SSOモジュール4- オンラインセキュリティの強化：2FA、その限界、SIMスワッピングの脅威を探る

web3では、堅牢なセキュリティ対策を確保することが最重要です。

その一つが二要素認証（2FA）で、ユーザーアカウントと取引に追加の保護層を加えます。

このコースでは、web3における2FAの仕組みを掘り下げ、その限界を検証し、ますます拡大するSIMスワッピングの脅威に光を当てます。

Web3における2FAの理解

二要素認証は、アカウントにアクセスするために2つの異なる認証要素の提供をユーザーに求めるセキュリティ機構です。

その目的は、パスワード窃盗のような単純な手口によって一瞬で資金を抜き取られるリスクを減らし、資金を可能な限り安全にすることです。

これらの認証要素は3つのカテゴリーに分類されます：

1. 知識情報：パスワード、PIN、セキュリティ質問などが含まれます。
2. 所持情報：スマートフォンやハードウェアトークンなど、時間制限付きのコードを生成する物理デバイスです。
3. 生体情報：指紋や顔認証などの生体データです。

web3の領域では、2FAの最も一般的な適用方法は、パスワード（知識情報）とスマートフォンアプリが生成する時間制限付きのコード（所持情報）を組み合わせることです。

出典: Swoopnow

この動的コードは数秒ごとに変化するため、攻撃者がパスワードを入手できたとしても、不正アクセスは極めて困難になります。

2FAは中央集権型取引所（CEX）における標準的な慣行であり、KYCと同様に重要な必須プロセスです。

CEXは独自の「認証アプリ」を開発することが多く、例えばBinance AuthenticatorではQRコードと16桁のキーでアカウントにアクセスできます。

出典: Binance

2FAの限界

2FAは効果的ですが、いくつかの制限があります:

1. フィッシング攻撃： ユーザーが偽のウェブサイトやメールを通じて認証情報を開示するよう騙された場合、2FAだけでは不正アクセスを完全に防げない可能性があります。
2. デバイス依存： 2FAを単一のデバイスに依存すると、単一障害点となる可能性があります。デバイスを紛失したり技術的な問題が発生したりすると、ユーザーはアカウントにアクセスできなくなることがあります。
3. ソーシャルエンジニアリング： 熟練した攻撃者はカスタマーサービス担当者を操作してユーザーの2FAを新しいデバイスに移行させ、不正アクセスを獲得する可能性があります。 SIMスワッピングの脅威

web3の領域では、SIMスワッピングが重大な脅威として浮上しています。

SIMスワッピングとは、悪意のある行為者がユーザーの携帯通信事業者を説得し、電話番号を攻撃者の管理下にある新しいSIMカードに移行させることを指します。

これを達成すると、攻撃者はSMSで送信される2FAコードを傍受できる。

出典: SimSwapLaw

web3におけるSIMスワップの影響は深刻だ。

攻撃者が被害者の電話番号を掌握すると、2FAを回避して暗号資産ウォレット、dApps、その他の機密アカウントにアクセスできる可能性がある。

これにより多くの個人が多大な金銭的損失を被っている。

2018年、暗号資産投資家のMichael Terpinは2,380万ドルという驚異的なSIMスワップ攻撃の被害者となった。2021年10月、Coinbaseは 明らかにした サイバー犯罪者がSIMスワッピングを通じて2FAシステムの侵害を悪用し、最低6,000人のユーザーから暗号資産を不正に奪取したこと。

「Web3の人気が高まり、より多くの人が業界に引き込まれるにつれて、比較的低い技術的ハードルからSIMスワッピング攻撃の可能性も高まります」と、ブロックチェーンセキュリティ企業SlowmistのCISOは最近次のメディアに語った。 CoinTelegraph.

過去数週間に暗号資産業界で相次いだSIMスワッピング攻撃は、その言葉が正しかったことを証明した。

2023年6月以降、 30以上もの暗号資産プロジェクト がSIMスワッピング攻撃の標的となっており、この攻撃はTwitterアカウントを乗っ取りウォレットドレイナーを投稿するために使われている。1回の攻撃で少なくとも76万5,000ドル相当のNFTが盗まれ、 Gutter Cat GangのTwitterアカウントがハッキングされた SIMスワッピングによるものです。

出典: Matt Medev、NFT Nowの共同創業者、CEO兼編集長

脅威の軽減

SIMスワッピングに関連するリスクに対抗し、web3のセキュリティを強化するために、いくつかの対策を講じることができます:

1. 認証アプリ: Google AuthenticatorやAuthyなどの専用の2FAアプリを使用すると、オフラインでコードが生成されるため、SIMスワッピングに対する脆弱性が軽減されます。
2. 電話番号以外の認証システムを使うのが面倒な場合は:

• 少なくとも、電話番号を開示する相手は可能な限り少なくし、Linkedinを含むソーシャルメディアには決して公開しないようにしてください。また、電話番号の取得に悪用される可能性のある氏名、住所、生年月日などの個人データも保護してください。
• 実装できる最善の戦略は、認証専用のSIMを用意することです。そのSIMに対応する電話番号は、あなた以外の誰にも開示しないでください。

3. ハードウェアトークン：YubiKeyのようなハードウェアデバイスは、2FAコードを生成する物理的な手段を提供し、SIMスワップの影響を受けません。

4. マルチシグウォレット：マルチシグウォレットを採用すると、複数のデバイスや当事者による取引の承認が必要となり、セキュリティの層がさらに強化されます。

5. 取引の2FA：Neftureでは、すべての取引を通知し、承認を求め、関連する潜在的なリスクを知らせる2FA取引システムを開発しました。

取引を監視し潜在的なリスクをリアルタイムで特定する高度なアルゴリズムを通じて、取引パターン、ブロックチェーンデータ、履歴データを分析し、異常、不正行為、不審な行動を検出することで、ユーザーは**** ****行おうとする各取引に伴うリスクを事前に警告され、リアルタイムで適切な対応を取ることができます。

結論として、2FAはweb3の領域におけるセキュリティを大幅に強化しますが、その限界とSIMスワッピングの差し迫った脅威は無視できません。

最大限の保護を確保するには、ユーザーは認証アプリやハードウェアトークンの使用などのベストプラクティスを採用する必要があります。

web3が進化し続けるにつれて、新たな脅威や脆弱性に対抗するためにセキュリティ対策も進化しなければなりません。

概要

おめでとうございます！モジュール4「Web3のセキュリティ強化：2FA、その限界、SIMスワッピングの脅威を探る」を完了しました

学んだことを振り返りましょう：

Web3における2FA： 二要素認証（2FA）は、アカウントへのアクセスに2つの異なる検証要素を使用するセキュリティ手法です。

• 種類：
• 知識（例：パスワード）
• 所持（例：時間制限付きコードを生成するスマートフォン）
• 生体（例：指紋）。
• 応用：Web3では、パスワードとスマートフォンで生成される動的コードの組み合わせが一般的です。

中央集権型取引所（CEX）と2FA： CEXは2FAを広く利用しています。例えばBinanceはQRコードとキーを使う独自の「認証アプリ」を提供しています。

2FAの限界：

• フィッシング攻撃に脆弱です。
• デバイス依存：デバイスの紛失や故障によりユーザーがロックアウトされる可能性があります。
• ソーシャルエンジニアリング：攻撃者は操作的な手法で2FAを回避する可能性があります。

SIMスワップ：

• 脅威：攻撃者は携帯通信事業者を欺いて被害者の電話番号を転送させ、SMSで送信される2FAコードを傍受します。
• 影響: 2FAを回避されると、ウォレット、dApp、機密アカウントへの不正アクセスが可能になります。
• 主な事例: 2018年に投資家Michael Terpinから2380万ドルが盗まれ、2021年にはCoinbaseの2FAシステムが侵害され6,000人のユーザーに影響が及びました。

この記事の提供: