Modulul SSO 4 – Consolidarea securității online: explorarea 2FA, a limitărilor sale și amenințarea schimbării SIM

În web3, asigurarea unor măsuri de securitate solide este esențială.

O astfel de securitate este autentificarea cu doi factori (2FA), care adaugă un nivel suplimentar de protecție pentru conturile și tranzacțiile utilizatorilor.

În acest curs, analizăm modul de funcționare a 2FA în web3, examinăm limitările sale și facem lumină asupra amenințării tot mai mari a schimbării SIM.

Înțelegerea 2FA în Web3

Autentificarea cu doi factori este un mecanism de securitate care le solicită utilizatorilor să furnizeze doi factori de autentificare distincți pentru a accesa un cont.

Scopul este de a vă securiza cât mai mult posibil fondurile, reducând riscul ca ceva la fel de simplu precum un hoț de parole să le golească într-o clipă.

Acești factori de autentificare se împart în trei categorii:

1. Ceva ce știi: include o parolă, un PIN sau întrebări de securitate.
2. Ceva ce ai: un dispozitiv fizic, precum un smartphone sau un token hardware, care generează coduri sensibile la timp.
3. Ceva ce ești: date biometrice precum amprente sau recunoaștere facială.

În domeniul web3, cea mai comună aplicare a 2FA implică combinarea unei parole (ceva ce știi) cu un cod sensibil la timp generat de o aplicație de smartphone (ceva ce ai).

Sursă: Swoopnow

Acest cod dinamic se schimbă la fiecare câteva secunde, făcând extrem de dificil pentru atacatori să obțină acces neautorizat, chiar dacă au reușit să obțină parola.

2FA este o practică standard pe bursele centralizate (CEX), un proces obligatoriu la fel de important ca KYC.

Bursele CEX dezvoltă adesea propriul „autentificator”, precum Binance Authenticator, care îți permite să accesezi contul printr-un cod QR și o cheie de 16 cifre.

Sursă: Binance

Limitele 2FA

În ciuda eficacității sale, 2FA are anumite limitări:

1. Atacuri de phishing: Dacă utilizatorii sunt păcăliți să-și dezvăluie credențialele prin site-uri web sau e-mailuri false, 2FA ar putea să nu prevină în totalitate accesul neautorizat.
2. Dependența de dispozitiv: Bazarea pe un singur dispozitiv pentru 2FA poate duce la un singur punct de eșec. Pierderea dispozitivului sau apariția unor probleme tehnice îi poate bloca pe utilizatori în afara conturilor lor.
3. Inginerie socială: Atacatorii experimentați ar putea manipula reprezentanții serviciului clienți pentru a transfera 2FA al unui utilizator pe un dispozitiv nou, obținând acces neautorizat. Amenințarea schimbării SIM-ului

În spațiul web3, schimbarea SIM-ului a apărut ca o amenințare semnificativă.

Schimbarea SIM-ului implică un actor rău intenționat care convinge operatorul de telefonie mobilă al unui utilizator să transfere numărul de telefon pe un nou card SIM sub controlul atacatorului.

Odată ce acest lucru este realizat, atacatorul poate intercepta codurile 2FA trimise prin SMS.

Sursă: SimSwapLaw

Implicațiile schimbării SIM în contextul web3 sunt grave.

Dacă un atacator obține controlul asupra numărului de telefon al unei victime, acesta poate ocoli potențial 2FA, obținând acces la portofele crypto, dApps și alte conturi sensibile.

Acest lucru a dus la pierderi financiare substanțiale pentru mulți indivizi.

În 2018, investitorul crypto Michael Terpin a căzut victimă unui atac de schimbare SIM uluitor de 23,8 milioane $. În octombrie 2021, Coinbase a dezvăluit că infractorii cibernetici au sustras ilegal criptomonede de la minimum 6.000 de utilizatori ca urmare a unei breșe în sistemul lor 2FA, prin sim swapping.

„Pe măsură ce popularitatea Web3 crește și atrage tot mai mulți oameni în industrie, probabilitatea atacurilor de tip SIM swapping crește și ea, datorită cerințelor tehnice relativ mai reduse.” a declarat recent CISO-ul firmei de securitate blockchain Slowmist pentru CoinTelegraph.

O serie de atacuri de tip sim swapping din spațiul crypto din ultimele săptămâni au dovedit că aceste cuvinte sunt adevărate.

Din iunie 2023, peste 30 de proiecte crypto au fost vizate de atacuri de tip SIM swap, folosite pentru a prelua controlul conturilor de Twitter și a posta wallet drainers. Într-un singur atac, au fost furate NFT-uri în valoare de cel puțin 765.000 $, iar contul de Twitter Gutter Cat Gang a fost spart prin schimbarea SIM-ului.

Sursă: Matt Medev, Co-Fondator, CEO și EIC al NFT Now

Atenuarea amenințării

Pentru a contracara riscurile asociate cu schimbarea SIM-ului și a spori securitatea în web3, pot fi luate mai multe măsuri:

1. Aplicații de autentificare: Utilizarea unor aplicații dedicate de 2FA precum Google Authenticator sau Authy generează coduri offline, reducând vulnerabilitatea la schimbarea SIM-ului.
2. Dacă nu vrei să folosești un sistem de autentificare în afara numărului tău de telefon:

• Ar trebui cel puțin să dezvălui numărul tău de telefon cât mai puținor persoane posibil și niciodată pe rețelele sociale, inclusiv pe LinkedIn. De asemenea, protejează datele personale precum numele, adresa și data nașterii, care pot fi folosite pentru a-ți recupera numărul de telefon.
• Cea mai bună strategie pe care o poți implementa este să ai un SIM dedicat exclusiv autentificării tale, al cărui număr de telefon corespunzător nu este dezvăluit nimănui în afară de tine.

3. Tokenuri hardware: dispozitivele hardware precum YubiKey oferă un mijloc fizic de generare a codurilor 2FA și sunt imune la SIM swapping.

4. Portofele cu semnătură multiplă: Utilizarea portofelelor cu semnătură multiplă adaugă un nivel suplimentar de securitate, necesitând autorizarea tranzacțiilor de către mai multe dispozitive sau părți.

5. 2FA pentru tranzacții: La Nefture, am dezvoltat un sistem 2FA pentru tranzacții care te alertează cu privire la fiecare tranzacție pe care o efectuezi, îți solicită validarea și te informează despre riscul (riscurile) potențial(e) asociat(e) acesteia.

Prin algoritmi avansați care monitorizează tranzacțiile și identifică riscurile potențiale în timp real, analizează tiparele tranzacțiilor, datele blockchain și datele istorice pentru a detecta anomalii, activități frauduloase și comportamente suspecte, utilizatorul este**** ****prevenit cu privire la riscurile implicate pentru fiecare tranzacție pe care dorește să o efectueze și poate lua măsuri adecvate în timp real.

În concluzie, deși 2FA sporește considerabil securitatea în peisajul web3, limitările sale și amenințarea iminentă a schimbării SIM nu pot fi ignorate.

Pentru a asigura protecție maximă, utilizatorii trebuie să adopte cele mai bune practici, cum ar fi utilizarea aplicațiilor de autentificare și a tokenurilor hardware.

Pe măsură ce web3 continuă să evolueze, la fel trebuie să evolueze și măsurile noastre de securitate pentru a contracara amenințările și vulnerabilitățile emergente.

Rezumat

Felicitări! Ai finalizat Modulul 4 – Consolidarea securității în Web3: Explorarea 2FA, a limitărilor sale și amenințarea schimbării SIM

Să-ți recapitulăm cunoștințele:

2FA în Web3: Autentificarea cu doi factori (2FA) este o metodă de securitate care utilizează doi factori de verificare distincți pentru accesul la cont.

• Tipuri:
• Cunoaștere (de ex., parolă)
• Deținere (de ex., smartphone care generează coduri valabile temporar)
• Inerență (de ex., amprente).
• Aplicare: în web3, este comună o parolă combinată cu un cod dinamic generat de smartphone.

Burse centralizate (CEX) și 2FA: Bursele centralizate folosesc 2FA pe scară largă. De exemplu, Binance are propriul „authenticator” folosind un cod QR și o cheie.

Limitările 2FA:

• Vulnerabil la atacuri de phishing.
• Dependența de dispozitiv: un dispozitiv pierdut sau defect poate bloca utilizatorii.
• Inginerie socială: atacatorii pot ocoli 2FA prin tactici manipulative.

SIM Swapping:

• Amenințare: atacatorii înșală operatorii de telefonie mobilă pentru a transfera numărul de telefon al victimei, interceptând astfel codurile 2FA trimise prin SMS.
• Impact: Ocolirea 2FA permite accesul neautorizat la portofele, dApps și conturi sensibile.
• Incidente notabile: 23,8 milioane de dolari furați de la investitorul Michael Terpin în 2018 și o breșă a sistemului 2FA al Coinbase în 2021 care a afectat 6.000 de utilizatori.

Acest articol vă este oferit de: