SSO Модуль 4 – Підвищення онлайн-безпеки: дослідження 2FA, її обмежень і загрози SIM-свопінгу

У web3 забезпечення надійних заходів безпеки є першочерговим.

Одним із таких заходів є двофакторна автентифікація (2FA), яка додає додатковий рівень захисту обліковим записам і транзакціям користувачів.

У цьому курсі ми розглянемо роботу 2FA у web3, її обмеження та проллємо світло на зростаючу загрозу SIM-свопінгу.

Розуміння 2FA у Web3

Двофакторна автентифікація — це механізм безпеки, який вимагає від користувачів надати два різні фактори автентифікації для доступу до облікового запису.

Мета — максимально захистити ваші кошти, зменшивши ризик того, що щось таке просте, як викрадач пароля, спустошить їх за мить.

Ці фактори автентифікації поділяються на три категорії:

1. Щось, що ви знаєте: це включає пароль, PIN-код або контрольні запитання.
2. Щось, що ви маєте: фізичний пристрій, наприклад смартфон або апаратний токен, який генерує коди з обмеженим часом дії.
3. Щось, чим ви є: біометричні дані, як-от відбитки пальців або розпізнавання обличчя.

У сфері web3 найпоширеніше застосування 2FA полягає в поєднанні пароля (щось, що ви знаєте) з кодом з обмеженим часом дії, згенерованим застосунком на смартфоні (щось, що ви маєте).

Джерело: Swoopnow

Цей динамічний код змінюється кожні кілька секунд, що робить надзвичайно складним для зловмисників отримання несанкціонованого доступу, навіть якщо їм вдалося отримати пароль.

2FA є стандартною практикою на централізованих біржах (CEX), обов'язковим процесом, таким же важливим, як KYC.

CEX часто розробляють власний «автентифікатор», як-от Binance Authenticator, який дозволяє отримати доступ до вашого акаунта через QR-код і 16-значний ключ.

Джерело: Binance

Обмеження 2FA

Незважаючи на свою ефективність, 2FA має певні обмеження:

1. Фішингові атаки: Якщо користувачів обманом змушують розкрити свої облікові дані через фальшиві вебсайти або електронні листи, 2FA може не повністю запобігти несанкціонованому доступу.
2. Залежність від пристрою: Покладання на один пристрій для 2FA може призвести до єдиної точки відмови. Втрата пристрою або технічні проблеми можуть заблокувати користувачам доступ до їхніх акаунтів.
3. Соціальна інженерія: Досвідчені зловмисники можуть маніпулювати представниками служби підтримки, щоб ті перенесли 2FA користувача на новий пристрій, отримавши несанкціонований доступ. Загроза SIM-свопінгу

У просторі web3 SIM-свопінг став значною загрозою.

SIM-свопінг передбачає, що зловмисник переконує мобільного оператора користувача перенести його номер телефону на нову SIM-карту під контролем зловмисника.

Після цього зловмисник може перехоплювати коди 2FA, надіслані через SMS.

Джерело: SimSwapLaw

Наслідки SIM-свопінгу в контексті web3 є серйозними.

Якщо зловмисник отримає контроль над номером телефону жертви, він потенційно може обійти 2FA та отримати доступ до криптогаманців, dApps та інших конфіденційних акаунтів.

Це призвело до значних фінансових втрат для багатьох людей.

У 2018 році криптоінвестор Майкл Терпін став жертвою приголомшливої SIM-своп-атаки на $23.8 млн. У жовтні 2021 року Coinbase розкрила що кіберзлочинці незаконно викрали криптовалюту щонайменше у 6 000 користувачів внаслідок зламу їхньої системи 2FA через підміну SIM-картки.

«Оскільки популярність Web3 зростає і приваблює в індустрію дедалі більше людей, ймовірність атак із підміною SIM-картки також зростає через відносно нижчі технічні вимоги», — нещодавно розповів CISO фірми з блокчейн-безпеки Slowmist виданню CoinTelegraph.

Хвиля атак із підміною SIM-картки в криптосфері за останні тижні довела правдивість цих слів.

Від червня 2023 року понад 30 криптопроєктів зазнали атак із підміною SIM-картки, які використовуються для захоплення облікових записів у Twitter і публікації зловмисних посилань для спустошення гаманців. В одній лише атаці було викрадено NFT щонайменше на $765K, а акаунт Gutter Cat Gang у Twitter було зламано через SIM-свопінг.

Джерело: Метт Медев, співзасновник, CEO та головний редактор NFT Now

Пом'якшення загрози

Щоб протидіяти ризикам, пов'язаним із SIM-свопінгом, і підвищити безпеку у web3, можна вжити кілька заходів:

1. Застосунки-автентифікатори: використання спеціальних застосунків 2FA, як-от Google Authenticator чи Authy, генерує коди офлайн, зменшуючи вразливість до SIM-свопінгу.
2. Якщо вам не хочеться використовувати систему автентифікації поза вашим номером телефону:

• Принаймні розкривайте свій номер телефону якомога меншій кількості людей і ніколи в соціальних мережах, зокрема в Linkedin. А також захищайте особисті дані, як-от ім'я, адреса та дата народження, які можна використати для отримання вашого номера телефону.
• Найкраща стратегія, яку ви можете застосувати, — мати SIM-картку, призначену виключно для автентифікації вас. Її відповідний номер телефону не розкривається нікому, крім вас.

3. Апаратні токени: апаратні пристрої, як-от YubiKey, забезпечують фізичний спосіб генерації кодів 2FA і не піддаються SIM-свопінгу.

4. Мультипідписні гаманці: Використання мультипідписних гаманців додає додатковий рівень безпеки, вимагаючи кількох пристроїв або сторін для авторизації транзакцій.

5. 2FA для транзакцій: У Nefture ми розробили систему 2FA для транзакцій, яка сповіщає вас про кожну транзакцію, яку ви здійснюєте, запитує ваше підтвердження та інформує вас про потенційні ризики, пов'язані з нею.

Завдяки передовим алгоритмам, які відстежують транзакції та виявляють потенційні ризики в реальному часі, аналізують шаблони транзакцій, дані блокчейну та історичні дані для виявлення аномалій, шахрайських дій і підозрілої поведінки, користувач**** ****завчасно попереджається про ризики, пов'язані з кожною транзакцією, яку він бажає здійснити, і може вжити належних заходів у реальному часі.

На завершення, хоча 2FA значно підвищує безпеку в ландшафті web3, її обмеження та нависла загроза SIM-свопінгу не можуть бути проігноровані.

Щоб забезпечити максимальний захист, користувачі повинні дотримуватися найкращих практик, як-от використання застосунків-автентифікаторів і апаратних токенів.

Оскільки web3 продовжує розвиватися, наші заходи безпеки також повинні розвиватися, щоб протидіяти новим загрозам і вразливостям.

Підсумок

Вітаємо! Ви завершили Модуль 4 — Підвищення безпеки в Web3: дослідження 2FA, її обмежень і загрози SIM-свопінгу

Повторимо вивчене:

2FA у Web3: Двофакторна автентифікація (2FA) — це метод безпеки, що використовує два різні фактори перевірки для доступу до облікового запису.

• Типи:
• Знання (наприклад, пароль)
• Володіння (наприклад, смартфон, що генерує коди з обмеженим часом дії)
• Притаманність (наприклад, відбитки пальців).
• Застосування: у web3 поширене поєднання пароля з динамічним кодом, згенерованим смартфоном.

Централізовані біржі (CEX) і 2FA: CEX широко використовують 2FA. Наприклад, Binance має власний «автентифікатор» з QR-кодом і ключем.

Обмеження 2FA:

• Уразливість до фішингових атак.
• Залежність від пристрою: втрачений або несправний пристрій може заблокувати користувачів.
• Соціальна інженерія: зловмисники можуть обійти 2FA за допомогою маніпулятивних тактик.

Підміна SIM-картки:

• Загроза: зловмисники обманюють мобільних операторів, щоб перенести номер телефону жертви й таким чином перехопити коди 2FA, надіслані через SMS.
• Вплив: обхід 2FA дозволяє несанкціонований доступ до гаманців, dApps і конфіденційних акаунтів.
• Помітні інциденти: $23.8 млн викрадено в інвестора Майкла Терпіна у 2018 році та злам системи 2FA Coinbase у 2021 році, що торкнувся 6,000 користувачів.

Цю статтю підготував: