Moduł SSO 4 – Wzmacnianie bezpieczeństwa online: 2FA, jej ograniczenia i zagrożenie ze strony SIM swapingu

W web3 zapewnienie solidnych środków bezpieczeństwa ma kluczowe znaczenie.

Jednym z takich zabezpieczeń jest uwierzytelnianie dwuskładnikowe (2FA), które dodaje dodatkową warstwę ochrony kont i transakcji użytkownika.

W tym kursie zagłębiamy się w działanie 2FA w web3, analizujemy jej ograniczenia i przybliżamy stale rosnące zagrożenie ze strony SIM swapingu.

Zrozumienie 2FA w Web3

Uwierzytelnianie dwuskładnikowe to mechanizm bezpieczeństwa, który wymaga od użytkowników podania dwóch różnych czynników uwierzytelniających w celu uzyskania dostępu do konta.

Celem jest maksymalne zabezpieczenie Twoich środków poprzez zmniejszenie ryzyka, że coś tak prostego jak kradzież hasła opróżni je w mgnieniu oka.

Te czynniki uwierzytelniające dzielą się na trzy kategorie:

1. Coś, co wiesz: Obejmuje hasło, PIN lub pytania zabezpieczające.
2. Coś, co posiadasz: Fizyczne urządzenie, takie jak smartfon lub token sprzętowy, które generuje kody zależne od czasu.
3. Coś, czym jesteś: Dane biometryczne, takie jak odciski palców lub rozpoznawanie twarzy.

W świecie web3 najczęstsze zastosowanie 2FA polega na połączeniu hasła (coś, co wiesz) z kodem zależnym od czasu generowanym przez aplikację na smartfonie (coś, co posiadasz).

Źródło: Swoopnow

Ten dynamiczny kod zmienia się co kilka sekund, co sprawia, że atakującym jest niezwykle trudno uzyskać nieautoryzowany dostęp, nawet jeśli udało im się zdobyć hasło.

2FA to standardowa praktyka na scentralizowanych giełdach (CEX), obowiązkowy proces równie ważny jak KYC.

CEX często tworzą własny „authenticator”, jak Binance Authenticator, który pozwala uzyskać dostęp do konta przez kod QR i 16-cyfrowy klucz.

Źródło: Binance

Ograniczenia 2FA

Mimo swojej skuteczności 2FA ma pewne ograniczenia:

1. Ataki phishingowe: Jeśli użytkownicy zostaną oszukani i ujawnią swoje dane logowania za pośrednictwem fałszywych stron internetowych lub e-maili, 2FA może nie zapobiec w pełni nieautoryzowanemu dostępowi.
2. Zależność od urządzenia: Poleganie na jednym urządzeniu w przypadku 2FA może prowadzić do pojedynczego punktu awarii. Utrata urządzenia lub problemy techniczne mogą zablokować użytkownikom dostęp do ich kont.
3. Inżynieria społeczna: Wykwalifikowani atakujący mogą manipulować przedstawicielami obsługi klienta, aby przenieśli 2FA użytkownika na nowe urządzenie, uzyskując nieautoryzowany dostęp. Zagrożenie związane z SIM swapping

W przestrzeni web3 SIM swapping stał się znaczącym zagrożeniem.

SIM swapping polega na tym, że złośliwy aktor przekonuje operatora komórkowego użytkownika do przeniesienia jego numeru telefonu na nową kartę SIM kontrolowaną przez atakującego.

Gdy to nastąpi, atakujący może przechwycić kody 2FA wysyłane SMS-em.

Źródło: SimSwapLaw

Konsekwencje podmiany SIM w kontekście web3 są poważne.

Jeśli atakujący przejmie kontrolę nad numerem telefonu ofiary, może potencjalnie ominąć 2FA i uzyskać dostęp do kryptoportfeli, dApps i innych wrażliwych kont.

Doprowadziło to do znacznych strat finansowych u wielu osób.

W 2018 r. inwestor kryptowalutowy Michael Terpin padł ofiarą oszałamiającego ataku podmiany SIM o wartości 23,8 mln USD. W październiku 2021 r. Coinbase ujawnił że cyberprzestępcy nielegalnie przejęli kryptowalutę od co najmniej 6000 użytkowników w wyniku naruszenia ich systemu 2FA poprzez SIM swapping.

„W miarę jak popularność Web3 rośnie i przyciąga do branży coraz więcej osób, prawdopodobieństwo ataków SIM swapping również wzrasta ze względu na stosunkowo niskie wymagania techniczne” – powiedział niedawno CISO firmy zajmującej się bezpieczeństwem blockchain Slowmist dla CoinTelegraph.

Seria ataków SIM swapping w przestrzeni kryptowalut w ostatnich tygodniach potwierdziła prawdziwość tych słów.

Od czerwca 2023 r. ponad 30 projektów kryptowalutowych padło ofiarą ataków SIM swap, które służą do przejmowania kont na Twitterze i publikowania linków do drenażu portfeli. W wyniku jednego ataku skradziono NFT o wartości co najmniej 765 tys. dolarów, a konto Gutter Cat Gang na Twitterze zostało zhakowane poprzez podmianę karty SIM.

Źródło: Matt Medev, współzałożyciel, CEO i redaktor naczelny NFT Now

Ograniczanie zagrożenia

Aby przeciwdziałać ryzykom związanym z podmianą karty SIM i zwiększyć bezpieczeństwo w web3, można podjąć kilka kroków:

1. Aplikacje uwierzytelniające: korzystanie z dedykowanych aplikacji 2FA, takich jak Google Authenticator lub Authy, generuje kody offline, zmniejszając podatność na podmianę karty SIM.
2. Jeśli nie chcesz używać systemu uwierzytelniania innego niż numer telefonu:

• Powinieneś przynajmniej udostępniać swój numer telefonu jak najmniejszej liczbie osób i nigdy w mediach społecznościowych, w tym na LinkedIn. Chroń także dane osobowe, takie jak imię i nazwisko, adres i data urodzenia, które mogą posłużyć do odzyskania numeru telefonu.
• Najlepszą strategią, jaką możesz wdrożyć, jest posiadanie karty SIM przeznaczonej wyłącznie do uwierzytelniania Ciebie, której powiązany numer telefonu nie jest ujawniany nikomu poza Tobą.

3. Tokeny sprzętowe: urządzenia sprzętowe, takie jak YubiKey, zapewniają fizyczny sposób generowania kodów 2FA i są odporne na SIM swapping.

4. Portfele wielopodpisowe: stosowanie portfeli wielopodpisowych dodaje dodatkową warstwę bezpieczeństwa, wymagając autoryzacji transakcji przez wiele urządzeń lub stron.

5. 2FA transakcji: W Nefture opracowaliśmy system 2FA transakcji, który ostrzega o każdej wykonywanej transakcji, prosi o jej zatwierdzenie i informuje o potencjalnych powiązanych z nią zagrożeniach.

Dzięki zaawansowanym algorytmom, które monitorują transakcje i identyfikują potencjalne zagrożenia w czasie rzeczywistym, analizują wzorce transakcji, dane blockchain i dane historyczne w celu wykrywania anomalii, działań oszukańczych i podejrzanych zachowań, użytkownik jest**** ****ostrzegany o ryzyku związanym z każdą transakcją, którą chce przeprowadzić, i może w czasie rzeczywistym podjąć odpowiednie działania.

Podsumowując, choć 2FA znacznie wzmacnia bezpieczeństwo w ekosystemie web3, nie można ignorować jego ograniczeń i groźby SIM swappingu.

Aby zapewnić maksymalną ochronę, użytkownicy muszą stosować najlepsze praktyki, takie jak korzystanie z aplikacji uwierzytelniających i tokenów sprzętowych.

W miarę jak web3 ewoluuje, nasze środki bezpieczeństwa również muszą ewoluować, aby przeciwdziałać pojawiającym się zagrożeniom i lukom w zabezpieczeniach.

Podsumowanie

Gratulacje! Ukończyłeś Moduł 4 – Wzmacnianie bezpieczeństwa w Web3: Poznawanie 2FA, jego ograniczeń i zagrożenia związanego z SIM swappingiem

Podsumujmy Twoją wiedzę:

2FA w Web3: Uwierzytelnianie dwuskładnikowe (2FA) to metoda bezpieczeństwa wykorzystująca dwa odrębne czynniki weryfikacji dostępu do konta.

• Rodzaje:
• Wiedza (np. hasło)
• Posiadanie (np. smartfon generujący kody ważne przez określony czas)
• Cechy wrodzone (np. odciski palców).
• Zastosowanie: w Web3 powszechne jest hasło w połączeniu z dynamicznym kodem generowanym przez smartfon.

Giełdy scentralizowane (CEX) i 2FA: CEX powszechnie korzystają z 2FA. Na przykład Binance ma własny „authenticator” wykorzystujący kod QR i klucz.

Ograniczenia 2FA:

• Podatność na ataki phishingowe.
• Zależność od urządzenia: utracone lub wadliwe urządzenie może zablokować użytkownikom dostęp.
• Inżynieria społeczna: atakujący mogą ominąć 2FA za pomocą manipulacyjnych taktyk.

SIM swapping:

• Zagrożenie: atakujący oszukują operatorów komórkowych, aby przenieść numer telefonu ofiary, przechwytując w ten sposób kody 2FA wysyłane SMS-em.
• Wpływ: Obejście 2FA umożliwia nieautoryzowany dostęp do portfeli, dApps i wrażliwych kont.
• Znaczące incydenty: 23,8 mln USD skradzione inwestorowi Michaelowi Terpinowi w 2018 r. oraz naruszenie systemu 2FA Coinbase w 2021 r., które dotknęło 6000 użytkowników.

Ten artykuł został dostarczony przez: