SSO Modulo 4 - Migliorare la sicurezza online: esplorare la 2FA, i suoi limiti e la minaccia del SIM swapping

Nel web3, garantire misure di sicurezza solide è fondamentale.

Una di queste misure è l'autenticazione a due fattori (2FA), che aggiunge un ulteriore livello di protezione agli account e alle transazioni degli utenti.

In questo corso approfondiamo il funzionamento della 2FA nel web3, ne esaminiamo i limiti e facciamo luce sulla minaccia in continua crescita del SIM swapping.

Comprendere la 2FA nel Web3

L'autenticazione a due fattori è un meccanismo di sicurezza che richiede agli utenti di fornire due fattori di autenticazione distinti per accedere a un account.

L'obiettivo è proteggere il più possibile i tuoi fondi riducendo il rischio che qualcosa di semplice come un ladro di password li prosciughi in un batter d'occhio.

Questi fattori di autenticazione si dividono in tre categorie:

1. Qualcosa che sai: include una password, un PIN o domande di sicurezza.
2. Qualcosa che possiedi: un dispositivo fisico, come uno smartphone o un token hardware, che genera codici a tempo.
3. Qualcosa che sei: dati biometrici come impronte digitali o riconoscimento facciale.

Nel mondo del web3, l'applicazione più comune della 2FA consiste nel combinare una password (qualcosa che sai) con un codice a tempo generato da un'app per smartphone (qualcosa che possiedi).

Fonte: Swoopnow

Questo codice dinamico cambia ogni pochi secondi, rendendo estremamente difficile per gli attaccanti ottenere accessi non autorizzati, anche se sono riusciti a ottenere la password.

La 2FA è una pratica standard sugli Exchange Centralizzati (CEX), un processo obbligatorio importante quanto il KYC.

I CEX spesso sviluppano il proprio "authenticator", come Binance Authenticator, che consente di accedere al proprio account tramite un codice QR e una chiave a 16 cifre.

Fonte: Binance

Limiti della 2FA

Nonostante la sua efficacia, la 2FA presenta alcune limitazioni:

1. Attacchi di phishing: Se gli utenti vengono indotti a rivelare le proprie credenziali tramite siti web o email falsi, il 2FA potrebbe non impedire del tutto l'accesso non autorizzato.
2. Dipendenza dal dispositivo: Affidarsi a un singolo dispositivo per il 2FA potrebbe creare un singolo punto di errore. Perdere il dispositivo o incontrare problemi tecnici può bloccare l'accesso degli utenti ai propri account.
3. Ingegneria sociale: Attaccanti esperti potrebbero manipolare gli operatori dell'assistenza clienti per trasferire il 2FA di un utente su un nuovo dispositivo, ottenendo accesso non autorizzato. La minaccia del SIM swapping

Nello spazio web3, il SIM swapping è emerso come una minaccia significativa.

Il SIM swapping prevede che un attore malintenzionato convinca l'operatore mobile di un utente a trasferire il suo numero di telefono su una nuova SIM sotto il controllo dell'attaccante.

Una volta ottenuto questo, l'attaccante può intercettare i codici 2FA inviati via SMS.

Fonte: SimSwapLaw

Le implicazioni del SIM swapping nel contesto del web3 sono gravi.

Se un attaccante ottiene il controllo del numero di telefono di una vittima, può potenzialmente aggirare il 2FA, ottenendo accesso a wallet crypto, dApp e altri account sensibili.

Ciò ha causato ingenti perdite finanziarie per molte persone.

Nel 2018, l'investitore crypto Michael Terpin è stato vittima di un attacco SIM swap da ben 23,8 milioni di dollari. Nell'ottobre 2021, Coinbase ha rivelato che i cybercriminali avevano illecitamente sottratto criptovalute ad almeno 6.000 utenti a seguito di una violazione del loro sistema 2FA, tramite SIM swapping.

“Man mano che la popolarità del Web3 cresce e attrae sempre più persone nel settore, aumenta anche la probabilità di attacchi di SIM swapping, grazie ai suoi requisiti tecnici relativamente inferiori”, ha recentemente dichiarato il CISO della società di sicurezza blockchain Slowmist a CoinTelegraph.

Una serie di attacchi di SIM swapping nel settore crypto nelle ultime settimane ha dimostrato che queste parole erano vere.

Da giugno 2023, oltre 30 progetti crypto sono stati presi di mira da attacchi di SIM swap, utilizzati per assumere il controllo di account Twitter e pubblicare wallet drainer. In un singolo attacco sono stati rubati NFT per un valore di almeno 765.000 dollari; l' account Twitter di Gutter Cat Gang è stato violato tramite SIM swapping.

Fonte: Matt Medev, Co-Founder, CEO & EIC di NFT Now

Mitigare la minaccia

Per contrastare i rischi associati al SIM swapping e migliorare la sicurezza nel web3, si possono adottare diverse misure:

1. App di autenticazione: usare app 2FA dedicate come Google Authenticator o Authy genera codici offline, riducendo la vulnerabilità al SIM swapping.
2. Se non vuoi usare un sistema di autenticazione diverso dal tuo numero di telefono:

• Dovresti quanto meno divulgare il tuo numero di telefono al minor numero possibile di persone e mai sui social media, incluso LinkedIn. Oltre a proteggere i dati personali come nome, indirizzo e data di nascita, che possono essere usati per recuperare il tuo numero di telefono.
• La migliore strategia che puoi adottare è avere una SIM dedicata esclusivamente all'autenticazione, il cui numero di telefono corrispondente non sia divulgato a nessuno tranne te.

3. Token hardware: dispositivi hardware come YubiKey offrono un mezzo fisico per generare codici 2FA e sono immuni al SIM swapping.

4. Wallet multi-firma: l'uso di wallet multi-firma aggiunge un ulteriore livello di sicurezza, richiedendo più dispositivi o parti per autorizzare le transazioni.

5. 2FA per le transazioni: in Nefture abbiamo sviluppato un sistema 2FA per le transazioni che ti avvisa di ogni transazione effettuata, richiede la tua convalida e ti informa dei potenziali rischi a essa associati.

Grazie ad algoritmi avanzati che monitorano le transazioni e identificano i potenziali rischi in tempo reale, analizzando i pattern delle transazioni, i dati della blockchain e i dati storici per rilevare anomalie, attività fraudolente e comportamenti sospetti, l'utente viene**** ****preavvisato dei rischi connessi a ogni transazione che desidera effettuare ed è in grado di agire adeguatamente in tempo reale.

In conclusione, sebbene il 2FA rafforzi notevolmente la sicurezza nel panorama web3, i suoi limiti e la minaccia incombente del SIM swapping non possono essere ignorati.

Per garantire la massima protezione, gli utenti devono adottare le migliori pratiche, come l'uso di app di autenticazione e token hardware.

Man mano che il web3 continua a evolversi, anche le nostre misure di sicurezza devono evolversi per contrastare minacce e vulnerabilità emergenti.

Riepilogo

Congratulazioni! Hai completato il Modulo 4 - Rafforzare la sicurezza nel Web3: esplorare il 2FA, i suoi limiti e la minaccia del SIM swapping

Rivediamo ciò che hai imparato:

2FA nel Web3: L'autenticazione a due fattori (2FA) è un metodo di sicurezza che utilizza due fattori di verifica distinti per l'accesso all'account.

• Tipi:
• Conoscenza (ad es. password)
• Possesso (ad es. smartphone che genera codici a scadenza)
• Inerenza (ad es. impronte digitali).
• Applicazione: nel Web3 è comune una password combinata con un codice dinamico generato dallo smartphone.

Exchange centralizzati (CEX) e 2FA: I CEX usano ampiamente la 2FA. Ad esempio, Binance ha il proprio “authenticator” tramite un codice QR e una chiave.

Limiti della 2FA:

• Vulnerabile agli attacchi di phishing.
• Dipendenza dal dispositivo: un dispositivo perso o malfunzionante potrebbe bloccare gli utenti fuori.
• Ingegneria sociale: gli aggressori potrebbero aggirare la 2FA tramite tattiche manipolative.

SIM Swapping:

• Minaccia: gli aggressori ingannano gli operatori mobili per trasferire il numero di telefono di una vittima, intercettando così i codici 2FA inviati via SMS.
• Impatto: aggirare l'autenticazione a due fattori consente accessi non autorizzati a wallet, dApp e account sensibili.
• Incidenti rilevanti: 23,8 milioni di dollari rubati all'investitore Michael Terpin nel 2018 e una violazione del sistema 2FA di Coinbase nel 2021 che ha coinvolto 6.000 utenti.

Questo articolo ti è stato offerto da: