SSO मॉड्यूल 4- ऑनलाइन सुरक्षा बढ़ाना: 2FA, इसकी सीमाएँ और SIM स्वैपिंग का खतरा

web3 में, मज़बूत सुरक्षा उपाय सुनिश्चित करना सर्वोपरि है।

ऐसी ही एक सुरक्षा दो-कारक प्रमाणीकरण (2FA) है, जो उपयोगकर्ता खातों और लेनदेन में सुरक्षा की एक अतिरिक्त परत जोड़ती है।

इस कोर्स में, हम web3 में 2FA की कार्यप्रणाली में गहराई से जाते हैं, इसकी सीमाओं की जाँच करते हैं, और SIM स्वैपिंग के लगातार बढ़ते खतरे पर प्रकाश डालते हैं।

Web3 में 2FA को समझना

दो-कारक प्रमाणीकरण एक सुरक्षा तंत्र है जिसमें किसी खाते तक पहुँचने के लिए उपयोगकर्ताओं को दो अलग-अलग प्रमाणीकरण कारक प्रदान करने होते हैं।

इसका उद्देश्य आपके धन को यथासंभव सुरक्षित रखना है, ताकि पासवर्ड चुराने वाला कोई व्यक्ति पलक झपकते ही आपके धन को खाली न कर सके।

ये प्रमाणीकरण कारक तीन श्रेणियों में आते हैं:

1. जो आप जानते हैं: इसमें पासवर्ड, PIN या सुरक्षा प्रश्न शामिल हैं।
2. जो आपके पास है: एक भौतिक उपकरण, जैसे स्मार्टफ़ोन या हार्डवेयर टोकन, जो समय-संवेदी कोड उत्पन्न करता है।
3. जो आप हैं: बायोमेट्रिक डेटा जैसे फ़िंगरप्रिंट या चेहरे की पहचान।

web3 के क्षेत्र में, 2FA का सबसे सामान्य उपयोग पासवर्ड (जो आप जानते हैं) को स्मार्टफ़ोन ऐप द्वारा उत्पन्न समय-संवेदी कोड (जो आपके पास है) के साथ जोड़ना है।

स्रोत: Swoopnow

यह गतिशील कोड हर कुछ सेकंड में बदलता है, जिससे हमलावरों के लिए अनधिकृत पहुँच पाना अत्यंत कठिन हो जाता है, भले ही वे पासवर्ड प्राप्त कर चुके हों।

2FA केंद्रीकृत एक्सचेंजों (CEXs) पर मानक प्रक्रिया है, KYC की तरह ही एक अनिवार्य प्रक्रिया।

CEXs अक्सर अपना खुद का “authenticator” विकसित करते हैं, जैसे Binance Authenticator जो आपको QR कोड और 16-अंकों की कुंजी के माध्यम से अपने खाते तक पहुँचने देता है।

स्रोत: Binance

2FA की सीमाएँ

अपनी प्रभावशीलता के बावजूद, 2FA की कुछ सीमाएँ हैं:

1. फ़िशिंग हमले: यदि उपयोगकर्ताओं को नकली वेबसाइटों या ईमेल के माध्यम से अपने क्रेडेंशियल उजागर करने के लिए धोखा दिया जाता है, तो 2FA अनधिकृत पहुँच को पूरी तरह से नहीं रोक सकता।
2. डिवाइस पर निर्भरता: 2FA के लिए किसी एक डिवाइस पर निर्भर रहना विफलता का एकल बिंदु बन सकता है। डिवाइस खोने या तकनीकी समस्याओं का सामना करने पर उपयोगकर्ता अपने खातों से लॉक हो सकते हैं।
3. सोशल इंजीनियरिंग: कुशल हमलावर ग्राहक सेवा प्रतिनिधियों को हेरफेर करके उपयोगकर्ता का 2FA किसी नए डिवाइस पर स्थानांतरित करवा सकते हैं, जिससे अनधिकृत पहुँच प्राप्त हो सकती है। SIM स्वैपिंग का खतरा

web3 क्षेत्र में, SIM स्वैपिंग एक महत्वपूर्ण खतरे के रूप में उभरी है।

SIM स्वैपिंग में एक दुर्भावनापूर्ण अभिनेता उपयोगकर्ता के मोबाइल ऑपरेटर को मनाकर उनका फ़ोन नंबर हमलावर के नियंत्रण वाले नए SIM कार्ड पर स्थानांतरित करवा देता है।

एक बार यह हो जाने पर, हमलावर SMS के माध्यम से भेजे गए 2FA कोड को इंटरसेप्ट कर सकता है।

स्रोत: SimSwapLaw

web3 के संदर्भ में SIM स्वैपिंग के परिणाम गंभीर हैं।

यदि कोई हमलावर किसी पीड़ित के फ़ोन नंबर पर नियंत्रण प्राप्त कर लेता है, तो वह संभावित रूप से 2FA को बायपास कर सकता है, जिससे क्रिप्टो वॉलेट, dApps और अन्य संवेदनशील खातों तक पहुँच प्राप्त कर सकता है।

इसके परिणामस्वरूप कई व्यक्तियों को भारी वित्तीय नुकसान हुआ है।

2018 में, क्रिप्टो निवेशक Michael Terpin $23.8 million के चौंकाने वाले SIM स्वैप हमले का शिकार हुए। अक्टूबर 2021 में, Coinbase revealed कि साइबर अपराधियों ने सिम स्वैपिंग के ज़रिए उनके 2FA सिस्टम में सेंध लगाकर कम से कम 6,000 उपयोगकर्ताओं से अवैध रूप से क्रिप्टोकरेंसी ली थी।

“जैसे-जैसे Web3 की लोकप्रियता बढ़ती है और अधिक लोग इस उद्योग की ओर आकर्षित होते हैं, सिम स्वैपिंग हमलों की संभावना भी बढ़ती है क्योंकि इसकी तकनीकी आवश्यकताएँ अपेक्षाकृत कम हैं।” हाल ही में ब्लॉकचेन सुरक्षा फर्म Slowmist के CISO ने कहा CoinTelegraph.

क्रिप्टो क्षेत्र में पिछले कुछ हफ़्तों में हुए कई सिम स्वैपिंग हमलों ने उन शब्दों को सच साबित कर दिया।

जून 2023 से, 30+ से अधिक क्रिप्टो प्रोजेक्ट्स सिम स्वैप हमलों का निशाना बने हैं, जिनका इस्तेमाल Twitter अकाउंट्स पर नियंत्रण पाने और वॉलेट ड्रेनर पोस्ट करने के लिए किया जाता है। एक ही हमले में कम से कम $765K मूल्य के NFTs चोरी हुए, Gutter Cat Gang का Twitter अकाउंट हैक कर लिया गया था सिम स्वैपिंग के माध्यम से।

स्रोत: Matt Medev, NFT Now के सह-संस्थापक, CEO और EIC

खतरे को कम करना

SIM स्वैपिंग से जुड़े जोखिमों का मुकाबला करने और web3 में सुरक्षा बढ़ाने के लिए कई कदम उठाए जा सकते हैं:

1. Authenticator ऐप्स: Google Authenticator या Authy जैसे समर्पित 2FA ऐप्स का उपयोग ऑफ़लाइन कोड उत्पन्न करता है, जिससे SIM स्वैपिंग के प्रति संवेदनशीलता कम होती है।
2. यदि आप अपने फ़ोन नंबर के अलावा किसी authenticator सिस्टम का उपयोग करने में रुचि नहीं रखते:

• आपको कम से कम जितना संभव हो कम लोगों को अपना फ़ोन नंबर बताना चाहिए और सोशल मीडिया पर कभी नहीं, जिसमें Linkedin भी शामिल है। साथ ही नाम, पता और जन्म तिथि जैसे व्यक्तिगत डेटा की सुरक्षा करनी चाहिए, जिनका उपयोग आपका फ़ोन नंबर प्राप्त करने के लिए किया जा सकता है।
• सबसे अच्छी रणनीति यह है कि आपके पास एक ऐसा सिम हो जो केवल आपके प्रमाणीकरण के लिए समर्पित हो। जिसका संबंधित फ़ोन नंबर आपके अलावा किसी को न बताया जाए।

3. हार्डवेयर टोकन: YubiKey जैसे हार्डवेयर डिवाइस 2FA कोड जनरेट करने का भौतिक साधन प्रदान करते हैं और SIM स्वैपिंग से सुरक्षित रहते हैं।

4. Multi-Signature Wallets: Multi-signature wallets का उपयोग सुरक्षा की एक अतिरिक्त परत जोड़ता है, जिसमें लेनदेन को अधिकृत करने के लिए कई डिवाइस या पक्षों की आवश्यकता होती है।

5. Transactions 2FA: Nefture में, हमने एक 2FA लेनदेन प्रणाली विकसित की है जो आपके द्वारा किए गए प्रत्येक लेनदेन के बारे में आपको सचेत करती है, आपकी पुष्टि मांगती है और उससे जुड़े संभावित जोखिम(ों) की जानकारी देती है।

उन्नत एल्गोरिदम के माध्यम से जो लेनदेन की निगरानी करते हैं और वास्तविक समय में संभावित जोखिमों की पहचान करते हैं, लेनदेन पैटर्न, ब्लॉकचेन डेटा और ऐतिहासिक डेटा का विश्लेषण करके विसंगतियों, धोखाधड़ी गतिविधियों और संदिग्ध व्यवहार का पता लगाते हैं, उपयोगकर्ता को**** ****प्रत्येक लेनदेन के लिए शामिल जोखिमों के बारे में पहले से चेतावनी दी जाती है जिसमें वे संलग्न होना चाहते हैं और वास्तविक समय में पर्याप्त कार्रवाई करने में सक्षम होते हैं।

निष्कर्ष में, हालांकि 2FA web3 परिदृश्य में सुरक्षा को बहुत मजबूत करता है, इसकी सीमाओं और SIM swapping के मंडराते खतरे को नजरअंदाज नहीं किया जा सकता।

अधिकतम सुरक्षा सुनिश्चित करने के लिए, उपयोगकर्ताओं को authenticator ऐप्स और हार्डवेयर टोकन का उपयोग करने जैसी सर्वोत्तम प्रथाओं को अपनाना चाहिए।

जैसे-जैसे web3 विकसित होता रहता है, उभरते खतरों और कमजोरियों का मुकाबला करने के लिए हमारे सुरक्षा उपायों को भी विकसित होना चाहिए।

सारांश

बधाई हो! आपने Module 4- Enhancing Security in Web3: Exploring 2FA, its Limitations, and the Menace of SIM Swapping पूरा कर लिया है

आइए अपनी सीख का पुनरावलोकन करें:

Web3 में 2FA: टू-फैक्टर ऑथेंटिकेशन (2FA) एक सुरक्षा विधि है जो खाते तक पहुँच के लिए दो अलग-अलग सत्यापन कारकों का उपयोग करती है।

• प्रकार:
• ज्ञान (जैसे, पासवर्ड)
• स्वामित्व (जैसे, समय-संवेदी कोड उत्पन्न करने वाला स्मार्टफोन)
• अंतर्निहितता (जैसे, फिंगरप्रिंट)।
• अनुप्रयोग: web3 में, पासवर्ड के साथ स्मार्टफोन द्वारा उत्पन्न गतिशील कोड का संयोजन आम है।

केंद्रीकृत एक्सचेंज (CEX) और 2FA: CEX व्यापक रूप से 2FA का उपयोग करते हैं। उदाहरण के लिए, Binance का अपना “authenticator” है जो QR कोड और एक कुंजी का उपयोग करता है।

2FA की सीमाएँ:

• फ़िशिंग हमलों के प्रति संवेदनशील।
• डिवाइस पर निर्भरता: खोया या खराब डिवाइस उपयोगकर्ताओं को लॉक आउट कर सकता है।
• सोशल इंजीनियरिंग: हमलावर हेरफेर करने वाली रणनीतियों से 2FA को बायपास कर सकते हैं।

SIM स्वैपिंग:

• खतरा: हमलावर मोबाइल ऑपरेटरों को धोखा देकर पीड़ित का फ़ोन नंबर ट्रांसफ़र करवा लेते हैं, जिससे SMS से भेजे गए 2FA कोड इंटरसेप्ट हो जाते हैं।
• प्रभाव: 2FA को बायपास करने से वॉलेट, dApps और संवेदनशील खातों तक अनधिकृत पहुँच मिलती है।
• उल्लेखनीय घटनाएँ: 2018 में निवेशक Michael Terpin से $23.8 million चोरी हुए और 2021 में Coinbase के 2FA सिस्टम में सेंध से 6,000 उपयोगकर्ता प्रभावित हुए।

यह लेख आपके लिए प्रस्तुत किया गया है: