Nemojte koristiti sms poruke kao sistem autentifikacije
Već neko vreme, bezbednosni eksperti su upozoravali da se sms poruke mogu hakovati. Video koji je postovala Positive Technologies bezbednosna kompanija, govori o tome koliko je lako hakovati bitcoin novčanik tako što se presretne sms poruka dok ide od jednog korisnika do drugog.
Grupa je sebi za cilj postavila Coinbase nalog koji štiti sistem dva faktora autentifikacije, koji je registrovan na gmail nalog koji takođe ima sistem autentifikacije. Pošto su eksploatisali poznate mane u mobilnoj mreži, istraživači su uspeli da presretnu poruku koja je poslata na broj telefona za određeni vremenski period. To je bilo dovoljno da se resetuje šifra na Gmail nalogu i da se preuzme kontrola nad Coinbase novčanikom. Sve što je istraživačima bilo potrebno je ime, prezime i broj telefona datog Bitcoin korisnika. Bitcoin novčanici su popularne mete zbog toga što su bitcoin transakcije nepovratne, a i sam napad može da se izvrši i na druge Internet usluge.
Na prvi pogled, izgleda da se radi o problemu zaštite Coinbase-a, ali prava slabost se nalazi u samom mrežnom sistemu mobilne telefonije. Istraživači Positive Technologies-a su hakovali sms poruke koristeći sopstveni istraživački sistem, koji eksploatiše slabosti mobilne mreže kako bi presreo naše poruke dok ih šaljemo.
Svaki telekom deli SS7 mrežu i uz pomoću nje beleži pozive, poruke koje korisnici razmenjuju. Dok je pristup SS7 mrežnom sistemu teoretski ograničen samo na telekom kompanije, „usluge“ za hakovanje su dostupne kriminalcima na njihovim mrežama. Čak i kada usluga od treće strane nije moguća, istraživači iz Positive Technologies-a tvrde da mogu da napadnu mrežu direktno. Zato što je jeftinije i lakše dobiti direktan pristup SS7 mreži za interkonekcije. Zatim, napraviti posebnu SS7 poruku, nego tražiti SS7 takozvane usluge za hakovanje.
Postoji nekoliko načina da se zaštite od ovakvog napada. Na nekim mrežama možete ukinuti dvo-faktorni sms sistem autentifikacije i mogućnost da povratite vaš nalog. Što bi trebalo da uradite kada budete imali bezbedniji metod zaštite koji se bazira na aplikacijama na vašem telefonu. Google, na primer, vam daje mogućnost da upravljate svojim sistemom autentifikacije i daje vam mogućnost da povratite nalog.
Izvor: TheVerge
