strategia di autorizzazione del numero di cellulare tramite SMS, miglior schema e pratiche

Osserviamo alcuni attacchi diversi e il loro impatto sui due diversi sistemi, seguiti da alcune considerazioni sull'usabilità.

Controllo del telefono (disegna)

Se l'attaccante ha il pieno controllo sul telefono, è game over non importa quale. Tuttavia, un utente malintenzionato potrebbe essere stato in grado di ottenere un trojan sul telefono che ha limitato solo permessi. Almeno su Android, la lettura e l'invio di SMS sono permessi diversi. Tuttavia, questo secnario si sente piuttosto artificioso e non vedo ragioni per cui sarebbe più difficile ottenere un permesso di quanto lo sia per ottenere l'altro.

Ingegneria sociale (vincita n. 1)

Per ingannare alcuni utenti a leggere il codice è facile se questo è tutto ciò che il messaggio contiene. Chiamare l'utente, dire che vieni dalla compagnia di telefonia mobile testare la ricezione o qualsiasi altra cosa, e che riceveranno presto un messaggio per la lettura. (Un aggressore competente potrebbe inventare un modo migliore di mentire di quello che ho appena fatto.)

Tuttavia, questo può essere reso difficile se l'SMS contiene una spiegazione di ciò che è il codice (e forse un avvertimento esagerato contro phising), rivelando così tutte le tue bugie di ingegneria sociale.

Un utente che deve inviare un SMS non può ricevere tale avviso. Quell'utente potrebbe innamorarsi di trucchi come "basta inviare questo codice a questo numero per richiedere la tua auto sportiva gratuita". Non tutti cadono per questo, ma alcuni lo farebbero, specialmente se si tratta di un servizio che usano raramente e quindi non riconoscono il numero.

Interconnessione sulla rete telefonica (vincita n. 2)

Poiché la crittografia GSM è notoriamente debole, e le torrette dei telefoni cellulari falsi da utilizzare per MitM possono essere acquistate su Internet, un utente malintenzionato potrebbe tentare di intercettare le comunicazioni via SMS. Questa non è una minaccia teorica, ma qualcosa che viene fatto in the wild .

Con il sistema uno, un intercettatore deve leggere il codice di accesso che viene inviato all'utente quando tenta di accedere. L'utente malintenzionato deve quindi utilizzarlo prima che l'utente (dovrebbe essere facile se il processo è automatizzato). Ciò richiede che l'attaccante si trovi nella prossimità fisica del bersaglio quando l'utente accede al servizio.

Con il sistema due, non importa se l'attaccante legge l'SMS. Il passcode è (o almeno dovrebbe essere) univoco per il dispositivo dell'utente e l'utente malintenzionato non può autenticarsi sul suo dispositivo anche se conosce il passcode inviato dall'utente.

SMS spoofing (vincita n. 1, problema principale)

lo spoofing via SMS è una cosa molto reale che viene utilizzata in natura. Se l'utente malintenzionato può falsificare il numero di telefono degli utenti in un SMS, può superare l'altro due. Questa è una delle principali debolezze in questo approccio.

Ho cercato su google " servizio di spoofing SMS gratuito " e ho trovato questo sito . Sicuramente anche lo zio illegno del tuo computer potrebbe fare lo stesso, bypassando così il tuo schema di autenticazione.

Usabilità (vincite n. 1)

L'alternativa due ha qualche svantaggio quando si tratta di usabilità:

• L'utente deve inserire un codice di accesso e un numero per inviarlo a. Questo richiede più tempo. Due cose per copiare incolla sono il doppio di una.
• L'utente potrebbe immettere il numero di telefono sbagliato, causando un accesso non riuscito. Se viene inserito il passcode errato in uno alternativo, è facile fornire all'utente un feedback appropriato. Se viene inserito un numero di telefono errato, è difficile per il server sapere cosa succede e fornire il feedback giusto all'utente.
• L'invio di un SMS potrebbe costare denaro per l'utente.

Conclusione

Sulla sicurezza, è 2-1 a quella alternativa. Ma quanto sono gravi le diverse vulnerabilità? Direi che soprattutto lo spoofing degli SMS, ma anche l'ingegneria sociale sono minacce più grandi delle intercettazioni. Possono essere eseguiti da qualsiasi parte del mondo e richiedono molto meno sforzo e conoscenze tecniche. Lo spoofing degli SMS potrebbe essere automatizzato su larga scala.

Quindi, anche lasciando l'usabilità al lato, direi che quella alternativa è l'alternativa più sicura.

TL; DR

Puoi spoofare il mittente di un SMS, rendendolo inutilizzabile per identificare il mittente. Utilizza la prima alternativa.

Le due opzioni sono distinte nel modo seguente:

1. La società invia l'SMS al cliente
2. Il cliente invia l'SMS alla società

Se pensiamo attentamente a come viene verificata l'identità nelle reti telefoniche, scopriremo il problema di sicurezza principale che le aziende leader scelgono per l'opzione 1. Ogni volta che effettui una chiamata o invii un SMS, sai quale numero chiami. Tuttavia, quando ricevi una chiamata o un SMS, non hai idea di dove abbia avuto origine.

Diamo un'occhiata a questo problema dal punto di vista dell'azienda. Il loro obiettivo è verificare l'identità dell'utente in due modi. La società si fida già di sé. L'identità dell'utente è verificata tramite password e ricevendo un SMS. L'azienda sa che l'SMS arriverà al numero di telefono a cui l'hanno inviato, poiché è così che funziona il sistema telefonico. Quindi, se la stessa persona ha la password e il telefono, hanno anche il messaggio SMS e il token che contiene. La fiducia è stabilita.

Nella seconda opzione, la fiducia non può essere stabilita dal punto di vista dell'azienda. La società riceverà un SMS da una fonte arbitraria e non sarà in grado di determinare il numero di telefono da cui ha avuto origine. (Ironia della sorte, il cliente può verificare in questo modo l'identità dell'azienda, ma la società non può verificare l'identità del cliente).

Questa è la stessa ragione per cui ci viene detto di non fornire mai dati bancari a qualcuno che richiede di richiedere la nostra banca. Invece, le persone prudenti riagganciano e compongono il numero di telefono della loro banca per verificare l'identità della persona con cui stanno parlando.