🥇ब्लॉकचेन पर 2FA सुरक्षित करने के लिए आगे बढ़ें

एसएमएस संदेश दो-कारक प्रमाणीकरण (2FA) का सबसे लोकप्रिय तरीका है। इसका उपयोग बैंकों, इलेक्ट्रॉनिक और क्रिप्टो वॉलेट, मेलबॉक्स और सभी प्रकार की सेवाओं द्वारा किया जाता है; विधि उपयोगकर्ताओं की संख्या 100% के करीब पहुंच रही है.

मैं इस परिदृश्य पर क्रोधित हूं, क्योंकि यह विधि असुरक्षित है। मोबाइल युग की शुरुआत में एक सिम कार्ड से दूसरे सिम कार्ड में नंबर को दोबारा असाइन करना शुरू हुआ - इस तरह से सिम कार्ड खो जाने पर नंबर बहाल किया जाता है। "डिजिटल मनी चोरी विशेषज्ञों" ने महसूस किया कि "रीराइट सिम कार्ड" विकल्प का उपयोग धोखाधड़ी वाली योजनाओं में किया जा सकता है। आख़िरकार, जो सिम कार्ड को नियंत्रित करता है वह अन्य लोगों की ऑनलाइन बैंकिंग, इलेक्ट्रॉनिक वॉलेट और यहां तक कि क्रिप्टोकरेंसी को भी नियंत्रित कर सकता है। और आप किसी टेलीकॉम कर्मचारी को रिश्वत देकर, धोखे से या जाली दस्तावेजों का उपयोग करके किसी अन्य व्यक्ति का नंबर अपने कब्जे में ले सकते हैं।

सिम स्वैपिंग के हजारों प्रकरण उजागर हुए हैं, जैसा कि इस धोखाधड़ी योजना को कहा जाता है। आपदा के पैमाने से पता चलता है कि दुनिया जल्द ही एसएमएस के माध्यम से 2FA को त्याग देगी। लेकिन ऐसा नहीं होता - में अध्ययन वे कहते हैं कि यह उपयोगकर्ता नहीं हैं जो 2FA विधि चुनते हैं, बल्कि सेवा स्वामी हैं।

हम ब्लॉकचेन के माध्यम से एक बार कोड की डिलीवरी के साथ सुरक्षित 2FA पद्धति का उपयोग करने का प्रस्ताव करते हैं, और हम आपको बताएंगे कि सेवा स्वामी इसे कैसे कनेक्ट कर सकता है।

गिनती लाखों में जाती है

लंदन पुलिस के अनुसार 2019 में सिम स्वैप धोखाधड़ी में 63% की वृद्धि हुई, और एक हमलावर का "औसत बिल" 4,000 GBP था। मुझे रूस में कोई आँकड़े नहीं मिले, लेकिन मैं मानता हूँ कि वे और भी बुरे हैं।

सिम स्वैपिंग का उपयोग लोकप्रिय ट्विटर, इंस्टाग्राम, फेसबुक, वीके खातों, बैंक खातों और हाल ही में क्रिप्टोकरेंसी को चुराने के लिए किया जाता है - टाइम्स अखबार की रिपोर्ट बिटकॉइन उद्यमी जॉबी वीक्स के अनुसार। सिम स्वैपिंग का उपयोग करके क्रिप्टोकरेंसी चोरी के हाई-प्रोफाइल मामले 2016 से प्रेस में सामने आ रहे हैं; 2019 में वास्तविक शिखर देखा गया।

मई में, मिशिगन के पूर्वी जिले के लिए अमेरिकी अटॉर्नी कार्यालय आरोप लाए 19 से 26 वर्ष की उम्र के बीच के नौ युवा: माना जाता है कि वे "द कम्युनिटी" नामक हैकर गिरोह का हिस्सा हैं। गिरोह पर सात स्वैप हमलों का आरोप है, जिसके परिणामस्वरूप हैकर्स ने $2,4 मिलियन से अधिक मूल्य की क्रिप्टोकरेंसी चुरा ली। और अप्रैल में, कैलिफ़ोर्निया के छात्र जोएल ऑर्टिज़ को सिम स्वैपिंग के लिए 10 साल की जेल हुई; क्रिप्टोकरेंसी में उनका उत्पादन $7.5 मिलियन था।

विश्वविद्यालय संवाददाता सम्मेलन में जोएल ऑर्टिज़ की तस्वीर। दो साल बाद उसे साइबर धोखाधड़ी के आरोप में हिरासत में लिया जाएगा।

सिम स्वैप कैसे काम करता है

"स्वैप" का अर्थ है विनिमय. ऐसी सभी योजनाओं में, अपराधी आमतौर पर सिम कार्ड दोबारा जारी करके पीड़ित का फोन नंबर ले लेते हैं और इसका इस्तेमाल पासवर्ड रीसेट करने के लिए करते हैं। सिद्धांत रूप में एक सामान्य सिम स्वैप इस तरह दिखता है:

बुद्धिमान सेवा। जालसाज़ पीड़ित की व्यक्तिगत जानकारी का पता लगा लेते हैं: नाम और फ़ोन नंबर। वे खुले स्रोतों (सामाजिक नेटवर्क, दोस्तों) में पाए जा सकते हैं या किसी मोबाइल ऑपरेटर के कर्मचारी - किसी साथी से प्राप्त किए जा सकते हैं।
अवरुद्ध करना। पीड़ित का सिम कार्ड निष्क्रिय कर दिया गया है; ऐसा करने के लिए, बस प्रदाता के तकनीकी समर्थन को कॉल करें, नंबर प्रदान करें और कहें कि फोन खो गया है।
कैप्चर करें, नंबर को अपने सिम कार्ड में स्थानांतरित करें। आमतौर पर ऐसा टेलीकॉम कंपनी के किसी साथी के जरिए या दस्तावेजों की जालसाजी के जरिए भी किया जाता है।

वास्तविक जीवन में चीजें और भी गंभीर हैं। हमलावर एक पीड़ित का चयन करते हैं और फिर प्रतिदिन फोन के स्थान को ट्रैक करते हैं - यह जानकारी प्राप्त करने के लिए एक अनुरोध कि ग्राहक ने रोमिंग पर स्विच किया है, 1-2 सेंट की लागत आती है। जैसे ही सिम कार्ड का मालिक विदेश चला जाता है, वे संचार स्टोर के प्रबंधक से नया सिम कार्ड जारी करने के लिए बातचीत करते हैं। इसकी लागत लगभग $50 है (मुझे जानकारी मिली - विभिन्न देशों में और विभिन्न ऑपरेटरों के पास $20 से $100 तक), और सबसे खराब स्थिति में प्रबंधक को निकाल दिया जाएगा - इसके लिए कोई ज़िम्मेदारी नहीं है।

अब सभी एसएमएस हमलावरों को प्राप्त होंगे, और फोन का मालिक इसके बारे में कुछ नहीं कर पाएगा - वह विदेश में है। और फिर खलनायक पीड़ित के सभी खातों तक पहुंच प्राप्त कर लेते हैं और यदि चाहें तो पासवर्ड बदल देते हैं।

चोरी गई संपत्ति वापस मिलने की संभावना

बैंक कभी-कभी पीड़ितों को बीच में ही समायोजित कर लेते हैं और उनके खातों से स्थानांतरण वापस ले लेते हैं। इसलिए, अपराधी का पता न चलने पर भी फिएट मनी वापस करना संभव है। लेकिन क्रिप्टोकरेंसी वॉलेट के साथ सब कुछ अधिक जटिल है - और तकनीकी रूप से, और विधायी रूप से। अब तक, एक भी एक्सचेंज/वॉलेट ने स्वैपिंग के पीड़ितों को मुआवजा नहीं दिया है।

यदि पीड़ित अदालत में अपने पैसे का बचाव करना चाहते हैं, तो वे ऑपरेटर को दोषी ठहराते हैं: उसने खाते से पैसे की चोरी के लिए स्थितियां बनाईं। बिल्कुल यही मैंने किया माइकल टर्पिन, जिसे स्वैपिंग के कारण 224 मिलियन डॉलर का नुकसान हुआ। वह अब दूरसंचार कंपनी AT&T पर मुकदमा कर रहा है।

अब तक, किसी भी राज्य के पास क्रिप्टोकरेंसी मालिकों की कानूनी रूप से सुरक्षा के लिए कार्यशील योजनाएं नहीं हैं। अपनी पूंजी का बीमा कराना या उसके नुकसान के लिए मुआवजा प्राप्त करना असंभव है। इसलिए, स्वैप हमले को रोकना इसके परिणामों से निपटने से आसान है। सबसे स्पष्ट तरीका 2FA के लिए अधिक विश्वसनीय "दूसरे कारक" का उपयोग करना है।

एसएमएस के जरिए 2एफए के साथ सिम स्वैप ही एकमात्र समस्या नहीं है

एसएमएस में पुष्टिकरण कोड तकनीकी दृष्टि से भी असुरक्षित हैं। सिग्नलिंग सिस्टम 7 (एसएस7) में पैच न की गई कमजोरियों के कारण संदेशों को इंटरसेप्ट किया जा सकता है। एसएमएस पर 2एफए को आधिकारिक तौर पर असुरक्षित माना गया है (यूएस नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी ने अपने में यह कहा है डिजिटल प्रमाणीकरण गाइड).

वहीं, 2FA की मौजूदगी अक्सर उपयोगकर्ता को झूठी सुरक्षा का अहसास कराती है, और वह एक सरल पासवर्ड चुनता है। इसलिए, इस तरह के प्रमाणीकरण से यह मुश्किल नहीं होता है, बल्कि हमलावर के लिए खाते तक पहुंच आसान हो जाती है।

और अक्सर एसएमएस बहुत देरी से आते हैं या फिर आते ही नहीं।

अन्य 2FA विधियाँ

बेशक, रोशनी स्मार्टफोन और एसएमएस पर केंद्रित नहीं हुई। 2FA की अन्य विधियाँ भी हैं। उदाहरण के लिए, एक बार के टैन कोड: एक आदिम विधि, लेकिन यह काम करती है - इसका उपयोग अभी भी कुछ बैंकों में किया जाता है। बायोमेट्रिक डेटा का उपयोग करने वाली प्रणालियाँ हैं: उंगलियों के निशान, रेटिना स्कैन। एक अन्य विकल्प जो सुविधा, विश्वसनीयता और कीमत के मामले में एक उचित समझौता जैसा लगता है वह है 2FA के लिए विशेष एप्लिकेशन: RSA टोकन, Google प्रमाणक। भौतिक कुंजियाँ और अन्य विधियाँ भी हैं।

सिद्धांत रूप में, सब कुछ तार्किक और विश्वसनीय लगता है। लेकिन व्यवहार में, आधुनिक 2एफए समाधानों में समस्याएं हैं, और उनके कारण वास्तविकता अपेक्षाओं से भिन्न है।

के अनुसार अन्वेषण2FA का उपयोग सैद्धांतिक रूप से एक असुविधा है, और एसएमएस के माध्यम से 2FA की लोकप्रियता को "अन्य तरीकों की तुलना में कम असुविधा" द्वारा समझाया गया है - एक बार कोड प्राप्त करना उपयोगकर्ता के लिए समझ में आता है।

उपयोगकर्ता कई 2FA विधियों को इस डर से जोड़ते हैं कि पहुंच खो जाएगी। TAN पासवर्ड की भौतिक कुंजी या सूची खो सकती है या चोरी हो सकती है। मुझे व्यक्तिगत रूप से Google प्रमाणक के साथ बुरे अनुभव हुए हैं। इस एप्लिकेशन के साथ मेरा पहला स्मार्टफोन खराब हो गया - मेरे खातों तक पहुंच बहाल करने के मेरे प्रयासों की सराहना करता हूं। एक अन्य समस्या नए डिवाइस पर स्विच करने की है। सुरक्षा कारणों से Google प्रमाणक के पास निर्यात विकल्प नहीं है (यदि कुंजियाँ निर्यात की जा सकती हैं, तो इसमें कौन सी सुरक्षा है?)। एक बार जब मैं चाबियाँ मैन्युअल रूप से ले गया, और फिर मैंने फैसला किया कि पुराने स्मार्टफोन को शेल्फ पर एक बॉक्स में छोड़ना आसान था।

2एफए विधि होनी चाहिए:

सुरक्षित - केवल आपको ही, हमलावरों को नहीं, आपके खाते तक पहुंच प्राप्त होनी चाहिए
विश्वसनीय - जब भी आपको आवश्यकता हो, आपको अपने खाते तक पहुंच प्राप्त होती है
सुविधाजनक और सुलभ - 2FA का उपयोग करना स्पष्ट है और इसमें न्यूनतम समय लगता है
सस्ता

हमारा मानना है कि ब्लॉकचेन सही समाधान है।

ब्लॉकचेन पर 2FA का उपयोग करें

उपयोगकर्ता के लिए, ब्लॉकचेन पर 2FA एसएमएस के माध्यम से एक बार कोड प्राप्त करने के समान दिखता है। एकमात्र अंतर डिलीवरी चैनल का है। 2FA कोड प्राप्त करने की विधि इस बात पर निर्भर करती है कि ब्लॉकचेन क्या प्रदान करता है। हमारे प्रोजेक्ट में (जानकारी मेरी प्रोफ़ाइल में है) यह एक वेब एप्लिकेशन है, टोर, आईओएस, एंड्रॉइड, लिनक्स, विंडोज, मैकओएस।

सेवा एक बार का कोड उत्पन्न करती है और इसे ब्लॉकचेन पर मैसेंजर को भेजती है। फिर क्लासिक्स का पालन करें: उपयोगकर्ता सेवा इंटरफ़ेस में प्राप्त कोड दर्ज करता है और लॉग इन करता है।

लेख ब्लॉकचेन पर विकेंद्रीकृत मैसेंजर कैसे काम करता है? मैंने लिखा है कि ब्लॉकचेन संदेश प्रसारण की सुरक्षा और गोपनीयता सुनिश्चित करता है। 2FA कोड भेजने के मुद्दे पर, मैं निम्नलिखित पर प्रकाश डालूँगा:

खाता बनाने के लिए एक क्लिक - कोई फ़ोन या ईमेल नहीं।
2FA कोड वाले सभी संदेश एंड-टू-एंड कर्व25519xsalsa20poly1305 एन्क्रिप्टेड हैं।
MITM हमले को बाहर रखा गया है - 2FA कोड वाला प्रत्येक संदेश ब्लॉकचेन पर एक लेनदेन है और Ed25519 EdDSA द्वारा हस्ताक्षरित है।
2FA कोड वाला संदेश अपने स्वयं के ब्लॉक में समाप्त होता है। ब्लॉकों के अनुक्रम और टाइमस्टैम्प को ठीक नहीं किया जा सकता, और इसलिए संदेशों का क्रम।
ऐसी कोई केंद्रीय संरचना नहीं है जो किसी संदेश की "प्रामाणिकता" की जाँच करती हो। यह आम सहमति के आधार पर नोड्स की एक वितरित प्रणाली द्वारा किया जाता है, और इसका स्वामित्व उपयोगकर्ताओं के पास होता है।
अक्षम नहीं किया जा सकता - खातों को ब्लॉक नहीं किया जा सकता और संदेशों को हटाया नहीं जा सकता।
किसी भी समय किसी भी डिवाइस से 2FA कोड एक्सेस करें।
2FA कोड के साथ संदेश वितरण की पुष्टि। जो सेवा वन-टाइम पासवर्ड भेजती है वह निश्चित रूप से जानती है कि इसे वितरित कर दिया गया है। कोई "फिर से भेजें" बटन नहीं।

कुछ अन्य 2FA विधियों से तुलना करने के लिए, मैंने एक तालिका बनाई:

उपयोगकर्ता को एक सेकंड में कोड प्राप्त करने के लिए ब्लॉकचेन मैसेंजर में एक खाता प्राप्त होता है - लॉग इन करने के लिए केवल पासफ़्रेज़ का उपयोग किया जाता है। इसलिए, आवेदन के तरीके अलग-अलग हो सकते हैं: आप सभी सेवाओं के लिए कोड प्राप्त करने के लिए एक खाते का उपयोग कर सकते हैं, या आप प्रत्येक सेवा के लिए एक अलग खाता बना सकते हैं।

एक असुविधा भी है - खाते में कम से कम एक लेन-देन अवश्य होना चाहिए। उपयोगकर्ता को एक कोड के साथ एन्क्रिप्टेड संदेश प्राप्त करने के लिए, आपको उसकी सार्वजनिक कुंजी जानने की आवश्यकता है, और यह केवल पहले लेनदेन के साथ ब्लॉकचेन में दिखाई देती है। इस तरह हम इससे बाहर निकलने में कामयाब रहे: हमने उन्हें अपने वॉलेट में मुफ्त टोकन प्राप्त करने का अवसर दिया। हालाँकि, एक बेहतर समाधान यह है कि खाते को सार्वजनिक कुंजी नाम दिया जाए। (तुलना के लिए, हमारे पास खाता संख्या है U1467838112172792705 सार्वजनिक कुंजी का व्युत्पन्न है cc1ca549413b942029c4742a6e6ed69767c325f8d989f7e4b71ad82a164c2ada. मैसेंजर के लिए यह अधिक सुविधाजनक और पठनीय है, लेकिन 2एफए कोड भेजने की प्रणाली के लिए यह एक सीमा है)। मुझे लगता है कि भविष्य में कोई ऐसा निर्णय लेगा और "सुविधा और पहुंच" को ग्रीन ज़ोन में ले जाएगा।

2FA कोड भेजने की कीमत वास्तव में कम है - 0.001 एडीएम, अब यह 0.00001 USD है। फिर से, आप अपना ब्लॉकचेन बढ़ा सकते हैं और कीमत शून्य कर सकते हैं।

ब्लॉकचेन पर 2FA को अपनी सेवा से कैसे कनेक्ट करें

मुझे आशा है कि मैं कुछ पाठकों को उनकी सेवाओं में ब्लॉकचेन प्राधिकरण जोड़ने में रुचि लेने में सक्षम था।

मैं आपको उदाहरण के तौर पर हमारे मैसेंजर का उपयोग करके यह कैसे करना है बताऊंगा, और सादृश्य से आप किसी अन्य ब्लॉकचेन का उपयोग कर सकते हैं। 2FA डेमो ऐप में हम खाता जानकारी संग्रहीत करने के लिए postgresql10 का उपयोग करते हैं।

कनेक्शन चरण:

ब्लॉकचेन पर एक अकाउंट बनाएं जिससे आप 2FA कोड भेजेंगे। आपको एक पासफ़्रेज़ प्राप्त होगा, जिसका उपयोग कोड के साथ संदेशों को एन्क्रिप्ट करने और लेनदेन पर हस्ताक्षर करने के लिए एक निजी कुंजी के रूप में किया जाता है।
2FA कोड जनरेट करने के लिए अपने सर्वर पर एक स्क्रिप्ट जोड़ें। यदि आप पहले से ही वन-टाइम पासवर्ड डिलीवरी के साथ किसी अन्य 2FA पद्धति का उपयोग कर रहे हैं, तो आपने यह चरण पहले ही पूरा कर लिया है।
ब्लॉकचेन मैसेंजर में उपयोगकर्ता को कोड भेजने के लिए अपने सर्वर पर एक स्क्रिप्ट जोड़ें।
2FA कोड भेजने और दर्ज करने के लिए एक यूजर इंटरफेस बनाएं। यदि आप पहले से ही वन-टाइम पासवर्ड डिलीवरी के साथ किसी अन्य 2FA पद्धति का उपयोग कर रहे हैं, तो आपने यह चरण पहले ही पूरा कर लिया है।

1 खाता निर्माण

ब्लॉकचेन में खाता बनाने का अर्थ है एक निजी कुंजी, एक सार्वजनिक कुंजी और एक व्युत्पन्न खाता पता उत्पन्न करना।

सबसे पहले, BIP39 पासफ़्रेज़ उत्पन्न होता है, और SHA-256 हैश की गणना उससे की जाती है। हैश का उपयोग निजी कुंजी केएस और सार्वजनिक कुंजी केपी उत्पन्न करने के लिए किया जाता है। सार्वजनिक कुंजी से, व्युत्क्रम के साथ उसी SHA-256 का उपयोग करके, हम ब्लॉकचेन में पता प्राप्त करते हैं।

यदि आप हर बार नए खाते से 2FA कोड भेजना चाहते हैं, तो खाता निर्माण कोड को सर्वर में जोड़ना होगा:

import Mnemonic from 'bitcore-mnemonic'
this.passphrase = new Mnemonic(Mnemonic.Words.ENGLISH).toString()

…

import * as bip39 from 'bip39'
import crypto from 'crypto'

adamant.createPassphraseHash = function (passphrase) {
  const seedHex = bip39.mnemonicToSeedSync(passphrase).toString('hex')
  return crypto.createHash('sha256').update(seedHex, 'hex').digest()
}

…

import sodium from 'sodium-browserify-tweetnacl'

adamant.makeKeypair = function (hash) {
  var keypair = sodium.crypto_sign_seed_keypair(hash)
  return {
    publicKey: keypair.publicKey,
    privateKey: keypair.secretKey
  }
}

…

import crypto from 'crypto'

adamant.getAddressFromPublicKey = function (publicKey) {
  const publicKeyHash = crypto.createHash('sha256').update(publicKey, 'hex').digest()
  const temp = Buffer.alloc(8)
  for (var i = 0; i < 8; i++) {
    temp[i] = publicKeyHash[7 - i]
  }
  return 'U' + bignum.fromBuffer(temp).toString()
}

डेमो एप्लिकेशन में, हमने इसे सरल बनाया - हमने वेब एप्लिकेशन में एक खाता बनाया, और उससे कोड भेजे। ज्यादातर मामलों में, यह उपयोगकर्ता के लिए भी अधिक सुविधाजनक है: वह जानता है कि सेवा एक विशिष्ट खाते से 2FA कोड भेजती है और उसे नाम दे सकती है।

2 2FA कोड जनरेट करना

प्रत्येक उपयोगकर्ता लॉगिन के लिए एक 2FA कोड जेनरेट किया जाना चाहिए। हम पुस्तकालय का उपयोग करते हैं स्पीकईज़ी, लेकिन आप कोई अन्य चुन सकते हैं।

const hotp = speakeasy.hotp({
  counter,
  secret: account.seSecretAscii,
});

उपयोगकर्ता द्वारा दर्ज किए गए 2FA कोड की वैधता की जाँच करना:

se2faVerified = speakeasy.hotp.verify({
  counter: this.seCounter,
  secret: this.seSecretAscii,
  token: hotp,
});

3 2एफए कोड भेजा जा रहा है

2FA कोड सबमिट करने के लिए, आप ब्लॉकचेन नोड एपीआई, जेएस एपीआई लाइब्रेरी या कंसोल का उपयोग कर सकते हैं। इस उदाहरण में, हम कंसोल का उपयोग करते हैं - यह कमांड लाइन इंटरफ़ेस है, एक उपयोगिता जो ब्लॉकचेन के साथ बातचीत को सरल बनाती है। 2FA कोड के साथ एक संदेश भेजने के लिए, आपको कमांड का उपयोग करना होगा send message शान्ति.

const util = require('util');
const exec = util.promisify(require('child_process').exec);

…

const command = `adm send message ${adamantAddress} "2FA code: ${hotp}"`;
let { error, stdout, stderr } = await exec(command);

संदेश भेजने का एक वैकल्पिक तरीका विधि का उपयोग करना है send जेएस एपीआई लाइब्रेरी में।

4 यूजर इंटरफ़ेस

उपयोगकर्ता को 2FA कोड दर्ज करने का विकल्प दिया जाना चाहिए, यह आपके एप्लिकेशन प्लेटफ़ॉर्म के आधार पर विभिन्न तरीकों से किया जा सकता है। हमारे उदाहरण में यह Vue है।

ब्लॉकचेन दो-कारक प्रमाणीकरण डेमो एप्लिकेशन के लिए स्रोत कोड यहां देखा जा सकता है GitHub. इसे आज़माने के लिए रीडमी में लाइव डेमो का एक लिंक है।

स्रोत: www.habr.com

ब्लॉकचेन पर 2FA सुरक्षित करने के लिए आगे बढ़ें