SSO Modül 4- Çevrimiçi Güvenliği Artırma: 2FA'yı, Sınırlamalarını ve SIM Değiştirme Tehdidini İnceleme

Web3'te sağlam güvenlik önlemlerinin sağlanması büyük önem taşır.

Bu güvenlik önlemlerinden biri, kullanıcı hesaplarına ve işlemlerine ek bir koruma katmanı ekleyen İki Faktörlü Kimlik Doğrulama'dır (2FA).

Bu kursta web3'te 2FA'nın işleyişini inceliyor, sınırlamalarını ele alıyor ve giderek büyüyen SIM değiştirme tehdidine ışık tutuyoruz.

Web3'te 2FA'yı Anlama

İki Faktörlü Kimlik Doğrulama, kullanıcıların bir hesaba erişmek için iki farklı kimlik doğrulama faktörü sağlamasını gerektiren bir güvenlik mekanizmasıdır.

Amaç, bir şifre hırsızının fonlarınızı bir anda çekmesi gibi basit bir riski azaltarak fonlarınızı olabildiğince güvence altına almaktır.

Bu kimlik doğrulama faktörleri üç kategoriye ayrılır:

1. Bildiğiniz Bir Şey: Buna bir şifre, PIN veya güvenlik soruları dahildir.
2. Sahip Olduğunuz Bir Şey: Zamanla sınırlı kodlar üreten akıllı telefon veya donanım belirteci gibi fiziksel bir cihaz.
3. Olduğunuz Bir Şey: Parmak izi veya yüz tanıma gibi biyometrik veriler.

Web3 dünyasında 2FA'nın en yaygın uygulaması, bir şifreyi (bildiğiniz bir şey) akıllı telefon uygulaması tarafından üretilen zamanla sınırlı bir kodla (sahip olduğunuz bir şey) birleştirmeyi içerir.

Kaynak: Swoopnow

Bu dinamik kod birkaç saniyede bir değişir ve saldırganların şifreyi ele geçirmiş olsalar bile yetkisiz erişim elde etmesini son derece zorlaştırır.

2FA, Merkezi Borsalarda (CEX) standart bir uygulamadır ve KYC kadar önemli, mutlaka geçilmesi gereken bir süreçtir.

CEX'ler genellikle Binance Authenticator gibi, QR kod ve 16 haneli anahtarla hesabınıza erişmenizi sağlayan kendi "doğrulayıcılarını" geliştirir.

Kaynak: Binance

2FA'nın Sınırları

Etkinliğine rağmen 2FA'nın belirli sınırlamaları vardır:

1. Kimlik Avı Saldırıları: Kullanıcılar sahte web siteleri veya e-postalar aracılığıyla kimlik bilgilerini açıklamaya kandırılırsa, 2FA yetkisiz erişimi tamamen engelleyemeyebilir.
2. Cihaza Bağımlılık: 2FA için tek bir cihaza güvenmek tek hata noktasına yol açabilir. Cihazın kaybedilmesi veya teknik sorunlarla karşılaşılması kullanıcıların hesaplarından kilitlenmesine neden olabilir.
3. Sosyal Mühendislik: Yetenekli saldırganlar, müşteri hizmetleri temsilcilerini bir kullanıcının 2FA'sını yeni bir cihaza aktarmaya yönlendirerek yetkisiz erişim elde edebilir. SIM Değiştirme Tehdidi

Web3 alanında SIM değiştirme önemli bir tehdit olarak ortaya çıkmıştır.

SIM değiştirme, kötü niyetli bir aktörün kullanıcının mobil operatörünü, telefon numarasını saldırganın kontrolündeki yeni bir SIM karta aktarmaya ikna etmesini içerir.

Bu gerçekleştiğinde, saldırgan SMS ile gönderilen 2FA kodlarını ele geçirebilir.

Kaynak: SimSwapLaw

SIM takasının web3 bağlamındaki etkileri ciddidir.

Bir saldırgan kurbanın telefon numarasının kontrolünü ele geçirirse, potansiyel olarak 2FA'yı atlayabilir ve kripto cüzdanlarına, dApp'lere ve diğer hassas hesaplara erişim sağlayabilir.

Bu, birçok kişi için önemli mali kayıplara yol açtı.

2018'de kripto yatırımcısı Michael Terpin, 23,8 milyon dolarlık şaşırtıcı bir SIM takası saldırısının kurbanı oldu. Ekim 2021'de Coinbase, açıkladı siber suçluların 2FA sistemlerindeki bir ihlal sonucunda SIM takas yöntemiyle en az 6.000 kullanıcıdan yasa dışı olarak kripto para ele geçirdiğini

“Web3'ün popülaritesi arttıkça ve sektöre daha fazla insan çektikçe, SIM takas saldırılarının olasılığı da görece düşük teknik gereksinimleri nedeniyle artıyor.” dedi son zamanlarda Blockchain Güvenlik Firması Slowmist CISO, şuraya: CoinTelegraph.

Kripto alanında son haftalarda yaşanan bir dizi SIM takas saldırısı bu sözlerin doğru olduğunu kanıtladı.

Haziran 2023'ten bu yana, 30'dan fazla kripto projesi Twitter hesaplarının kontrolünü ele geçirmek ve cüzdan boşaltıcıları paylaşmak için kullanılan SIM takas saldırılarının hedefi oldu. Tek bir saldırıda en az 765 bin dolar değerinde NFT çalındı, Gutter Cat Gang twitter hesabı hacklendi SIM swapping yoluyla.

Kaynak: Matt Medev, NFT Now Kurucu Ortağı, CEO ve Genel Yayın Yönetmeni

Tehdidi Azaltma

SIM swapping ile ilişkili risklere karşı koymak ve web3'te güvenliği artırmak için birkaç adım atılabilir:

1. Kimlik Doğrulayıcı Uygulamalar: Google Authenticator veya Authy gibi özel 2FA uygulamaları kullanmak, kodları çevrimdışı oluşturarak SIM swapping'e karşı savunmasızlığı azaltır.
2. Telefon numaranız dışında bir kimlik doğrulayıcı sistemi kullanmakla uğraşmak istemiyorsanız:

• En azından telefon numaranızı mümkün olduğunca az kişiye açıklamalı ve bunu LinkedIn dahil hiçbir sosyal medyada asla paylaşmamalısınız. Ayrıca telefon numaranızı ele geçirmek için kullanılabilecek ad, adres ve doğum tarihi gibi kişisel verileri de korumalısınız.
• Uygulayabileceğiniz en iyi strateji, yalnızca sizi doğrulamaya adanmış bir SIM'e sahip olmaktır. Bunun karşılık gelen telefon numarası sizden başka kimseye açıklanmaz.

3. Donanım Belirteçleri: YubiKey gibi donanım cihazları, 2FA kodları oluşturmanın fiziksel bir yolunu sunar ve SIM değiştirme saldırılarına karşı bağışıktır.

4. Çoklu İmza Cüzdanları: Çoklu imza cüzdanlarının kullanılması, işlemleri yetkilendirmek için birden fazla cihaz veya taraf gerektirerek ek bir güvenlik katmanı sağlar.

5. İşlem 2FA: Nefture olarak, gerçekleştirdiğiniz her işlemde sizi uyaran, doğrulamanızı isteyen ve işlemle bağlantılı olası risk(ler) hakkında sizi bilgilendiren bir 2FA işlem sistemi geliştirdik.

İşlemleri izleyen ve olası riskleri gerçek zamanlı olarak belirleyen gelişmiş algoritmalar aracılığıyla; işlem kalıplarını, blok zinciri verilerini ve geçmiş verileri analiz ederek anormallikleri, dolandırıcılık faaliyetlerini ve şüpheli davranışları tespit eden sistem, kullanıcıyı**** ****gerçekleştirmek istediği her işlemle ilgili riskler konusunda önceden uyarır ve gerçek zamanlı olarak uygun önlemleri almasını sağlar.

Sonuç olarak, 2FA web3 ortamında güvenliği büyük ölçüde güçlendirse de sınırlamaları ve yaklaşan SIM takas tehdidi göz ardı edilemez.

Maksimum korumayı sağlamak için kullanıcılar, kimlik doğrulayıcı uygulamalar ve donanım belirteçleri kullanmak gibi en iyi uygulamaları benimsemelidir.

Web3 gelişmeye devam ettikçe, ortaya çıkan tehditlere ve güvenlik açıklarına karşı koymak için güvenlik önlemlerimiz de gelişmelidir.

Özet

Tebrikler! Modül 4'ü tamamladınız - Web3'te Güvenliği Artırma: 2FA'yı, Sınırlamalarını ve SIM Takas Tehdidini Keşfetme

Öğrendiklerinizi gözden geçirelim:

Web3'te 2FA: İki Faktörlü Kimlik Doğrulama (2FA), hesap erişimi için iki farklı doğrulama faktörü kullanan bir güvenlik yöntemidir.

• Türler:
• Bilgi (ör. parola)
• Sahiplik (ör. zamana duyarlı kodlar üreten akıllı telefon)
• Doğuştan gelen özellik (ör. parmak izleri).
• Uygulama: Web3'te, dinamik olarak akıllı telefon tarafından üretilen bir kodla birleştirilen parola yaygındır.

Merkezi Borsalar (CEX'ler) ve 2FA: CEX'ler 2FA'yı yaygın olarak kullanır. Örneğin, Binance bir QR kodu ve anahtar kullanan kendi "kimlik doğrulayıcısına" sahiptir.

2FA Sınırlamaları:

• Kimlik avı saldırılarına karşı savunmasızdır.
• Cihaza bağımlılık: Kaybolan veya arızalanan bir cihaz kullanıcıların erişimini engelleyebilir.
• Sosyal mühendislik: Saldırganlar manipülatif taktiklerle 2FA'yı atlatabilir.

SIM Değiştirme:

• Tehdit: Saldırganlar, mağdurun telefon numarasını aktarmak için mobil operatörleri kandırır ve böylece SMS ile gönderilen 2FA kodlarını ele geçirir.
• Etki: 2FA'yı atlatmak, cüzdanlara, dApp'lere ve hassas hesaplara yetkisiz erişime olanak tanır.
• Önemli olaylar: 2018'de yatırımcı Michael Terpin'den 23,8 milyon dolar çalındı ve 2021'de Coinbase'in 2FA sisteminde 6.000 kullanıcıyı etkileyen bir ihlal yaşandı.

Bu makale şunlar tarafından sunulmuştur: