Module SSO 4 - Renforcer la sécurité en ligne : explorer la 2FA, ses limites et la menace du SIM swapping

Dans la web3, il est primordial de garantir des mesures de sécurité robustes.

L'une de ces sécurités est l'authentification à deux facteurs (2FA), qui ajoute une couche de protection supplémentaire aux comptes et transactions des utilisateurs.

Dans ce cours, nous examinons le fonctionnement de la 2FA dans la web3, ses limites, et mettons en lumière la menace croissante du SIM swapping.

Comprendre la 2FA dans la Web3

L'authentification à deux facteurs est un mécanisme de sécurité qui exige des utilisateurs qu'ils fournissent deux facteurs d'authentification distincts pour accéder à un compte.

L'objectif étant de sécuriser au maximum vos fonds en réduisant le risque qu'une chose aussi simple qu'un voleur de mot de passe les vide en un clin d'œil.

Ces facteurs d'authentification se répartissent en trois catégories :

1. Quelque chose que vous savez : cela inclut un mot de passe, un code PIN ou des questions de sécurité.
2. Quelque chose que vous possédez : un appareil physique, comme un smartphone ou un jeton matériel, qui génère des codes à durée limitée.
3. Quelque chose que vous êtes : des données biométriques comme les empreintes digitales ou la reconnaissance faciale.

Dans le domaine du web3, l'application la plus courante de la 2FA consiste à combiner un mot de passe (quelque chose que vous savez) avec un code à durée limitée généré par une application smartphone (quelque chose que vous possédez).

Source : Swoopnow

Ce code dynamique change toutes les quelques secondes, ce qui rend extrêmement difficile pour les attaquants d'obtenir un accès non autorisé, même s'ils ont réussi à obtenir le mot de passe.

La 2FA est une pratique standard sur les plateformes d'échange centralisées (CEX), une étape obligatoire aussi importante que le KYC.

Les CEX développent souvent leur propre « authenticator », comme Binance Authenticator, qui vous permet d'accéder à votre compte via un QR code et une clé à 16 chiffres.

Source : Binance

Limites de la 2FA

Malgré son efficacité, la 2FA présente certaines limites :

1. Attaques d'hameçonnage : Si des utilisateurs sont amenés à révéler leurs identifiants via de faux sites web ou e-mails, la 2FA peut ne pas empêcher totalement un accès non autorisé.
2. Dépendance à l'appareil : S'appuyer sur un seul appareil pour la 2FA peut créer un point de défaillance unique. La perte de l'appareil ou des problèmes techniques peuvent bloquer l'accès des utilisateurs à leurs comptes.
3. Ingénierie sociale : Des attaquants expérimentés pourraient manipuler des représentants du service client pour transférer la 2FA d'un utilisateur vers un nouvel appareil et obtenir un accès non autorisé. La menace du SIM swapping

Dans l'écosystème web3, le SIM swapping est devenu une menace importante.

Le SIM swapping consiste pour un acteur malveillant à convaincre l'opérateur mobile d'un utilisateur de transférer son numéro de téléphone vers une nouvelle carte SIM sous le contrôle de l'attaquant.

Une fois cela accompli, l'attaquant peut intercepter les codes 2FA envoyés par SMS.

Source : SimSwapLaw

Les implications du SIM swapping dans le contexte du web3 sont graves.

Si un attaquant prend le contrôle du numéro de téléphone d'une victime, il peut potentiellement contourner la 2FA et accéder aux portefeuilles crypto, aux dApps et à d'autres comptes sensibles.

Cela a entraîné des pertes financières considérables pour de nombreuses personnes.

En 2018, l'investisseur crypto Michael Terpin a été victime d'une attaque par SIM swap stupéfiante de 23,8 millions de dollars. En octobre 2021, Coinbase a révélé que des cybercriminels avaient illicitement pris des cryptomonnaies à au moins 6 000 utilisateurs à la suite d'une faille dans leur système 2FA, via le sim swapping.

« À mesure que la popularité du Web3 croît et attire davantage de personnes dans l'industrie, la probabilité d'attaques par sim swapping augmente également en raison de ses exigences techniques relativement plus faibles », a récemment déclaré le CISO de la société de sécurité blockchain Slowmist à CoinTelegraph.

Une série d'attaques par sim swapping dans l'espace crypto ces dernières semaines a prouvé que ces mots étaient vrais.

Depuis juin 2023, plus de 30 projets crypto ont été ciblés par des attaques par SIM swap, utilisées pour prendre le contrôle de comptes Twitter et publier des drainers de portefeuilles. Lors d'une seule attaque, au moins 765 000 $ d'NFT ont été volés, le compte Twitter de Gutter Cat Gang a été piraté via l'échange de SIM.

Source : Matt Medev, cofondateur, PDG et rédacteur en chef de NFT Now

Atténuer la menace

Pour contrer les risques liés à l'échange de SIM et renforcer la sécurité dans la web3, plusieurs mesures peuvent être prises :

1. Applications d'authentification : l'utilisation d'applications 2FA dédiées comme Google Authenticator ou Authy génère des codes hors ligne, ce qui réduit la vulnérabilité à l'échange de SIM.
2. Si vous ne voulez pas vous embêter à utiliser un système d'authentification en dehors de votre numéro de téléphone :

• Vous devriez au moins divulguer votre numéro de téléphone au moins de personnes possible et jamais sur les réseaux sociaux, y compris LinkedIn. Protégez également les données personnelles comme le nom, l'adresse et la date de naissance, qui peuvent servir à récupérer votre numéro de téléphone.
• La meilleure stratégie que vous pouvez mettre en place est d'avoir une SIM uniquement dédiée à votre authentification, dont le numéro de téléphone correspondant n'est communiqué à personne d'autre qu'à vous.

3. Jetons matériels : les appareils matériels comme YubiKey offrent un moyen physique de générer des codes 2FA et sont immunisés contre le SIM swapping.

4. Portefeuilles multi-signatures : L'utilisation de portefeuilles multi-signatures ajoute une couche de sécurité supplémentaire, nécessitant plusieurs appareils ou parties pour autoriser les transactions.

5. 2FA des transactions : Chez Nefture, nous avons développé un système de 2FA des transactions qui vous alerte de chaque transaction que vous effectuez, demande votre validation et vous informe du ou des risques potentiels qui y sont liés.

Grâce à des algorithmes avancés qui surveillent les transactions et identifient les risques potentiels en temps réel, analysent les schémas de transactions, les données de la blockchain et les données historiques afin de détecter les anomalies, les activités frauduleuses et les comportements suspects, l'utilisateur est**** ****averti à l'avance des risques liés à chaque transaction qu'il souhaite effectuer et peut prendre les mesures adéquates en temps réel.

En conclusion, bien que la 2FA renforce considérablement la sécurité dans l'écosystème web3, ses limites et la menace imminente du SIM swapping ne peuvent être ignorées.

Pour garantir une protection maximale, les utilisateurs doivent adopter les bonnes pratiques, comme l'utilisation d'applications d'authentification et de jetons matériels.

À mesure que le web3 continue d'évoluer, nos mesures de sécurité doivent elles aussi évoluer pour contrer les menaces et vulnérabilités émergentes.

Résumé

Félicitations ! Vous avez terminé le Module 4 - Renforcer la sécurité dans le Web3 : Explorer la 2FA, ses limites et la menace du SIM swapping

Passons en revue vos apprentissages :

2FA dans le Web3 : L'authentification à deux facteurs (2FA) est une méthode de sécurité qui utilise deux facteurs de vérification distincts pour accéder à un compte.

• Types :
• Connaissance (par ex. mot de passe)
• Possession (par ex. smartphone générant des codes à durée limitée)
• Inhérence (par ex. empreintes digitales).
• Application : dans le Web3, un mot de passe combiné à un code dynamique généré par smartphone est courant.

Échanges centralisés (CEX) et 2FA : Les CEX utilisent largement la 2FA. Par exemple, Binance dispose de son propre « authenticator » utilisant un QR code et une clé.

Limites de la 2FA :

• Vulnérable aux attaques de phishing.
• Dépendance à l'appareil : un appareil perdu ou défaillant pourrait bloquer les utilisateurs.
• Ingénierie sociale : les attaquants pourraient contourner la 2FA par des tactiques manipulatrices.

SIM Swapping :

• Menace : les attaquants trompent les opérateurs mobiles pour transférer le numéro de téléphone d'une victime, interceptant ainsi les codes 2FA envoyés par SMS.
• Impact : contourner la 2FA permet un accès non autorisé aux portefeuilles, aux dApps et aux comptes sensibles.
• Incidents notables : 23,8 millions de dollars volés à l'investisseur Michael Terpin en 2018 et une faille du système 2FA de Coinbase en 2021 touchant 6 000 utilisateurs.

Cet article vous est présenté par :