منتقل کنند و به دسترسی غیرمجاز دست یابند. تهدید جابه‌جایی سیم‌کارت

در فضای web3، جابه‌جایی سیم‌کارت به تهدیدی قابل‌توجه تبدیل شده است.

جابه‌جایی سیم‌کارت شامل متقاعد کردن اپراتور تلفن همراه کاربر توسط یک عامل مخرب برای انتقال شماره تلفن او به سیم‌کارت جدیدی تحت کنترل مهاجم است.

پس از این، مهاجم می‌تواند کدهای 2FA ارسال‌شده از طریق پیامک را رهگیری کند.

منبع: SimSwapLaw

پیامدهای تعویض سیم‌کارت در بستر وب۳ جدی است.

اگر مهاجم کنترل شماره تلفن قربانی را به دست آورد، می‌تواند احتمالاً 2FA را دور بزند و به کیف‌پول‌های رمزارز، dAppها و سایر حساب‌های حساس دسترسی پیدا کند.

این موضوع به خسارات مالی قابل‌توجهی برای بسیاری از افراد منجر شده است.

در سال 2018، مایکل ترپین، سرمایه‌گذار رمزارز، قربانی یک حمله تعویض سیم‌کارت به ارزش حیرت‌انگیز 23.8 میلیون دلار شد. در اکتبر 2021، Coinbase فاش کرد که مجرمان سایبری در نتیجهٔ نقض سیستم 2FA آن‌ها از طریق تعویض سیم‌کارت، از حداقل ۶٬۰۰۰ کاربر به‌طور غیرقانونی ارز دیجیتال گرفته بودند.

«با رشد محبوبیت Web3 و جذب افراد بیشتر به این صنعت، احتمال حملات تعویض سیم‌کارت نیز به دلیل نیاز فنی نسبتاً پایین‌تر آن افزایش می‌یابد.» اخیراً مدیر ارشد امنیت اطلاعات شرکت امنیت بلاکچین Slowmist به CoinTelegraph گفت. CoinTelegraph.

مجموعه‌ای از حملات تعویض سیم‌کارت در فضای کریپتو در هفته‌های گذشته درستی این سخنان را ثابت کرد.

از ژوئن ۲۰۲۳، بیش از ۳۰ پروژه کریپتو هدف حملات تعویض سیم‌کارت قرار گرفته‌اند که برای کنترل حساب‌های توییتر و انتشار لینک‌های تخلیهٔ کیف پول استفاده می‌شوند. در یک حملهٔ واحد، حداقل ۷۶۵ هزار دلار NFT به سرقت رفت و حساب توییتر Gutter Cat Gang هک شد از طریق تعویض سیم‌کارت.

منبع: Matt Medev، هم‌بنیان‌گذار، مدیرعامل و سردبیر NFT Now

کاهش تهدید

برای مقابله با خطرات مرتبط با تعویض سیم‌کارت و افزایش امنیت در web3، می‌توان چندین اقدام انجام داد:

1. اپلیکیشن‌های احراز هویت: استفاده از اپلیکیشن‌های اختصاصی 2FA مانند Google Authenticator یا Authy کدها را به‌صورت آفلاین تولید می‌کند و آسیب‌پذیری در برابر تعویض سیم‌کارت را کاهش می‌دهد.
2. اگر حوصله ندارید از یک سیستم احراز هویت خارج از شماره تلفن خود استفاده کنید:

• حداقل باید شماره تلفن خود را در اختیار کمترین افراد ممکن قرار دهید و هرگز آن را در شبکه‌های اجتماعی، از جمله Linkedin، منتشر نکنید. همچنین از داده‌های شخصی مانند نام، آدرس و تاریخ تولد که می‌توانند برای بازیابی شماره تلفن شما استفاده شوند، محافظت کنید.
• بهترین راهکاری که می‌توانید اجرا کنید این است که یک سیم‌کارت داشته باشید که فقط به احراز هویت شما اختصاص یابد و شماره تلفن مربوط به آن به هیچ‌کس جز شما افشا نشود.

3. توکن‌های سخت‌افزاری: دستگاه‌های سخت‌افزاری مانند YubiKey روشی فیزیکی برای تولید کدهای 2FA فراهم می‌کنند و در برابر جابه‌جایی سیم‌کارت (SIM swapping) ایمن هستند.

4. کیف‌پول‌های چندامضایی: استفاده از کیف‌پول‌های چندامضایی لایه‌ای اضافی از امنیت را فراهم می‌کند و برای تأیید تراکنش‌ها به چند دستگاه یا طرف نیاز دارد.

5. تأیید دو مرحله‌ای تراکنش‌ها: در Nefture سیستمی برای تأیید دو مرحله‌ای تراکنش‌ها توسعه داده‌ایم که شما را از هر تراکنشی که انجام می‌دهید آگاه می‌کند، تأیید شما را می‌خواهد و خطرهای احتمالی مرتبط با آن را به شما اطلاع می‌دهد.

با الگوریتم‌های پیشرفته‌ای که تراکنش‌ها را پایش می‌کنند و خطرهای احتمالی را در زمان واقعی شناسایی می‌کنند، الگوهای تراکنش، داده‌های بلاک‌چین و داده‌های تاریخی را تحلیل می‌کنند تا ناهنجاری‌ها، فعالیت‌های تقلبی و رفتارهای مشکوک را تشخیص دهند، کاربر از خطرهای مربوط به هر تراکنشی که می‌خواهد انجام دهد از پیش آگاه می‌شود و می‌تواند در زمان واقعی اقدام‌های مناسب را انجام دهد.

در نتیجه، هرچند تأیید دو مرحله‌ای امنیت را در فضای web3 به‌شدت تقویت می‌کند، نمی‌توان محدودیت‌های آن و تهدید قریب‌الوقوع جابه‌جایی سیم‌کارت را نادیده گرفت.

برای تضمین حداکثر محافظت، کاربران باید بهترین روش‌ها مانند استفاده از اپلیکیشن‌های احراز هویت و توکن‌های سخت‌افزاری را به کار بگیرند.

همان‌طور که web3 به تکامل ادامه می‌دهد، اقدام‌های امنیتی ما نیز باید برای مقابله با تهدیدها و آسیب‌پذیری‌های نوظهور تکامل یابند.

خلاصه

تبریک! شما ماژول ۴ را به پایان رساندید- تقویت امنیت در Web3: بررسی تأیید دو مرحله‌ای، محدودیت‌های آن و خطر جابه‌جایی سیم‌کارت

بیایید آموخته‌هایتان را مرور کنیم:

2FA در Web3: احراز هویت دو مرحله‌ای (2FA) روشی امنیتی است که از دو عامل تأیید متمایز برای دسترسی به حساب استفاده می‌کند.

• انواع:
• دانش (مثلاً رمز عبور)
• مالکیت (مثلاً گوشی هوشمندی که کدهای زمان‌محور تولید می‌کند)
• ذات (مثلاً اثر انگشت).
• کاربرد: در Web3، ترکیب رمز عبور با کد پویای تولیدشده توسط گوشی هوشمند رایج است.

صرافی‌های متمرکز (CEX) و 2FA: صرافی‌های متمرکز به‌طور گسترده از 2FA استفاده می‌کنند. برای نمونه، Binance «احرازگر» اختصاصی خود را با کد QR و یک کلید دارد.

محدودیت‌های 2FA:

• آسیب‌پذیر در برابر حملات فیشینگ.
• وابستگی به دستگاه: گم شدن یا از کار افتادن دستگاه می‌تواند کاربران را از حساب قفل کند.
• مهندسی اجتماعی: مهاجمان ممکن است با تاکتیک‌های فریبکارانه 2FA را دور بزنند.

تعویض سیم‌کارت (SIM Swapping):

• تهدید: مهاجمان اپراتورهای تلفن همراه را فریب می‌دهند تا شماره تلفن قربانی را منتقل کنند و بدین ترتیب کدهای 2FA ارسال‌شده از طریق پیامک را رهگیری کنند.
• تأثیر: دور زدن 2FA دسترسی غیرمجاز به کیف‌پول‌ها، dAppها و حساب‌های حساس را ممکن می‌کند.
• رویدادهای قابل توجه: سرقت 23.8 میلیون دلار از سرمایه‌گذار مایکل ترپین در سال 2018 و نقض سیستم 2FA کوین‌بیس در سال 2021 که 6,000 کاربر را تحت تأثیر قرار داد.

این مقاله با حمایت ارائه شده است: