博客

自动翻译 · 阅读英文原文

SSO 模块 4 - 增强在线安全：探索 2FA、其局限性以及 SIM 交换的威胁

2FA 通过两种身份验证类型提升安全性。但它仍面临网络钓鱼、设备丢失和 SIM 交换的风险。应对措施包括离线 2FA 应用、限制手机号分享、硬件令牌、多签钱包和实时交易提醒。

作者 Markos Mebellis

SSO 模块 4 - 增强在线安全：探索 2FA、其局限性以及 SIM 交换的威胁
本页内容
SSO 模块 4 - 增强在线安全：探索 2FA、其局限性以及 SIM 交换的威胁 — 插图

在 web3 中，确保强有力的安全措施至关重要。

其中一种安全措施是双重身份验证（2FA），它为用户账户和交易增加了一层额外保护。

在本课程中，我们将深入探讨 2FA 在 web3 中的运作方式，审视其局限性，并揭示日益增长的 SIM 交换威胁。

了解 Web3 中的 2FA

双重身份验证是一种安全机制，要求用户提供两种不同的身份验证因素才能访问账户。

其目的是尽可能保障你的资金安全，降低因密码被盗而在瞬间被清空的风险。

这些身份验证因素分为三类：

  1. 你知道的信息：包括密码、PIN 或安全问题。
  2. 你拥有的物品：物理设备，例如智能手机或硬件令牌，可生成时效性验证码。
  3. 你的生物特征：指纹或面部识别等生物识别数据。

在 web3 领域，2FA 最常见的应用方式是将密码（你知道的信息）与智能手机应用生成的时效性验证码（你拥有的物品）结合使用。

来源：Swoopnow

来源：Swoopnow

此动态验证码每隔几秒就会变化，即使攻击者已获取密码，也极难获得未经授权的访问权限。

2FA 是中心化交易所（CEX）的标准做法，是与 KYC 同等重要的必经流程。

CEX 通常会开发自己的“验证器”，例如 Binance Authenticator，可通过二维码和 16 位密钥访问账户。

来源：Binance

来源：Binance

2FA 的局限性

尽管 2FA 行之有效，但仍存在一些局限性：

  1. 网络钓鱼攻击： 如果用户被虚假网站或电子邮件诱骗泄露凭据，2FA 可能无法完全阻止未经授权的访问。
  2. 设备依赖： 依赖单一设备进行 2FA 可能导致单点故障。丢失设备或遇到技术问题可能会使用户无法访问其账户。
  3. 社会工程： 熟练的攻击者可能操纵客服代表将用户的 2FA 转移到新设备，从而获得未经授权的访问。 SIM 卡交换的威胁

在 web3 领域，SIM 卡交换已成为一项重大威胁。

SIM 卡交换是指恶意行为者说服用户的移动运营商将其电话号码转移到攻击者控制的新 SIM 卡上。

一旦得手，攻击者就能拦截通过短信发送的 2FA 验证码。

来源：SimSwapLaw

来源：SimSwapLaw

SIM 卡交换在 web3 场景下的影响十分严重。

如果攻击者控制了受害者的手机号，就可能绕过 2FA，进而访问加密钱包、dApp 及其他敏感账户。

这已给许多人造成了巨额财务损失。

2018 年，加密投资者 Michael Terpin 遭遇了一起金额高达 2380 万美元的 SIM 卡交换攻击。2021 年 10 月，Coinbase 披露 网络犯罪分子通过SIM卡交换攻击入侵了他们的2FA系统，从而非法从至少6,000名用户处窃取了加密货币。

“随着Web3的普及并吸引更多人进入该行业，由于SIM卡交换攻击的技术要求相对较低，其发生可能性也在增加。”区块链安全公司Slowmist首席信息安全官最近对 CoinTelegraph.

过去几周加密领域发生的一系列SIM卡交换攻击证明了这些话属实。

自2023年6月以来， 超过30个加密项目 遭到SIM卡交换攻击，这些攻击被用来控制Twitter账户并发布钱包盗取链接。在一次攻击中，至少价值76.5万美元的NFT被盗， Gutter Cat Gang的Twitter账户被黑 通过SIM卡交换攻击。

来源：Matt Medev，NFT Now联合创始人、CEO兼主编

来源：Matt Medev，NFT Now联合创始人、CEO兼主编

缓解威胁

为应对SIM卡交换攻击相关风险并提升web3安全性，可采取以下措施：

  1. 身份验证器应用：使用Google Authenticator或Authy等专用2FA应用离线生成验证码，可降低遭受SIM卡交换攻击的风险。
  2. 如果你不愿使用手机号码之外的身份验证系统：
  • 你至少应尽可能少向他人透露手机号码，绝不要在社交媒体（包括Linkedin）上公开。同时保护好姓名、地址和出生日期等可用于找回你手机号码的个人数据。
  • 你能实施的最佳策略是拥有一张专门用于身份验证的SIM卡，其对应的手机号码只向你本人透露。

  1. 硬件令牌：YubiKey等硬件设备提供了一种生成2FA验证码的物理方式，且不受SIM卡交换攻击影响。

  2. 多签钱包：采用多签钱包可增加一层额外安全保障，需要多个设备或参与方授权交易。

  3. 交易 2FA：在 Nefture，我们开发了一套 2FA 交易系统，会提醒你每一笔交易，要求你进行验证，并告知你与之相关的潜在风险。

通过实时监控交易并识别潜在风险的先进算法，分析交易模式、区块链数据和历史数据以检测异常、欺诈活动和可疑行为，用户会**** ****提前获知其希望进行的每笔交易涉及的风险，并能够实时采取适当行动。

总之，尽管 2FA 在 web3 领域大大增强了安全性，但其局限性和 SIM 交换的迫近威胁不容忽视。

为确保最大程度的保护，用户必须采用最佳实践，例如使用身份验证器应用和硬件令牌。

随着 web3 的持续发展，我们的安全措施也必须不断演进，以应对新出现的威胁和漏洞。

摘要

恭喜！你已完成模块 4——增强 Web3 安全性：探索 2FA、其局限性以及 SIM 交换的威胁

让我们回顾一下你的学习内容：

Web3 中的 2FA： 双重身份验证（2FA）是一种安全方法，使用两个不同的验证因素来访问账户。

  • 类型：
  • 知识（例如密码）
  • 持有（例如生成时效性验证码的智能手机）
  • 固有特征（例如指纹）。
  • 应用：在 web3 中，密码结合智能手机生成的动态验证码很常见。

中心化交易所 (CEXs) 与 2FA： CEXs 广泛使用 2FA。例如，Binance 有自己的“验证器”，使用二维码和密钥。

2FA 的局限性：

  • 易受钓鱼攻击。
  • 设备依赖：设备丢失或故障可能导致用户无法访问。
  • 社会工程：攻击者可能通过操纵手段绕过 2FA。

SIM 卡交换：

  • 威胁：攻击者欺骗移动运营商转移受害者的电话号码，从而拦截通过短信发送的 2FA 验证码。
  • 影响：绕过 2FA 可导致未经授权访问钱包、dApp 和敏感账户。
  • 重大事件：2018 年投资者 Michael Terpin 被盗 2380 万美元，2021 年 Coinbase 的 2FA 系统遭入侵，影响 6,000 名用户。

本文由以下方提供：

摘要 — 插图