Почему не стоит использовать SMS для двухфакторной аутентификации и какие есть альтернативы?

Двухфакторная аутентификация (2FA) добавляет важный уровень безопасности вашим онлайн-аккаунтам, но, к сожалению, не все методы одинаковы. Многие полагаются на двухфакторную аутентификацию на основе SMS, считая ее безопасным вариантом. К сожалению, СМС — не идеальный метод. Вот почему вам следует прекратить использовать SMS для двухфакторной аутентификации и что вы можете использовать вместо этого...

Подмена SIM-карты позволяет хакерам украсть ваш номер телефона

Одним из наиболее тревожных рисков при использовании SMS для двухфакторной аутентификации является подмена SIM-карты — метод, при котором злоумышленник обманывает вашего оператора мобильной связи и заставляет его перенести ваш номер телефона на новую SIM-карту. Получив контроль над вашим номером, они смогут заблокировать любые SMS-сообщения, отправленные на этот номер.

Вот как это работает: злоумышленник связывается с вашим оператором мобильной связи, выдавая себя за вас. Используя украденную личную информацию — например, ваш адрес или последние четыре цифры вашего номера социального страхования — они убеждают операторов перенести ваш номер телефона на свою SIM-карту. После завершения этого перехода злоумышленник перехватит текстовые сообщения, отправленные на ваш номер, включая коды 2FA, предназначенные для защиты вашего аккаунта.

Ущерб на этом не заканчивается. Многие из нас привязывают свой номер телефона к нескольким аккаунтам: от электронной почты до социальных сетей и банковских приложений. Успешная подмена SIM-карты может предоставить злоумышленнику доступ ко многим учетным записям, связанным с вашим номером телефона, от электронной почты до банковских приложений. Предыдущее руководство Quantrimang.com о том, что такое подмена SIM-карт и как защитить себя, может помочь вам избежать этого все более распространенного вида мошенничества.

СМС-сообщения могут быть перехвачены

Даже если вы избежите замены SIM-карты, сами SMS-сообщения все равно небезопасны. Они передаются по сетям, которые можно легко перехватить. Хакеры могут использовать уязвимости в системе сигнализации № 7 (SS7) — глобальном телекоммуникационном протоколе, который позволяет операторам маршрутизировать вызовы и сообщения. Используя SS7, злоумышленники могут перехватывать SMS-сообщения, не имея доступа к вашему реальному телефону.

Это не просто теория; Взлом SIM-карт — проблема, которая существует уже некоторое время. Киберпреступники и даже некоторые спонсируемые государством группы использовали уязвимость SS7 для слежки за коммуникациями и кражи конфиденциальной информации. Поскольку SMS не шифруется, содержимое сообщения, включая одноразовый пароль, будет раскрыто во время передачи.

Другой способ взлома сообщений — установка на вашем устройстве вредоносных приложений или шпионского ПО. Эти программы могут отслеживать ваши входящие SMS-сообщения и пересылать коды 2FA злоумышленнику без вашего ведома.

СМС привязано к вашему номеру телефона

Еще одним существенным недостатком двухфакторной аутентификации на основе SMS является то, что она зависит от вашего номера телефона. Возможность получения кодов напрямую связана с вашим мобильным сервисом. Если вы находитесь в зоне со слабым сигналом, двухфакторная аутентификация с помощью SMS будет совершенно бесполезна, даже при наличии Wi-Fi . В отличие от других методов аутентификации, которые могут работать через интернет-соединение, для SMS требуется стабильный сигнал сотовой связи.

Эта зависимость может привести к ситуациям, когда вам понадобится доступ к своей учетной записи, но вы не сможете получить код. Независимо от того, едете ли вы в отдаленное место или просто находитесь в здании с плохим приемом, это ограничение делает SMS-сообщения менее надежными, чем альтернативные методы.

Альтернатива: приложение-аутентификатор

Вместо того чтобы полагаться на SMS для аутентификации 2FA, переключитесь на приложения-аутентификаторы 2FA. Такие приложения, как Google Authenticator, Microsoft Authenticator и Authy, генерируют одноразовые пароли с ограниченным сроком действия (TOTP) непосредственно на вашем устройстве, обеспечивая гораздо более безопасную и надежную альтернативу SMS.

Первым большим преимуществом приложений-аутентификаторов является безопасность. В отличие от SMS, эти приложения генерируют коды локально на вашем телефоне, то есть они не передаются по сети, которую можно перехватить или использовать в своих целях. Они также защищены дополнительными уровнями безопасности — для доступа к коду многим приложениям требуется пароль, отпечаток пальца или сканирование лица.

Еще одна причина, по которой людям нравятся приложения-аутентификаторы, — это их офлайн-функциональность. Поскольку коды генерируются непосредственно на устройстве, для их использования вам не понадобится мобильное соединение. Независимо от того, находитесь ли вы в отдаленном районе без покрытия или просто в помещении с плохим приемом, вы все равно сможете получить доступ к своим кодам, если у вас есть устройство.

Люди предпочитают Authy другим приложениям-аутентификаторам, поскольку он предлагает резервное копирование в облаке, что позволяет легко восстановить учетную запись в случае утери телефона. В то же время он защищает эти резервные копии с помощью шифрования, гарантируя, что доступ к ним сможете получить только вы. Google Authenticator — еще один популярный выбор. Оба варианта бесплатны, широко поддерживаются и просты в настройке.

Использовать приложение-аутентификатор очень просто. После настройки (обычно путем сканирования QR-кода, предоставленного веб-сайтом во время процесса настройки 2FA) вы просто открываете приложение для доступа к коду при каждом входе в систему. Код обновляется каждые 30 секунд, поэтому, даже если кто-то украдет код, он сразу же станет бесполезным.

Двухфакторная аутентификация необходима для обеспечения безопасности вашей учетной записи, но важен и используемый вами метод. Хотя двухфакторная аутентификация на основе SMS может показаться удобной, она полна уязвимостей — от подмены SIM-карты до методов перехвата и даже практических проблем, таких как плохое покрытие сотовой связи. Эти риски делают SMS ненадежной защитой вашей безопасности в Интернете.