二要素認証SMS: 評判以上にひどいセキュリティ手法

 (ccc.de)
2 ポイント 投稿者 GN⁺ 2024-07-12 | 1件のコメント | WhatsAppで共有

  • ワンタイムパスワードとSMS

    • ワンタイムパスワードはしばしばSMSで送信される
    • CCCのセキュリティ研究者が、200社以上から送信された2億件以上のSMSメッセージにリアルタイムでアクセスした

  • SMSによる二要素認証（2FA-SMS）

    • 2FA-SMSは認証セキュリティを高めるための方法である
    • 静的パスワードに加えて、SMSで送信された動的コードが必要となる
    • ユーザーはログイン時にこのコードを入力する必要があり、これはパスワード（第1要素: 知識）と電話番号へのアクセス権（第2要素: 所有）を証明する
    • 盗まれたパスワードだけではユーザーのアカウントを乗っ取ることはできない

  • よく知られた攻撃ベクトル

    • SIMスワップやモバイルネットワークのSS7脆弱性を利用して、攻撃者がSMSメッセージを傍受できる
    • フィッシング攻撃によって、ユーザーがワンタイムパスワードを漏らすよう誘導される可能性がある
    • CCCは2013年からSMSを第2要素として使うことを推奨していない
    • それにもかかわらず、2FA-SMSは広く使われており、単純なパスワード認証よりは高いセキュリティを提供する

  • 今やオンラインでも見られる!

    • CCCは、2FA-SMSに対するこれまで見過ごされてきた攻撃を実演した
    • サービスプロバイダーは、さまざまな企業やサービス向けに大量のSMSを送信しており、その内容にアクセスできる
    • したがって、認証プロセスの安全性はこうしたプロバイダーのセキュリティに依存している

  • IdentifyMobileのミス

    • IdentifyMobileはワンタイムパスワードをリアルタイムでインターネット上に共有していた
    • CCCは偶然このデータにアクセスできた
    • idmdatastoreというサブドメインを推測するだけで十分だった
    • SMSの内容に加え、受信者の電話番号、送信者名、その他のアカウント情報も見えていた

  • 200社以上から2億件のSMS

    • Google、Amazon、Facebook、Microsoft、Telegram、Airbnb、FedEx、DHLなど、200社以上が影響を受けた
    • 合計1億9,800万件のSMSが流出した
    • リアルタイムフィードを見るだけで、WhatsAppの番号を乗っ取ったり、金融取引を実行したり、パスワードを知っていればさまざまなサービスにログインしたりできた

  • （まだ）大惨事ではない

    • SMSコードを悪用するには通常パスワードが必要である
    • しかし、「1-クリックログイン」リンクもデータに含まれていた
    • 一部の大企業では、IdentifyMobileが保護している個別サービスだけが影響を受けた
    • IdentifyMobileの不注意により、企業と顧客は大きなリスクにさらされた
    • データ保護部門には、同様の問い合わせが世界中から殺到している

  • 私たちはデータを保管しなかった

    • しかし、他者がアクセスしていた可能性は排除できない

  • 2FA-SMSは何もないよりはましだが、別の方法を使うべき

    • アプリで生成されたワンタイムパスワードやハードウェアトークンを使うほうが安全であり、モバイルネットワークにも依存しない
    • この選択肢が使えるなら、それを使うことを勧める
    • そして、どんな第2要素でも単純なパスワードだけよりはましである

GN⁺の要約

  • この記事はSMSベースの二要素認証のセキュリティ脆弱性を扱っている
  • IdentifyMobileのミスにより2億件以上のSMSが流出し、多くの企業と顧客に大きなリスクをもたらした
  • 2FA-SMSは単純なパスワードより安全だが、アプリベースのワンタイムパスワードやハードウェアトークンを使うほうがよい
  • この記事はセキュリティに関心のある人に有用で、SMSベース認証の危険性を警告している

関連記事

1件のコメント

 
GN⁺ 2024-07-12
Hacker Newsの意見

  • 家族の友人が、Google Ads経由で誘導されたフィッシング攻撃の被害に遭った体験を共有

    • 攻撃者は BANKNAME login のような検索語で広告を出していた
    • 偽サイトに2FAコードを入力したところ、2つ目のコードを要求された
    • 2つ目のコードは、新しい「pay anyone」受取人を追加するために使われた
    • 最終的に金を失ったが、後で取り戻した

  • 2つの銀行口座を持っており、1つはSMS 2FA、もう1つはアプリを使用

    • アプリの方が基本的に安全だと思っていたが、特定の状況ではSMSの方がよい可能性がある
    • 理想的な2FAは、取引の種類に応じて異なるトークンを生成すること

  • SMS 2FAを強制する企業は、セキュリティを気にしておらず、電話番号が欲しいだけではないかと疑っている

    • NISTはSMS 2FAを使わないよう勧告している
    • 多くの銀行はroot化されたスマートフォンでアプリを実行させないため、SMS 2FAを強制している

  • ChatGPT 4を使って銀行ウェブサイトのスクリーンショットを分析し、フィッシングかどうか確認してみた

    • URLの1文字を変更すると、フィッシングの試みだと認識した
    • スクリーンショットを自動分析して、それが正当かどうかをモデルが判断できる

  • 英国では、ほぼすべてのオンライン銀行取引がSMSで検証される

    • 法的に要求されているようだ
    • 以前のカード + カードリーダー + PIN検証システムの方が安全だった
    • このシステムが誤った選択だったと認識され、修正されることを願っている

  • 記事では2つの異なるセキュリティ問題を混同している

    • 「1-click login」リンクは、SMSへのアクセスだけでも危険
    • 2FAコードは第2要素であり、パスワードも必要なので、それほど心配ではない

  • スウェーデンはBankIDでこの問題を解決している

    • 公的機関と民間機関の協力によって実現した
    • 政府サービスとほとんどの銀行で、ログインと2FAに使われている
    • 他の国やEU全体にこうしたシステムがないのは驚きだ

  • S3バケットのメッセージが5分ごとに更新される

    • Twilio Verify（2FA API）だけでなく、このベンダー経由で送信されたすべてのSMSが影響を受ける

  • 複数の金融機関がSMS 2FAを要求しており、HOTP/TOTPオプションを提供していない