Modul SSO 4- Memperkukuh Keselamatan Dalam Talian: Meneroka 2FA, Keterbatasannya dan Ancaman Pertukaran SIM

Dalam web3, memastikan langkah keselamatan yang kukuh adalah amat penting.

Salah satu keselamatan tersebut ialah Pengesahan Dua Faktor (2FA), yang menambah lapisan perlindungan tambahan pada akaun dan transaksi pengguna.

Dalam kursus ini, kami menyelami cara 2FA berfungsi dalam web3, meneliti keterbatasannya dan memberi penjelasan tentang ancaman pertukaran SIM yang semakin meningkat.

Memahami 2FA dalam Web3

Pengesahan Dua Faktor ialah mekanisme keselamatan yang memerlukan pengguna memberikan dua faktor pengesahan berbeza untuk mengakses akaun.

Tujuannya adalah untuk melindungi dana anda sebaik mungkin dengan mengurangkan risiko sesuatu yang semudah pencuri kata laluan mengosongkannya dalam sekelip mata.

Faktor pengesahan ini terbahagi kepada tiga kategori:

1. Sesuatu Yang Anda Tahu: Ini termasuk kata laluan, PIN atau soalan keselamatan.
2. Sesuatu Yang Anda Miliki: Peranti fizikal, seperti telefon pintar atau token perkakasan, yang menjana kod sensitif masa.
3. Sesuatu Yang Anda Adalah: Data biometrik seperti cap jari atau pengecaman muka.

Dalam bidang web3, aplikasi 2FA yang paling biasa melibatkan penggabungan kata laluan (sesuatu yang anda tahu) dengan kod sensitif masa yang dijana oleh aplikasi telefon pintar (sesuatu yang anda miliki).

Sumber: Swoopnow

Kod dinamik ini berubah setiap beberapa saat, menjadikannya sangat sukar untuk penyerang mendapatkan akses tanpa kebenaran, walaupun mereka berjaya memperoleh kata laluan.

2FA ialah amalan standard di Bursa Berpusat (CEX), proses wajib yang sama pentingnya dengan KYC.

CEX sering membangunkan "pengesahan" mereka sendiri, seperti Binance Authenticator yang membolehkan anda mengakses akaun anda melalui kod QR dan kunci 16 digit.

Sumber: Binance

Had 2FA

Walaupun berkesan, 2FA mempunyai beberapa had tertentu:

1. Serangan Pancingan Data: Jika pengguna diperdaya untuk mendedahkan kelayakan mereka melalui laman web atau e-mel palsu, 2FA mungkin tidak dapat menghalang akses tanpa kebenaran sepenuhnya.
2. Pergantungan pada Peranti: Bergantung pada satu peranti untuk 2FA boleh menyebabkan titik kegagalan tunggal. Kehilangan peranti atau menghadapi masalah teknikal boleh mengunci pengguna daripada akaun mereka.
3. Kejuruteraan Sosial: Penyerang mahir mungkin memanipulasi wakil perkhidmatan pelanggan untuk memindahkan 2FA pengguna ke peranti baharu, sekali gus memperoleh akses tanpa kebenaran. Ancaman Penukaran SIM

Dalam ruang web3, penukaran SIM telah muncul sebagai ancaman yang ketara.

Penukaran SIM melibatkan pelaku berniat jahat yang memujuk pembawa mudah alih pengguna untuk memindahkan nombor telefon mereka ke kad SIM baharu di bawah kawalan penyerang.

Sebaik sahaja ini dicapai, penyerang boleh memintas kod 2FA yang dihantar melalui SMS.

Sumber: SimSwapLaw

Implikasi pertukaran SIM dalam konteks web3 adalah serius.

Jika penyerang mengawal nombor telefon mangsa, mereka berpotensi memintas 2FA, sekali gus mendapat akses kepada dompet kripto, dApp dan akaun sensitif lain.

Ini telah menyebabkan kerugian kewangan yang besar bagi banyak individu.

Pada 2018, pelabur kripto Michael Terpin menjadi mangsa serangan pertukaran SIM bernilai $23.8 juta yang mengejutkan. Pada Oktober 2021, Coinbase mendedahkan bahawa penjenayah siber telah mengambil mata wang kripto secara haram daripada sekurang-kurangnya 6,000 pengguna akibat pelanggaran dalam sistem 2FA mereka, melalui pertukaran SIM.

“Apabila populariti Web3 berkembang dan menarik lebih ramai orang ke dalam industri ini, kemungkinan serangan pertukaran SIM juga meningkat kerana keperluan teknikalnya yang agak rendah.” baru-baru ini memberitahu Ketua Pegawai Keselamatan Maklumat Firma Keselamatan Blockchain Slowmist kepada CoinTelegraph.

Sebilangan serangan pertukaran SIM dalam ruang kripto sejak beberapa minggu lalu membuktikan kata-kata itu benar.

Sejak Jun 2023, lebih daripada 30+ projek kripto telah menjadi sasaran serangan pertukaran SIM, yang digunakan untuk mengambil kawalan akaun Twitter dan menyiarkan pautan penguras dompet. Dalam satu serangan sahaja, sekurang-kurangnya NFT bernilai $765K telah dicuri apabila akaun Twitter Gutter Cat Gang telah digodam melalui pertukaran SIM.

Sumber: Matt Medev, Pengasas Bersama, CEO & EIC NFT Now

Mengurangkan Ancaman

Untuk menangani risiko yang berkaitan dengan pertukaran SIM dan meningkatkan keselamatan dalam web3, beberapa langkah boleh diambil:

1. Aplikasi Pengesah: Menggunakan aplikasi 2FA khusus seperti Google Authenticator atau Authy menjana kod secara luar talian, mengurangkan kerentanan terhadap pertukaran SIM.
2. Jika anda tidak mahu menggunakan sistem pengesah di luar nombor telefon anda:

• Anda sekurang-kurangnya harus mendedahkan nombor telefon anda kepada sesedikit mungkin orang dan jangan sekali-kali di media sosial, termasuk Linkedin. Serta lindungi data peribadi seperti nama, alamat dan tarikh lahir, yang boleh digunakan untuk mendapatkan semula nombor telefon anda.
• Strategi terbaik yang boleh anda laksanakan ialah mempunyai SIM yang dikhaskan semata-mata untuk mengesahkan identiti anda. Nombor telefon yang berkaitan dengannya tidak didedahkan kepada sesiapa kecuali anda.

3. Token Perkakasan: Peranti perkakasan seperti YubiKey menyediakan cara fizikal untuk menjana kod 2FA dan kebal terhadap pertukaran SIM.

4. Dompet Multi-Tandatangan: Menggunakan dompet multi-tandatangan menambah lapisan keselamatan tambahan, memerlukan berbilang peranti atau pihak untuk membenarkan transaksi.

5. 2FA Transaksi: Di Nefture, kami telah membangunkan sistem 2FA transaksi yang memberi amaran kepada anda tentang setiap transaksi yang anda buat, meminta pengesahan anda dan memaklumkan anda tentang potensi risiko yang berkaitan dengannya.

Melalui algoritma lanjutan yang memantau transaksi dan mengenal pasti potensi risiko secara masa nyata, menganalisis corak transaksi, data blockchain dan data sejarah untuk mengesan anomali, aktiviti penipuan dan tingkah laku mencurigakan, pengguna**** ****terlebih dahulu diberi amaran tentang risiko yang terlibat bagi setiap transaksi yang ingin mereka lakukan dan dapat mengambil tindakan yang sewajarnya secara masa nyata.

Kesimpulannya, walaupun 2FA sangat memperkukuh keselamatan dalam landskap web3, batasannya dan ancaman pertukaran SIM yang membayangi tidak boleh diabaikan.

Untuk memastikan perlindungan maksimum, pengguna mesti mengamalkan amalan terbaik seperti menggunakan aplikasi pengesah dan token perkakasan.

Memandangkan web3 terus berkembang, begitu juga langkah keselamatan kita mesti berkembang untuk menangani ancaman dan kelemahan yang muncul.

Ringkasan

Tahniah! Anda telah menamatkan Modul 4- Memperkukuh Keselamatan dalam Web3: Meneroka 2FA, Batasannya dan Ancaman Pertukaran SIM

Mari semak pembelajaran anda:

2FA dalam Web3: Pengesahan Dua Faktor (2FA) ialah kaedah keselamatan yang menggunakan dua faktor pengesahan berbeza untuk akses akaun.

• Jenis:
• Pengetahuan (cth., kata laluan)
• Pemilikan (cth., telefon pintar yang menjana kod sensitif masa)
• Inheren (cth., cap jari).
• Aplikasi: Dalam web3, kata laluan yang digabungkan dengan kod dinamik yang dijana telefon pintar adalah lazim.

Bursa Terpusat (CEX) & 2FA: CEX menggunakan 2FA secara meluas. Contohnya, Binance mempunyai "authenticator" sendiri menggunakan kod QR dan kunci.

Had 2FA:

• Terdedah kepada serangan pancingan data.
• Kebergantungan peranti: Peranti hilang atau rosak boleh menyekat pengguna daripada akses.
• Kejuruteraan sosial: Penyerang mungkin memintas 2FA melalui taktik manipulatif.

Pertukaran SIM:

• Ancaman: Penyerang memperdaya pengendali mudah alih untuk memindahkan nombor telefon mangsa, sekali gus memintas kod 2FA yang dihantar melalui SMS.
• Kesan: Memintas 2FA membolehkan akses tanpa kebenaran ke dompet, dApp dan akaun sensitif.
• Insiden ketara: $23.8 juta dicuri daripada pelabur Michael Terpin pada 2018 dan pelanggaran sistem 2FA Coinbase pada 2021 yang menjejaskan 6,000 pengguna.

Artikel ini disediakan oleh: