Модуль SSO 4 — Повышение онлайн-безопасности: изучение 2FA, её ограничений и угрозы подмены SIM-карты

В web3 обеспечение надёжных мер безопасности имеет первостепенное значение.

Одна из таких мер — двухфакторная аутентификация (2FA), которая добавляет дополнительный уровень защиты учётных записей и транзакций пользователей.

В этом курсе мы рассмотрим, как работает 2FA в web3, изучим её ограничения и прольём свет на постоянно растущую угрозу подмены SIM-карты.

Понимание 2FA в Web3

Двухфакторная аутентификация — это механизм безопасности, требующий от пользователей предоставить два различных фактора аутентификации для доступа к аккаунту.

Цель — максимально защитить ваши средства, снизив риск того, что кто-то столь простой, как похититель паролей, опустошит их в одно мгновение.

Эти факторы аутентификации делятся на три категории:

1. То, что вы знаете: сюда входят пароль, PIN-код или контрольные вопросы.
2. То, что у вас есть: физическое устройство, например смартфон или аппаратный токен, который генерирует коды с ограниченным сроком действия.
3. То, чем вы являетесь: биометрические данные, такие как отпечатки пальцев или распознавание лица.

В сфере web3 наиболее распространённое применение 2FA заключается в сочетании пароля (то, что вы знаете) с кодом с ограниченным сроком действия, генерируемым приложением на смартфоне (то, что у вас есть).

Источник: Swoopnow

Этот динамический код меняется каждые несколько секунд, что делает крайне сложным для злоумышленников получение несанкционированного доступа, даже если им удалось узнать пароль.

2FA — стандартная практика на централизованных биржах (CEX), обязательный процесс, столь же важный, как прохождение KYC.

CEX часто разрабатывают собственные «аутентификаторы», например Binance Authenticator, которые позволяют получить доступ к аккаунту через QR-код и 16-значный ключ.

Источник: Binance

Ограничения 2FA

Несмотря на эффективность, у 2FA есть определённые ограничения:

1. Фишинговые атаки: Если пользователей обманом заставляют раскрыть свои учётные данные через поддельные сайты или письма, 2FA может не полностью предотвратить несанкционированный доступ.
2. Зависимость от устройства: Опора на одно устройство для 2FA может привести к единой точке отказа. Потеря устройства или технические проблемы могут заблокировать пользователям доступ к их аккаунтам.
3. Социальная инженерия: Опытные злоумышленники могут манипулировать сотрудниками службы поддержки, чтобы те перенесли 2FA пользователя на новое устройство, получив несанкционированный доступ. Угроза SIM-свопинга

В пространстве web3 SIM-свопинг стал значительной угрозой.

SIM-свопинг предполагает, что злоумышленник убеждает мобильного оператора пользователя перенести его номер телефона на новую SIM-карту под контролем атакующего.

После этого злоумышленник может перехватывать коды 2FA, отправленные по SMS.

Источник: SimSwapLaw

Последствия SIM-свопинга в контексте web3 серьёзны.

Если злоумышленник получает контроль над номером телефона жертвы, он потенциально может обойти 2FA и получить доступ к криптокошелькам, dApps и другим чувствительным аккаунтам.

Это привело к существенным финансовым потерям для многих людей.

В 2018 году криптоинвестор Майкл Терпин стал жертвой ошеломляющей атаки SIM-свопинга на $23,8 млн. В октябре 2021 года Coinbase сообщила что киберпреступники незаконно похитили криптовалюту как минимум у 6 000 пользователей в результате взлома их системы 2FA посредством подмены SIM-карты.

«По мере роста популярности Web3 и привлечения всё большего числа людей в отрасль вероятность атак с подменой SIM-карты также возрастает из-за их относительно низких технических требований», — недавно заявил CISO компании по блокчейн-безопасности Slowmist изданию CoinTelegraph.

Волна атак с подменой SIM-карты в криптопространстве за последние недели подтвердила справедливость этих слов.

С июня 2023 года более 30 криптопроектов подверглись атакам с подменой SIM-карты, которые используются для захвата аккаунтов Twitter и публикации ссылок на кошельки-дрейнеры. В ходе одной атаки было украдено как минимум NFT на сумму $765K, аккаунт Gutter Cat Gang в Twitter был взломан аккаунт Gutter Cat Gang в Twitter был взломан через подмену SIM-карты.

Источник: Matt Medev, соучредитель, CEO и главный редактор NFT Now

Снижение угрозы

Чтобы противостоять рискам, связанным с подменой SIM-карты, и повысить безопасность в web3, можно предпринять несколько шагов:

1. Приложения-аутентификаторы: использование специальных приложений 2FA, таких как Google Authenticator или Authy, генерирует коды офлайн, снижая уязвимость к подмене SIM-карты.
2. Если вам не хочется использовать систему аутентификации помимо номера телефона:

• Как минимум, сообщайте свой номер телефона как можно меньшему числу людей и никогда не публикуйте его в социальных сетях, включая LinkedIn. А также защищайте личные данные, такие как имя, адрес и дата рождения, которые могут быть использованы для получения вашего номера телефона.
• Лучшая стратегия, которую вы можете реализовать, — иметь SIM-карту, предназначенную исключительно для аутентификации вас. Её соответствующий номер телефона не раскрывается никому, кроме вас.

3. Аппаратные токены: аппаратные устройства, такие как YubiKey, обеспечивают физический способ генерации кодов 2FA и не подвержены подмене SIM-карты.

4. Мультиподписные кошельки: использование мультиподписных кошельков добавляет дополнительный уровень безопасности, требуя авторизации транзакций несколькими устройствами или сторонами.

5. 2FA для транзакций: в Nefture мы разработали систему 2FA для транзакций, которая уведомляет вас о каждой совершаемой транзакции, запрашивает ваше подтверждение и сообщает о потенциальных связанных с ней рисках.

Благодаря продвинутым алгоритмам, которые отслеживают транзакции и выявляют потенциальные риски в реальном времени, анализируют шаблоны транзакций, данные блокчейна и исторические данные для обнаружения аномалий, мошеннических действий и подозрительного поведения, пользователь**** ****заранее предупреждается о рисках, связанных с каждой транзакцией, которую он хочет совершить, и может принять надлежащие меры в реальном времени.

В заключение, хотя 2FA значительно повышает безопасность в экосистеме web3, нельзя игнорировать её ограничения и надвигающуюся угрозу SIM-свопинга.

Чтобы обеспечить максимальную защиту, пользователи должны применять лучшие практики, такие как использование приложений-аутентификаторов и аппаратных токенов.

По мере развития web3 должны развиваться и наши меры безопасности, чтобы противостоять новым угрозам и уязвимостям.

Итоги

Поздравляем! Вы завершили Модуль 4 — Повышение безопасности в Web3: изучение 2FA, её ограничений и угрозы SIM-свопинга

Давайте повторим изученное:

2FA в Web3: Двухфакторная аутентификация (2FA) — это метод безопасности, использующий два различных фактора проверки для доступа к аккаунту.

• Типы:
• Знание (например, пароль)
• Владение (например, смартфон, генерирующий одноразовые коды)
• Неотъемлемость (например, отпечатки пальцев).
• Применение: в web3 распространено сочетание пароля с динамическим кодом, сгенерированным на смартфоне.

Централизованные биржи (CEX) и 2FA: CEX широко используют 2FA. Например, у Binance есть собственный «аутентификатор» с QR-кодом и ключом.

Ограничения 2FA:

• Уязвимость к фишинговым атакам.
• Зависимость от устройства: потеря или неисправность устройства может лишить пользователей доступа.
• Социальная инженерия: злоумышленники могут обойти 2FA с помощью манипулятивных тактик.

Подмена SIM-карты:

• Угроза: злоумышленники обманывают мобильных операторов, чтобы перенести номер телефона жертвы и тем самым перехватить коды 2FA, отправленные по SMS.
• Влияние: обход 2FA позволяет получить несанкционированный доступ к кошелькам, dApps и конфиденциальным аккаунтам.
• Известные инциденты: кража $23,8 млн у инвестора Майкла Терпина в 2018 году и взлом системы 2FA Coinbase в 2021 году, затронувший 6 000 пользователей.

Эта статья предоставлена: