โมดูล SSO 4 - เสริมความปลอดภัยออนไลน์: สำรวจ 2FA ข้อจำกัด และภัยคุกคามจากการสลับซิม

ใน web3 การรับรองมาตรการรักษาความปลอดภัยที่แข็งแกร่งเป็นสิ่งสำคัญสูงสุด

หนึ่งในมาตรการรักษาความปลอดภัยนั้นคือการยืนยันตัวตนสองขั้นตอน (2FA) ซึ่งเพิ่มชั้นการป้องกันพิเศษให้กับบัญชีและธุรกรรมของผู้ใช้

ในหลักสูตรนี้ เราจะเจาะลึกการทำงานของ 2FA ใน web3 ตรวจสอบข้อจำกัด และให้ความกระจ่างเกี่ยวกับภัยคุกคามจากการสลับซิมที่เพิ่มขึ้นอย่างต่อเนื่อง

ทำความเข้าใจ 2FA ใน Web3

การยืนยันตัวตนสองขั้นตอนเป็นกลไกความปลอดภัยที่กำหนดให้ผู้ใช้ต้องระบุปัจจัยการยืนยันตัวตนสองอย่างที่แตกต่างกันเพื่อเข้าถึงบัญชี

เป้าหมายคือการรักษาความปลอดภัยของเงินทุนของคุณให้มากที่สุด โดยลดความเสี่ยงจากเรื่องง่ายๆ อย่างการที่ขโมยรหัสผ่านสามารถดูดเงินทั้งหมดของคุณได้ในพริบตา

ปัจจัยการยืนยันตัวตนเหล่านี้แบ่งออกเป็นสามหมวดหมู่:

1. สิ่งที่คุณรู้: รวมถึงรหัสผ่าน PIN หรือคำถามเพื่อความปลอดภัย
2. สิ่งที่คุณมี: อุปกรณ์ทางกายภาพ เช่น สมาร์ทโฟนหรือฮาร์ดแวร์โทเค็น ซึ่งสร้างรหัสที่ขึ้นกับเวลา
3. สิ่งที่คุณเป็น: ข้อมูลชีวภาพ เช่น ลายนิ้วมือหรือการจดจำใบหน้า

ในโลกของ web3 การใช้งาน 2FA ที่พบบ่อยที่สุดคือการผสมผสานรหัสผ่าน (สิ่งที่คุณรู้) เข้ากับรหัสที่ขึ้นกับเวลาซึ่งสร้างโดยแอปบนสมาร์ทโฟน (สิ่งที่คุณมี)

แหล่งที่มา: Swoopnow

รหัสแบบไดนามิกนี้จะเปลี่ยนทุกไม่กี่วินาที ทำให้ผู้ไม่หวังดีเข้าถึงโดยไม่ได้รับอนุญาตได้ยากมาก แม้ว่าพวกเขาจะได้รหัสผ่านไปแล้วก็ตาม

2FA เป็นแนวปฏิบัติมาตรฐานบน Centralized Exchange (CEX) ซึ่งเป็นขั้นตอนที่ต้องผ่านและสำคัญพอ ๆ กับการทำ KYC

CEX มักพัฒนาแอป authenticator ของตนเอง เช่น Binance Authenticator ที่ให้คุณเข้าถึงบัญชีผ่าน QR code และคีย์ 16 หลัก

แหล่งที่มา: Binance

ข้อจำกัดของ 2FA

แม้จะมีประสิทธิผล แต่ 2FA ก็มีข้อจำกัดบางประการ:

1. การโจมตีแบบฟิชชิง: หากผู้ใช้ถูกหลอกให้เปิดเผยข้อมูลรับรองผ่านเว็บไซต์หรืออีเมลปลอม 2FA อาจไม่สามารถป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตได้ทั้งหมด
2. การพึ่งพาอุปกรณ์: การพึ่งพาอุปกรณ์เพียงเครื่องเดียวสำหรับ 2FA อาจนำไปสู่จุดล้มเหลวเพียงจุดเดียว การสูญหายของอุปกรณ์หรือปัญหาทางเทคนิคอาจทำให้ผู้ใช้ถูกล็อกออกจากบัญชี
3. วิศวกรรมสังคม: ผู้โจมตีที่มีทักษะอาจหลอกล่อตัวแทนฝ่ายบริการลูกค้าให้โอน 2FA ของผู้ใช้ไปยังอุปกรณ์ใหม่ ทำให้เข้าถึงโดยไม่ได้รับอนุญาต ภัยคุกคามจากการสลับซิม

ในพื้นที่ web3 การสลับซิมได้กลายเป็นภัยคุกคามที่สำคัญ

การสลับซิมเกี่ยวข้องกับผู้ไม่ประสงค์ดีที่โน้มน้าวผู้ให้บริการมือถือของผู้ใช้ให้โอนหมายเลขโทรศัพท์ไปยังซิมการ์ดใหม่ที่อยู่ในการควบคุมของผู้โจมตี

เมื่อทำสำเร็จ ผู้โจมตีสามารถดักจับรหัส 2FA ที่ส่งทาง SMS ได้

แหล่งที่มา: SimSwapLaw

ผลกระทบของการสลับซิมในบริบทของ web3 นั้นร้ายแรง

หากผู้โจมตีควบคุมหมายเลขโทรศัพท์ของเหยื่อได้ พวกเขาอาจข้ามการยืนยัน 2FA และเข้าถึงกระเป๋าคริปโต dApps และบัญชีที่ละเอียดอ่อนอื่นๆ ได้

สิ่งนี้ทำให้บุคคลจำนวนมากสูญเสียทางการเงินอย่างมหาศาล

ในปี 2018 นักลงทุนคริปโต Michael Terpin ตกเป็นเหยื่อของการโจมตีแบบสลับซิมมูลค่าสูงถึง 23.8 ล้านดอลลาร์ ในเดือนตุลาคม 2021 Coinbase เปิดเผย เหล่าอาชญากรไซเบอร์ได้ลักลอบนำสกุลเงินคริปโตไปจากผู้ใช้อย่างน้อย 6,000 ราย อันเป็นผลจากการละเมิดระบบ 2FA ของพวกเขา ผ่านการสลับซิม

“เมื่อความนิยมของ Web3 เติบโตและดึงดูดผู้คนเข้าสู่อุตสาหกรรมมากขึ้น ความเป็นไปได้ของการโจมตีแบบสลับซิมก็เพิ่มขึ้นด้วย เนื่องจากข้อกำหนดทางเทคนิคที่ค่อนข้างต่ำ” เมื่อไม่นานมานี้ CISO ของบริษัทความปลอดภัยบล็อกเชน Slowmist กล่าวกับ CoinTelegraph.

การโจมตีแบบสลับซิมจำนวนมากในวงการคริปโตในช่วงไม่กี่สัปดาห์ที่ผ่านมาพิสูจน์ว่าคำกล่าวเหล่านั้นเป็นความจริง

ตั้งแต่เดือนมิถุนายน 2023 โปรเจกต์คริปโตมากกว่า 30+ โปรเจกต์ ตกเป็นเป้าหมายของการโจมตีแบบสลับซิม ซึ่งใช้เพื่อเข้าควบคุมบัญชี Twitter และโพสต์ลิงก์ดูดเงินจากกระเป๋าเงิน ในการโจมตีครั้งเดียว มี NFT มูลค่าอย่างน้อย $765K ถูกขโมย บัญชี Twitter ของ Gutter Cat Gang ถูกแฮ็ก ผ่านการสลับซิม

ที่มา: Matt Medev ผู้ร่วมก่อตั้ง CEO และ EIC ของ NFT Now

การลดภัยคุกคาม

เพื่อรับมือกับความเสี่ยงที่เกี่ยวข้องกับการสลับซิมและเพิ่มความปลอดภัยใน web3 สามารถดำเนินการได้หลายขั้นตอน:

1. แอป Authenticator: การใช้แอป 2FA เฉพาะอย่าง Google Authenticator หรือ Authy จะสร้างรหัสแบบออฟไลน์ ลดความเสี่ยงต่อการสลับซิม
2. หากคุณไม่สะดวกใช้ระบบ authenticator นอกเหนือจากหมายเลขโทรศัพท์:

• อย่างน้อยคุณควรเปิดเผยหมายเลขโทรศัพท์ให้คนน้อยที่สุดเท่าที่เป็นไปได้ และห้ามเปิดเผยบนโซเชียลมีเดีย รวมถึง Linkedin อีกทั้งควรปกป้องข้อมูลส่วนบุคคล เช่น ชื่อ ที่อยู่ และวันเกิด ซึ่งสามารถใช้เพื่อเข้าถึงหมายเลขโทรศัพท์ของคุณ
• กลยุทธ์ที่ดีที่สุดที่คุณสามารถทำได้คือมีซิมที่อุทิศให้กับการยืนยันตัวตนของคุณโดยเฉพาะ ซึ่งหมายเลขโทรศัพท์ที่เกี่ยวข้องจะไม่ถูกเปิดเผยให้ใครรู้ кромеคุณ

3. ฮาร์ดแวร์โทเค็น: อุปกรณ์ฮาร์ดแวร์อย่าง YubiKey มอบวิธีทางกายภาพในการสร้างรหัส 2FA และปลอดภัยจากการสลับซิม

4. กระเป๋าเงินหลายลายเซ็น: การใช้กระเป๋าเงินหลายลายเซ็นช่วยเพิ่มชั้นความปลอดภัยอีกชั้น โดยต้องมีอุปกรณ์หรือฝ่ายหลายฝ่ายเพื่ออนุมัติธุรกรรม

5. 2FA สำหรับธุรกรรม: ที่ Nefture เราได้พัฒนาระบบ 2FA สำหรับธุรกรรมที่แจ้งเตือนคุณทุกธุรกรรมที่คุณทำ ขอให้คุณยืนยัน และแจ้งความเสี่ยงที่อาจเกิดขึ้นซึ่งเกี่ยวข้องกับธุรกรรมนั้น

ด้วยอัลกอริทึมขั้นสูงที่ตรวจสอบธุรกรรมและระบุความเสี่ยงที่อาจเกิดขึ้นแบบเรียลไทม์ วิเคราะห์รูปแบบธุรกรรม ข้อมูลบล็อกเชน และข้อมูลย้อนหลังเพื่อตรวจจับความผิดปกติ กิจกรรมฉ้อโกง และพฤติกรรมที่น่าสงสัย ผู้ใช้จะได้รับ**** ****การแจ้งเตือนล่วงหน้าถึงความเสี่ยงที่เกี่ยวข้องกับแต่ละธุรกรรมที่ต้องการทำ และสามารถดำเนินการที่เหมาะสมได้แบบเรียลไทม์

โดยสรุป แม้ 2FA จะเสริมความปลอดภัยในโลก web3 อย่างมาก แต่ข้อจำกัดและภัยคุกคามจาก SIM swapping ที่ looming อยู่ก็ไม่อาจมองข้ามได้

เพื่อให้ได้รับการป้องกันสูงสุด ผู้ใช้ต้องปฏิบัติตามแนวทางที่ดีที่สุด เช่น การใช้แอป Authenticator และฮาร์ดแวร์โทเค็น

เมื่อ web3 พัฒนาต่อไป มาตรการรักษาความปลอดภัยของเราก็ต้องพัฒนาเพื่อรับมือกับภัยคุกคามและช่องโหว่ที่เกิดขึ้นใหม่เช่นกัน

สรุป

ขอแสดงความยินดี! คุณเรียนจบโมดูล 4 - การเสริมความปลอดภัยใน Web3: การสำรวจ 2FA ข้อจำกัด และภัยคุกคามจาก SIM Swapping

มาทบทวนสิ่งที่คุณเรียนรู้กัน:

2FA ใน Web3: การยืนยันตัวตนสองขั้นตอน (2FA) เป็นวิธีการรักษาความปลอดภัยที่ใช้ปัจจัยการยืนยันตัวตนสองอย่างที่แตกต่างกันในการเข้าถึงบัญชี

• ประเภท:
• สิ่งที่รู้ (เช่น รหัสผ่าน)
• สิ่งที่ครอบครอง (เช่น สมาร์ทโฟนที่สร้างรหัสที่มีอายุจำกัด)
• ลักษณะเฉพาะตัว (เช่น ลายนิ้วมือ)
• การประยุกต์ใช้: ใน web3 การใช้รหัสผ่านร่วมกับรหัสที่สร้างแบบไดนามิกจากสมาร์ทโฟนเป็นเรื่องปกติ

ศูนย์แลกเปลี่ยนแบบรวมศูนย์ (CEX) และ 2FA: CEX ใช้ 2FA อย่างแพร่หลาย ตัวอย่างเช่น Binance มี “authenticator” ของตัวเองโดยใช้ QR code และคีย์

ข้อจำกัดของ 2FA:

• เสี่ยงต่อการโจมตีแบบฟิชชิง
• การพึ่งพาอุปกรณ์: อุปกรณ์สูญหายหรือทำงานผิดปกติอาจทำให้ผู้ใช้ถูกล็อกออก
• วิศวกรรมสังคม: ผู้โจมตีอาจข้าม 2FA ด้วยกลยุทธ์การหลอกลวง

SIM Swapping:

• ภัยคุกคาม: ผู้โจมตีหลอกผู้ให้บริการมือถือให้ย้ายหมายเลขโทรศัพท์ของเหยื่อ จึงดักจับรหัส 2FA ที่ส่งทาง SMS
• ผลกระทบ: การข้ามการยืนยันตัวตนสองขั้นตอน (2FA) ทำให้สามารถเข้าถึงกระเป๋าเงิน dApps และบัญชีที่ละเอียดอ่อนได้โดยไม่ได้รับอนุญาต
• เหตุการณ์สำคัญ: เงิน 23.8 ล้านดอลลาร์ถูกขโมยจากนักลงทุน Michael Terpin ในปี 2018 และการละเมิดระบบ 2FA ของ Coinbase ในปี 2021 ซึ่งส่งผลกระทบต่อผู้ใช้ 6,000 ราย

บทความนี้นำเสนอโดย: