SSO Module 4- Pagpapahusay ng Online Security: Pagsusuri sa 2FA, ang mga Limitasyon Nito, at ang Panganib ng SIM Swapping

Sa web3, pinakamahalaga ang pagtiyak ng matibay na mga hakbang sa seguridad.

Isa sa mga seguridad na ito ang Two-Factor Authentication (2FA), na nagdaragdag ng karagdagang layer ng proteksyon sa mga account at transaksyon ng user.

Sa kursong ito, sinusuri natin ang paggana ng 2FA sa web3, tinitingnan ang mga limitasyon nito, at nililinaw ang patuloy na lumalaking banta ng SIM swapping.

Pag-unawa sa 2FA sa Web3

Ang Two-Factor Authentication ay isang mekanismong pangseguridad na nangangailangan ng mga user na magbigay ng dalawang magkaibang salik ng pagpapatunay upang ma-access ang isang account.

Layunin nitong gawing ligtas hangga't maaari ang iyong mga pondo sa pamamagitan ng pagbabawas ng panganib na maubos ang mga ito sa isang kisap-mata ng isang magnanakaw ng password.

Ang mga salik ng pagpapatunay na ito ay nahahati sa tatlong kategorya:

1. Isang Bagay na Alam Mo: Kabilang dito ang password, PIN, o mga tanong pangseguridad.
2. Isang Bagay na Taglay Mo: Isang pisikal na device, tulad ng smartphone o hardware token, na gumagawa ng mga code na may limitadong oras.
3. Isang Bagay na Ikaw: Biometric na datos tulad ng fingerprints o facial recognition.

Sa larangan ng web3, ang pinakakaraniwang aplikasyon ng 2FA ay ang pagsasama ng password (isang bagay na alam mo) at ng code na may limitadong oras na ginawa ng smartphone app (isang bagay na taglay mo).

Pinagmulan: Swoopnow

Ang dynamic na code na ito ay nagbabago bawat ilang segundo, na nagpapahirap nang labis sa mga umaatake na makakuha ng hindi awtorisadong access, kahit na nakuha nila ang password.

Ang 2FA ay karaniwang kasanayan sa mga Centralized Exchange (CEX), isang prosesong dapat daanan na kasinghalaga ng KYC.

Madalas na gumagawa ang mga CEX ng sarili nilang “authenticator”, tulad ng Binance Authenticator na nagbibigay-daan sa iyong ma-access ang iyong account sa pamamagitan ng QR code at 16-digit na key.

Pinagmulan: Binance

Mga Limitasyon ng 2FA

Sa kabila ng bisa nito, may ilang limitasyon ang 2FA:

1. Mga Pag-atake ng Phishing: Kung malinlang ang mga user na ibunyag ang kanilang mga kredensyal sa pamamagitan ng pekeng website o email, maaaring hindi ganap na maiwasan ng 2FA ang hindi awtorisadong pag-access.
2. Pagdepende sa Device: Ang pagdepende sa isang device para sa 2FA ay maaaring humantong sa isang punto ng pagkabigo. Ang pagkawala ng device o pagkakaroon ng mga teknikal na isyu ay maaaring mag-lock sa mga user mula sa kanilang mga account.
3. Social Engineering: Maaaring manipulahin ng mga bihasang attacker ang mga customer service representative para ilipat ang 2FA ng isang user sa isang bagong device, na makakakuha ng hindi awtorisadong pag-access. Ang Banta ng SIM Swapping

Sa web3 space, ang SIM swapping ay lumitaw bilang isang makabuluhang banta.

Ang SIM swapping ay kinabibilangan ng isang malisyosong aktor na kumbinsihin ang mobile carrier ng isang user na ilipat ang kanilang numero ng telepono sa isang bagong SIM card sa ilalim ng kontrol ng attacker.

Kapag nagawa ito, maaaring maharang ng attacker ang mga 2FA code na ipinapadala sa SMS.

Pinagmulan: SimSwapLaw

Malubha ang mga implikasyon ng SIM swapping sa konteksto ng web3.

Kung makontrol ng attacker ang numero ng telepono ng biktima, posibleng malampasan nila ang 2FA at makakuha ng access sa mga crypto wallet, dApp, at iba pang sensitibong account.

Nagdulot ito ng malaking pagkalugi sa pananalapi para sa maraming indibidwal.

Noong 2018, naging biktima ang crypto investor na si Michael Terpin ng nakakagulat na $23.8 milyong SIM swap attack. Noong Oktubre 2021, ang Coinbase ay nagsiwalat na ang mga cybercriminal ay ilegal na kumuha ng cryptocurrency mula sa hindi bababa sa 6,000 user bilang resulta ng isang breach sa kanilang 2FA system, sa pamamagitan ng sim swapping.

“Habang lumalaki ang popularidad ng Web3 at mas maraming tao ang naaakit sa industriya, tumataas din ang posibilidad ng SIM swapping attacks dahil sa medyo mababang teknikal na pangangailangan nito,” kamakailang sinabi sa Blockchain Security Firm Slowmist CISO sa CoinTelegraph.

Ang sunod-sunod na sim swapping attacks sa crypto space nitong mga nakaraang linggo ay nagpatunay na totoo ang mga salitang iyon.

Mula noong Hunyo 2023, mahigit 30+ crypto projects ang naging target ng SIM swap attacks, na ginagamit upang kontrolin ang mga Twitter account at mag-post ng wallet drainers. Sa isang pag-atake, hindi bababa sa $765K na halaga ng NFTs ang ninakaw nang ma-hack ang Gutter Cat Gang twitter account sa pamamagitan ng sim swapping.

Pinagmulan: Matt Medev, Co-Founder, CEO at EIC ng NFT Now

Pagpapagaan ng Banta

Upang kontrahin ang mga panganib na kaugnay ng SIM swapping at mapahusay ang seguridad sa web3, may ilang hakbang na maaaring gawin:

1. Mga Authenticator App: Ang paggamit ng mga dedikadong 2FA app tulad ng Google Authenticator o Authy ay bumubuo ng mga code offline, na nagpapababa ng kahinaan sa SIM swapping.
2. Kung ayaw mong mag-abala na gumamit ng authenticator system bukod sa iyong numero ng telepono:

• Dapat mong ibunyag ang iyong numero ng telepono sa pinakakaunting tao hangga't maaari at huwag kailanman sa social media, kabilang ang Linkedin. Pati na rin protektahan ang personal na data tulad ng pangalan, address at petsa ng kapanganakan, na maaaring gamitin upang makuha ang iyong numero ng telepono.
• Ang pinakamagandang estratehiya na maaari mong ipatupad ay ang magkaroon ng sim na eksklusibong nakalaan para sa pagpapatotoo sa iyo. Ang kaukulang numero ng telepono nito ay hindi ibinubunyag kaninuman maliban sa iyo.

3. Mga Hardware Token: Ang mga hardware device tulad ng YubiKey ay nagbibigay ng pisikal na paraan ng pagbuo ng 2FA codes at hindi apektado ng SIM swapping.

4. Multi-Signature Wallets: Ang paggamit ng multi-signature wallets ay nagdaragdag ng karagdagang layer ng seguridad, na nangangailangan ng maraming device o partido upang pahintulutan ang mga transaksyon.

5. Transactions 2FA: Sa Nefture, nakabuo kami ng 2FA transaction system na nag-aalerto sa iyo sa bawat transaksyong ginagawa mo, humihingi ng iyong validation at nagpapaalam sa iyo ng mga potensyal na panganib na kaugnay nito.

Sa pamamagitan ng mga advanced na algorithm na nagmomonitor ng mga transaksyon at tumutukoy ng mga potensyal na panganib sa real-time, sinusuri ang mga pattern ng transaksyon, blockchain data, at historical data upang matukoy ang mga anomalya, fraudulent na aktibidad, at kahina-hinalang pag-uugali, ang user ay**** ****paunang binibigyan ng babala tungkol sa mga panganib na kaugnay ng bawat transaksyong nais nilang gawin at nakakagawa ng sapat na aksyon sa real-time.

Sa konklusyon, bagama't malaki ang naitutulong ng 2FA sa seguridad sa web3 landscape, hindi maaaring balewalain ang mga limitasyon nito at ang banta ng SIM swapping.

Upang matiyak ang maximum na proteksyon, dapat sundin ng mga user ang mga best practice tulad ng paggamit ng authenticator apps at hardware tokens.

Habang patuloy na umuunlad ang web3, dapat ding umunlad ang ating mga hakbang sa seguridad upang kontrahin ang mga umuusbong na banta at kahinaan.

Buod

Binabati kita! Natapos mo ang Module 4- Enhancing Security in Web3: Exploring 2FA, its Limitations, and the Menace of SIM Swapping

Balikan natin ang iyong mga natutunan:

2FA sa Web3: Ang Two-Factor Authentication (2FA) ay isang paraan ng seguridad na gumagamit ng dalawang magkaibang salik ng pagpapatunay para sa pag-access sa account.

• Mga Uri:
• Kaalaman (hal., password)
• Pagmamay-ari (hal., smartphone na gumagawa ng mga code na may takdang oras)
• Katangian (hal., mga fingerprint).
• Paggamit: Sa web3, karaniwan ang password na sinamahan ng dynamic na code na ginawa ng smartphone.

Mga Sentralisadong Palitan (CEX) at 2FA: Malawakang gumagamit ng 2FA ang mga CEX. Halimbawa, may sariling “authenticator” ang Binance gamit ang QR code at key.

Mga Limitasyon ng 2FA:

• Mahina laban sa mga phishing attack.
• Pagdepende sa device: Maaaring ma-lock out ang mga user kapag nawala o sira ang device.
• Social engineering: Maaaring laktawan ng mga attacker ang 2FA sa pamamagitan ng mapandayang taktika.

SIM Swapping:

• Banta: Dinadaya ng mga attacker ang mga mobile carrier para ilipat ang numero ng telepono ng biktima, kaya nahaharang ang mga 2FA code na ipinapadala via SMS.
• Epekto: Ang pag-bypass sa 2FA ay nagbibigay-daan sa hindi awtorisadong pag-access sa mga wallet, dApp, at sensitibong account.
• Mga kapansin-pansing insidente: $23.8 milyon ang ninakaw mula sa investor na si Michael Terpin noong 2018 at isang paglabag sa 2FA system ng Coinbase noong 2021 na nakaapekto sa 6,000 user.

Ang artikulong ito ay hatid sa iyo ng: