SSO Module 4 - Online beveiliging verbeteren: 2FA, de beperkingen en de dreiging van SIM-swapping

In web3 is het waarborgen van robuuste beveiligingsmaatregelen van het grootste belang.

Een dergelijke beveiliging is tweefactorauthenticatie (2FA), die een extra beveiligingslaag toevoegt aan gebruikersaccounts en transacties.

In deze cursus verdiepen we ons in de werking van 2FA in web3, onderzoeken we de beperkingen ervan en belichten we de steeds groter wordende dreiging van SIM-swapping.

2FA begrijpen in Web3

Tweefactorauthenticatie is een beveiligingsmechanisme waarbij gebruikers twee verschillende authenticatiefactoren moeten opgeven om toegang te krijgen tot een account.

Het doel is om je geld zo goed mogelijk te beveiligen door het risico te verkleinen dat iets simpels als een wachtwoorddief je geld in een oogwenk leeghaalt.

Deze authenticatiefactoren vallen in drie categorieën:

1. Iets wat je weet: dit omvat een wachtwoord, pincode of beveiligingsvragen.
2. Iets wat je hebt: een fysiek apparaat, zoals een smartphone of hardwaretoken, dat tijdsgebonden codes genereert.
3. Iets wat je bent: biometrische gegevens zoals vingerafdrukken of gezichtsherkenning.

In de wereld van web3 bestaat de meest voorkomende toepassing van 2FA uit het combineren van een wachtwoord (iets wat je weet) met een tijdsgebonden code die door een smartphone-app wordt gegenereerd (iets wat je hebt).

Bron: Swoopnow

Deze dynamische code verandert elke paar seconden, waardoor het voor aanvallers buitengewoon moeilijk wordt om ongeautoriseerde toegang te krijgen, zelfs als ze het wachtwoord hebben weten te achterhalen.

2FA is standaardpraktijk op Centrale Exchanges (CEX's), een verplicht proces dat net zo belangrijk is als KYC.

CEX's ontwikkelen vaak hun eigen 'authenticator', zoals Binance Authenticator, waarmee je via een QR-code en een 16-cijferige sleutel toegang krijgt tot je account.

Bron: Binance

Beperkingen van 2FA

Ondanks de effectiviteit heeft 2FA bepaalde beperkingen:

1. Phishing-aanvallen: Als gebruikers worden misleid om hun inloggegevens via nepwebsites of e-mails prijs te geven, kan 2FA ongeoorloofde toegang niet volledig voorkomen.
2. Apparaatafhankelijkheid: Vertrouwen op één apparaat voor 2FA kan leiden tot een single point of failure. Het verliezen van het apparaat of technische problemen kunnen gebruikers buitensluiten van hun accounts.
3. Social engineering: Vaardige aanvallers kunnen klantenservicemedewerkers manipuleren om de 2FA van een gebruiker naar een nieuw apparaat over te zetten en zo ongeoorloofde toegang te krijgen. De dreiging van SIM-swapping

In de web3-ruimte is SIM-swapping uitgegroeid tot een aanzienlijke dreiging.

Bij SIM-swapping overtuigt een kwaadwillende actor de mobiele provider van een gebruiker om het telefoonnummer over te zetten naar een nieuwe simkaart onder controle van de aanvaller.

Zodra dit is bereikt, kan de aanvaller 2FA-codes onderscheppen die via sms worden verzonden.

Bron: SimSwapLaw

De gevolgen van SIM-swapping in de context van web3 zijn ernstig.

Als een aanvaller controle krijgt over het telefoonnummer van een slachtoffer, kan hij mogelijk 2FA omzeilen en toegang krijgen tot cryptowallets, dApps en andere gevoelige accounts.

Dit heeft geleid tot aanzienlijke financiële verliezen voor veel mensen.

In 2018 werd cryptoinvesteerder Michael Terpin slachtoffer van een duizelingwekkende SIM-swapaanval van $23,8 miljoen. In oktober 2021 onthulde dat cybercriminelen illegaal cryptocurrency hadden gestolen van minstens 6.000 gebruikers als gevolg van een inbreuk in hun 2FA-systeem, via sim swapping.

“Naarmate de populariteit van Web3 groeit en meer mensen de industrie aantrekt, neemt ook de kans op SIM-swappingaanvallen toe vanwege de relatief lagere technische vereisten.” zei de CISO van Blockchain Security Firm Slowmist onlangs tegen de CoinTelegraph.

Een reeks sim-swappingaanvallen in de cryptoruimte de afgelopen weken bewees dat die woorden waar waren.

Sinds juni 2023 meer dan 30+ cryptoprojecten zijn het doelwit geweest van SIM-swappingaanvallen, die worden gebruikt om Twitter-accounts over te nemen en wallet drainers te plaatsen. Bij één enkele aanval werd minstens $765K aan NFT's gestolen; het Gutter Cat Gang Twitter-account werd gehackt via sim swapping.

Bron: Matt Medev, mede-oprichter, CEO & EIC van NFT Now

De dreiging beperken

Om de risico's van SIM swapping tegen te gaan en de beveiliging in web3 te verbeteren, kunnen verschillende stappen worden genomen:

1. Authenticator-apps: Met speciale 2FA-apps zoals Google Authenticator of Authy worden codes offline gegenereerd, waardoor de kwetsbaarheid voor SIM swapping afneemt.
2. Als je geen zin hebt om een authenticatorsysteem buiten je telefoonnummer te gebruiken:

• Deel je telefoonnummer in ieder geval met zo weinig mogelijk mensen en nooit op sociale media, inclusief LinkedIn. Bescherm ook persoonlijke gegevens zoals naam, adres en geboortedatum, die kunnen worden gebruikt om je telefoonnummer te achterhalen.
• De beste strategie die je kunt toepassen is een sim hebben die uitsluitend bedoeld is om jou te authenticeren. Waarvan het bijbehorende telefoonnummer aan niemand anders dan jou wordt bekendgemaakt.

3. Hardware Tokens: Hardware-apparaten zoals YubiKey bieden een fysieke manier om 2FA-codes te genereren en zijn immuun voor SIM-swapping.

4. Multi-Signature Wallets: Het gebruik van multi-signature wallets voegt een extra beveiligingslaag toe, waarbij meerdere apparaten of partijen transacties moeten autoriseren.

5. Transacties 2FA: Bij Nefture hebben we een 2FA-transactiesysteem ontwikkeld dat je waarschuwt voor elke transactie die je doet, je validatie vraagt en je informeert over de mogelijke risico's die eraan verbonden zijn.

Door geavanceerde algoritmen die transacties monitoren en potentiële risico's in real-time identificeren, transactiepatronen, blockchaingegevens en historische gegevens analyseren om afwijkingen, frauduleuze activiteiten en verdacht gedrag op te sporen, wordt de gebruiker**** ****vooraf gewaarschuwd voor de risico's van elke transactie die hij wil aangaan en kan hij in real-time adequate maatregelen nemen.

Concluderend: hoewel 2FA de beveiliging in het web3-landschap aanzienlijk versterkt, kunnen de beperkingen ervan en de dreigende SIM-swapping niet worden genegeerd.

Om maximale bescherming te garanderen, moeten gebruikers best practices toepassen, zoals het gebruik van authenticator-apps en hardwaretokens.

Naarmate web3 blijft evolueren, moeten ook onze beveiligingsmaatregelen evolueren om opkomende dreigingen en kwetsbaarheden tegen te gaan.

Samenvatting

Gefeliciteerd! Je hebt Module 4 afgerond: Beveiliging in Web3 versterken: 2FA verkennen, de beperkingen ervan en de dreiging van SIM-swapping

Laten we je leerpunten doornemen:

2FA in Web3: Tweefactorauthenticatie (2FA) is een beveiligingsmethode die twee verschillende verificatiefactoren gebruikt voor toegang tot een account.

• Typen:
• Kennis (bijv. wachtwoord)
• Bezit (bijv. smartphone die tijdsgebonden codes genereert)
• Inherentie (bijv. vingerafdrukken).
• Toepassing: in web3 is een wachtwoord gecombineerd met een dynamische, door een smartphone gegenereerde code gebruikelijk.

Gecentraliseerde exchanges (CEX's) & 2FA: CEX's gebruiken 2FA op grote schaal. Binance heeft bijvoorbeeld zijn eigen 'authenticator' met een QR-code en een sleutel.

Beperkingen van 2FA:

• Kwetsbaar voor phishingaanvallen.
• Apparaatafhankelijkheid: een verloren of defect apparaat kan gebruikers buitensluiten.
• Social engineering: aanvallers kunnen 2FA omzeilen met manipulatieve tactieken.

SIM-swapping:

• Dreiging: aanvallers misleiden mobiele providers om het telefoonnummer van een slachtoffer over te dragen en onderscheppen zo 2FA-codes die via sms worden verzonden.
• Impact: Het omzeilen van 2FA geeft ongeautoriseerde toegang tot wallets, dApps en gevoelige accounts.
• Opmerkelijke incidenten: $23,8 miljoen gestolen van investeerder Michael Terpin in 2018 en een inbreuk op het 2FA-systeem van Coinbase in 2021 die 6.000 gebruikers trof.

Dit artikel is je aangeboden door: