გადადით 2FA-ს უსაფრთხოებაზე ბლოკჩეინზე

SMS შეტყობინებები ორფაქტორიანი ავთენტიფიკაციის (2FA) ყველაზე პოპულარული მეთოდია. მას იყენებენ ბანკები, ელექტრონული და კრიპტო საფულეები, საფოსტო ყუთები და ყველა სახის მომსახურება; მეთოდის მომხმარებელთა რაოდენობა უახლოვდება 100%-ს.

აღშფოთებული ვარ ამ სცენარით, რადგან ეს მეთოდი სახიფათოა. ერთი SIM ბარათიდან მეორეზე ნომრის გადანაწილება დაიწყო მობილური ეპოქის დასაწყისში - ასე ხდება ნომრის აღდგენა SIM ბარათის დაკარგვისას. "ციფრული ფულის ქურდობის სპეციალისტებმა" გააცნობიერეს, რომ "SIM ბარათის გადაწერის" ვარიანტი შეიძლება გამოყენებულ იქნას თაღლითურ სქემებში. ყოველივე ამის შემდეგ, მას, ვინც აკონტროლებს SIM ბარათს, შეუძლია აკონტროლოს სხვა ადამიანების ონლაინ ბანკინგი, ელექტრონული საფულეები და კრიპტოვალუტაც კი. და თქვენ შეგიძლიათ მიიღოთ სხვა პირის ნომერი ტელეკომის თანამშრომლის მოსყიდვის, მოტყუების ან ყალბი დოკუმენტების გამოყენებით.

SIM-ის გაცვლის ათასობით ეპიზოდი გამოვლინდა, როგორც ამ თაღლითობის სქემას უწოდებენ. კატასტროფის მასშტაბი ვარაუდობს, რომ მსოფლიო მალე მიატოვებს 2FA-ს SMS-ის საშუალებით. მაგრამ ეს არ ხდება - ში კვლევა ისინი ამბობენ, რომ არა მომხმარებლები ირჩევენ 2FA მეთოდს, არამედ სერვისის მფლობელები.

ჩვენ ვთავაზობთ უსაფრთხო 2FA მეთოდის გამოყენებას ბლოკჩეინის საშუალებით ერთჯერადი კოდების მიწოდებით და გეტყვით, თუ როგორ შეუძლია სერვისის მფლობელს მისი დაკავშირება.

რიცხვი მილიონებად მიდის

2019 წელს, ლონდონის პოლიციის ცნობით, SIM-ის გაცვლის თაღლითობა გაიზარდა 63%-ით, ხოლო თავდამსხმელის „საშუალო გადასახადი“ იყო 4,000 GBP. მე ვერ ვიპოვე სტატისტიკა რუსეთში, მაგრამ ვვარაუდობ, რომ ისინი კიდევ უფრო უარესია.

SIM-ის შეცვლა გამოიყენება პოპულარული Twitter-ის, Instagram-ის, Facebook-ის, VK ანგარიშების, საბანკო ანგარიშების და ბოლო დროს კრიპტოვალუტების მოსაპარად. ინფორმაციას გაზეთი Times ავრცელებს ბიტკოინის მეწარმე Joby Weeks-ის თქმით. კრიპტოვალუტის ქურდობის გახმაურებული შემთხვევები SIM-ის გაცვლის გამოყენებით პრესაში ჩნდება 2016 წლიდან; 2019 წელს ნამდვილი პიკი დაფიქსირდა.

მაისში, მიჩიგანის აღმოსავლეთ ოლქის აშშ-ს პროკურატურა ბრალი წაუყენა ცხრა ახალგაზრდა 19-დან 26 წლამდე: ისინი, როგორც ვარაუდობენ, არიან ჰაკერული ბანდის ნაწილი, სახელწოდებით „საზოგადოება“. ბანდას ბრალად ედება შვიდი სვოპ შეტევა, რის შედეგადაც ჰაკერებმა მოიპარეს 2,4 მილიონ დოლარზე მეტი ღირებულების კრიპტოვალუტა. აპრილში კი კალიფორნიის სტუდენტმა ჯოელ ორტიზმა მიიღო 10 წლიანი პატიმრობა SIM-ის გაცვლისთვის; მისი წარმოება კრიპტოვალუტაში 7.5 მილიონი დოლარი იყო.

ჯოელ ორტისის ფოტო უნივერსიტეტის პრესკონფერენციაზე. ორი წლის შემდეგ მას დააკავებენ კიბერთაღლითობისთვის.

როგორ მუშაობს SIM-ის შეცვლა

„გაცვლა“ ნიშნავს გაცვლას. ყველა ასეთ სქემაში კრიმინალები იღებენ მსხვერპლის ტელეფონის ნომერს, ჩვეულებრივ, SIM ბარათის ხელახალი გაცემის გზით და იყენებენ მას პაროლის გადასაყენებლად. ტიპიური SIM-ის შეცვლა თეორიულად ასე გამოიყურება:

1. დაზვერვის სამსახური. თაღლითები იგებენ მსხვერპლის პირად ინფორმაციას: სახელსა და ტელეფონის ნომერს. მათი ნახვა შეგიძლიათ ღია წყაროებში (სოციალური ქსელები, მეგობრები) ან მიიღოთ თანამონაწილე - მობილური ოპერატორის თანამშრომლისგან.
2. ბლოკირება. დაზარალებულის SIM ბარათი გამორთულია; ამისათვის უბრალოდ დარეკეთ პროვაიდერის ტექნიკურ მხარდაჭერას, მიუთითეთ ნომერი და თქვით, რომ ტელეფონი დაიკარგა.
3. გადაიღეთ, გადაიტანეთ ნომერი თქვენს SIM ბარათზე. როგორც წესი, ეს ასევე ხდება ტელეკომის კომპანიაში თანამონაწილის ან დოკუმენტების გაყალბების გზით.

რეალურ ცხოვრებაში ყველაფერი კიდევ უფრო მძიმეა. თავდამსხმელები ირჩევენ მსხვერპლს და შემდეგ ყოველდღიურად ადევნებენ თვალყურს ტელეფონის მდებარეობას - ერთი მოთხოვნა ინფორმაციის მისაღებად, რომ აბონენტი გადავიდა როუმინგზე, ღირს 1-2 ცენტი. როგორც კი SIM ბარათის მფლობელი საზღვარგარეთ წავიდა, ისინი მოლაპარაკებას აწარმოებენ საკომუნიკაციო მაღაზიაში მენეჯერთან ახალი SIM ბარათის გაცემაზე. დაახლოებით 50 დოლარი ღირს (ინფორმაცია ვიპოვე - სხვადასხვა ქვეყანაში და სხვადასხვა ოპერატორებთან 20-დან 100 დოლარამდე) და უარეს შემთხვევაში მენეჯერს გაათავისუფლებენ - ამაზე პასუხისმგებლობა არ არის.

ახლა ყველა SMS-ს მიიღებენ თავდამსხმელები და ტელეფონის მფლობელი ვერაფერს გააკეთებს - ის საზღვარგარეთ არის. შემდეგ კი ბოროტმოქმედები იღებენ წვდომას მსხვერპლის ყველა ანგარიშზე და სურვილის შემთხვევაში ცვლიან პაროლს.

მოპარული ქონების დაბრუნების შანსი

ბანკები ხანდახან მსხვერპლს შუა გზაზე ათავსებენ და მათ ანგარიშებიდან იღებენ გადარიცხვებს. ამიტომ, კრიმინალის აღმოჩენის შემთხვევაშიც შესაძლებელია ფიატის ფულის დაბრუნება. მაგრამ კრიპტოვალუტის საფულეებით ყველაფერი უფრო რთულია - და ტექნიკურად, და საკანონმდებლო. ამ დრომდე არც ერთ ბირჟაზე/საფულეს არ გადაუხდია კომპენსაცია გაცვლის მსხვერპლთათვის.

თუ მსხვერპლს სურს დაიცვას საკუთარი ფული სასამართლოში, ისინი ადანაშაულებენ ოპერატორს: მან შექმნა პირობები ანგარიშიდან ფულის მოპარვისთვის. ზუსტად ასე მოვიქეცი მაიკლ ტურპინი, რომელმაც 224 მილიონი დოლარი დაკარგა გაცვლის გამო, ახლა სატელეკომუნიკაციო კომპანია AT&T-ს უჩივის.

ჯერჯერობით არცერთ სახელმწიფოს არ აქვს მოქმედი სქემები კრიპტოვალუტის მფლობელების ლეგალურად დასაცავად. შეუძლებელია თქვენი კაპიტალის დაზღვევა ან მისი დანაკარგის კომპენსაციის მიღება. ამიტომ, სვოპ შეტევის თავიდან აცილება უფრო ადვილია, ვიდრე მის შედეგებთან გამკლავება. ყველაზე აშკარა გზაა 2FA-სთვის უფრო საიმედო „მეორე ფაქტორის“ გამოყენება.

SIM-ის შეცვლა არ არის ერთადერთი პრობლემა 2FA-ში SMS-ით

SMS-ში დადასტურების კოდები ტექნიკური თვალსაზრისითაც სახიფათოა. შეტყობინებების ჩაჭრა შესაძლებელია სიგნალიზაციის სისტემა 7-ში (SS7) გაუხსნელი დაუცველობის გამო. SMS-ზე 2FA ოფიციალურად აღიარებულია, როგორც დაუცველი (აშშ-ს სტანდარტებისა და ტექნოლოგიების ეროვნული ინსტიტუტი ამის შესახებ ამბობს თავის ციფრული ავთენტიფიკაციის სახელმძღვანელო).

ამავდროულად, 2FA-ს არსებობა ხშირად აძლევს მომხმარებელს ცრუ უსაფრთხოების განცდას და ის ირჩევს უფრო მარტივ პაროლს. ამიტომ, ასეთი ავთენტიფიკაცია არ ართულებს, მაგრამ უადვილებს თავდამსხმელს ანგარიშზე წვდომას.

და ხშირად SMS ჩამოდის დიდი დაგვიანებით ან საერთოდ არ მოდის.

სხვა 2FA მეთოდები

რა თქმა უნდა, შუქი არ ემთხვეოდა სმარტფონებსა და SMS-ებს. არსებობს 2FA-ს სხვა მეთოდები. მაგალითად, ერთჯერადი TAN კოდები: პრიმიტიული მეთოდი, მაგრამ მუშაობს - ის ჯერ კიდევ გამოიყენება ზოგიერთ ბანკში. არსებობს სისტემები, რომლებიც იყენებენ ბიომეტრიულ მონაცემებს: თითის ანაბეჭდები, ბადურის სკანირება. კიდევ ერთი ვარიანტი, რომელიც გონივრულ კომპრომისად გამოიყურება მოხერხებულობის, საიმედოობისა და ფასის თვალსაზრისით, არის სპეციალური აპლიკაციები 2FA-სთვის: RSA Token, Google Authenticator. ასევე არსებობს ფიზიკური გასაღებები და სხვა მეთოდები.

თეორიულად, ყველაფერი ლოგიკურად და საიმედოდ გამოიყურება. მაგრამ პრაქტიკაში, თანამედროვე 2FA გადაწყვეტილებებს აქვთ პრობლემები და მათი გამო, რეალობა განსხვავდება მოლოდინებისგან.

მიხედვით კვლევა, 2FA-ს გამოყენება პრინციპში უხერხულობაა და 2FA-ს პოპულარობა სმს-ით აიხსნება „სხვა მეთოდებთან შედარებით ნაკლები უხერხულობით“ - მომხმარებლისთვის გასაგებია ერთჯერადი კოდების მიღება.

მომხმარებლები ბევრ 2FA მეთოდს უკავშირებენ იმის შიშს, რომ წვდომა დაიკარგება. ფიზიკური გასაღები ან TAN პაროლების სია შეიძლება დაიკარგოს ან მოიპაროს. მე პირადად მქონია ცუდი გამოცდილება Google Authenticator-თან დაკავშირებით. ჩემი პირველი სმარტფონი ამ აპლიკაციით გაფუჭდა - დააფასეთ ჩემი ძალისხმევა ჩემს ანგარიშებზე წვდომის აღდგენაში. კიდევ ერთი პრობლემა არის ახალ მოწყობილობაზე გადასვლა. Google Authenticator-ს არ აქვს ექსპორტის ვარიანტი უსაფრთხოების მიზეზების გამო (თუ გასაღებების ექსპორტი შესაძლებელია, რა უსაფრთხოება არსებობს?). ერთხელ გასაღებები ხელით ავიღე და შემდეგ გადავწყვიტე, რომ უფრო ადვილი იყო ძველი სმარტფონის თაროზე ყუთში დატოვება.

2FA მეთოდი უნდა იყოს:

• უსაფრთხო - მხოლოდ თქვენ და არა თავდამსხმელებმა უნდა გქონდეთ წვდომა თქვენს ანგარიშზე
• სანდო - თქვენ მიიღებთ წვდომას თქვენს ანგარიშზე, როცა დაგჭირდებათ
• მოსახერხებელი და ხელმისაწვდომი - 2FA-ს გამოყენება ნათელია და მინიმალური დრო სჭირდება
• იაფი

ჩვენ გვჯერა, რომ ბლოკჩეინი სწორი გამოსავალია.

გამოიყენეთ 2FA ბლოკჩეინზე

მომხმარებლისთვის 2FA ბლოკჩეინზე ჰგავს ერთჯერადი კოდების მიღებას SMS-ით. განსხვავება მხოლოდ მიწოდების არხშია. 2FA კოდის მიღების მეთოდი დამოკიდებულია იმაზე, თუ რას გვთავაზობს ბლოკჩეინი. ჩვენს პროექტში (ინფორმაცია ჩემს პროფილშია) ეს არის ვებ აპლიკაცია, Tor, iOS, Android, Linux, Windows, MacOS.

სერვისი ქმნის ერთჯერად კოდს და აგზავნის მესინჯერს ბლოკჩეინზე. შემდეგ მიჰყევით კლასიკას: მომხმარებელი შეაქვს მიღებულ კოდს სერვისის ინტერფეისში და შედის სისტემაში.

სტატია როგორ მუშაობს დეცენტრალიზებული მესინჯერი ბლოკჩეინზე? მე დავწერე, რომ ბლოკჩეინი უზრუნველყოფს შეტყობინებების გადაცემის უსაფრთხოებას და კონფიდენციალურობას. 2FA კოდების გაგზავნის საკითხთან დაკავშირებით, მე გამოვყოფ:

• ერთი დაწკაპუნებით ანგარიშის შესაქმნელად - ტელეფონების ან ელ.ფოსტის გარეშე.
• ყველა შეტყობინება 2FA კოდით დაშიფრულია End-to-End curve25519xsalsa20poly1305.
• MITM შეტევა გამორიცხულია - ყველა შეტყობინება 2FA კოდით არის ტრანზაქცია ბლოკჩეინზე და ხელს აწერს Ed25519 EdDSA.
• შეტყობინება 2FA კოდით მთავრდება საკუთარ ბლოკში. ბლოკების თანმიმდევრობისა და დროის ანაბეჭდის კორექტირება შეუძლებელია და, შესაბამისად, შეტყობინებების თანმიმდევრობა.
• არ არსებობს ცენტრალური სტრუქტურა, რომელიც ამოწმებს შეტყობინების „ნამდვილობას“. ეს კეთდება კონსენსუსის საფუძველზე დაფუძნებული კვანძების განაწილებული სისტემით და მას ეკუთვნის მომხმარებლები.
• გამორთვა შეუძლებელია - ანგარიშების დაბლოკვა და შეტყობინებების წაშლა შეუძლებელია.
• წვდომა 2FA კოდებზე ნებისმიერი მოწყობილობიდან ნებისმიერ დროს.
• შეტყობინების მიწოდების დადასტურება 2FA კოდით. სერვისმა, რომელიც აგზავნის ერთჯერად პაროლს, ზუსტად იცის, რომ ის მიწოდებულია. არ არის ღილაკები „ხელახლა გაგზავნა“.

სხვა 2FA მეთოდებთან შესადარებლად, მე გავაკეთე ცხრილი:

მომხმარებელი იღებს ანგარიშს ბლოკჩეინის მესენჯერში, რომ წამში მიიღოს კოდები - სისტემაში შესასვლელად გამოიყენება მხოლოდ საიდუმლო ფრაზა. აქედან გამომდინარე, განაცხადის მეთოდები შეიძლება განსხვავებული იყოს: შეგიძლიათ გამოიყენოთ ერთი ანგარიში ყველა სერვისის კოდების მისაღებად, ან შეგიძლიათ შექმნათ ცალკე ანგარიში თითოეული სერვისისთვის.

არის უხერხულობაც - ანგარიშზე უნდა იყოს მინიმუმ ერთი ტრანზაქცია. იმისათვის, რომ მომხმარებელმა მიიღოს დაშიფრული შეტყობინება კოდით, თქვენ უნდა იცოდეთ მისი საჯარო გასაღები და ის ბლოკჩეინში ჩნდება მხოლოდ პირველი ტრანზაქციის დროს. ასე მოვახერხეთ მისგან თავის დაღწევა: მივეცით მათ შესაძლებლობა მიეღოთ უფასო ტოკენები საფულეში. თუმცა, უკეთესი გამოსავალია ანგარიშის საჯარო გასაღების დარქმევა. (შედარებისთვის, ჩვენ გვაქვს ანგარიშის ნომერი U1467838112172792705 არის საჯარო გასაღების წარმოებული cc1ca549413b942029c4742a6e6ed69767c325f8d989f7e4b71ad82a164c2ada. მესინჯერისთვის ეს უფრო მოსახერხებელი და წასაკითხია, მაგრამ 2FA კოდის გაგზავნის სისტემისთვის ეს შეზღუდვაა). ვფიქრობ, მომავალში ვინმე მიიღებს ასეთ გადაწყვეტილებას და „კომფორტს და ხელმისაწვდომობას“ მწვანე ზონაში გადაიტანს.

2FA კოდის გაგზავნის ფასი ნამდვილად დაბალია - 0.001 ADM, ახლა არის 0.00001 აშშ დოლარი. კიდევ ერთხელ, შეგიძლიათ აამაღლოთ თქვენი ბლოკჩეინი და ფასი ნულოვანი გახადოთ.

როგორ დააკავშიროთ 2FA ბლოკჩეინზე თქვენს სერვისთან

იმედი მაქვს, შევძელი რამდენიმე მკითხველის დაინტერესება, რომ დაემატებინათ ბლოკჩეინის ავტორიზაცია მათ სერვისებში.

მე გეტყვით როგორ გააკეთოთ ეს ჩვენი მესენჯერის მაგალითის გამოყენებით და ანალოგიით შეგიძლიათ გამოიყენოთ სხვა ბლოკჩეინი. 2FA დემო აპლიკაციაში ჩვენ ვიყენებთ postgresql10 ანგარიშის ინფორმაციის შესანახად.

კავშირის ეტაპები:

1. შექმენით ანგარიში ბლოკჩეინზე, საიდანაც გამოგიგზავნით 2FA კოდს. თქვენ მიიღებთ საიდუმლო ფრაზას, რომელიც გამოიყენება როგორც პირადი გასაღები, რათა დაშიფროთ შეტყობინებები კოდებით და ხელი მოაწეროთ ტრანზაქციებს.
2. დაამატეთ სკრიპტი თქვენს სერვერზე 2FA კოდის შესაქმნელად. თუ თქვენ უკვე იყენებთ 2FA სხვა მეთოდს პაროლის ერთჯერადი მიწოდებით, თქვენ უკვე დაასრულეთ ეს ნაბიჯი.
3. დაამატეთ სკრიპტი თქვენს სერვერზე, რათა გაუგზავნოთ კოდები მომხმარებელს ბლოკჩეინის მესენჯერში.
4. შექმენით მომხმარებლის ინტერფეისი 2FA კოდის გაგზავნისა და შეყვანისთვის. თუ თქვენ უკვე იყენებთ 2FA სხვა მეთოდს პაროლის ერთჯერადი მიწოდებით, თქვენ უკვე დაასრულეთ ეს ნაბიჯი.

1 ანგარიშის შექმნა

ბლოკჩეინში ანგარიშის შექმნა ნიშნავს პირადი გასაღების, საჯარო გასაღების და მიღებული ანგარიშის მისამართის გენერირებას.

პირველ რიგში, გენერირებულია BIP39 საიდუმლო ფრაზა და მისგან გამოითვლება SHA-256 ჰეში. ჰეში გამოიყენება პირადი გასაღების ks და საჯარო გასაღების kp გენერირებისთვის. საჯარო გასაღებიდან, იგივე SHA-256 ინვერსიით, ვიღებთ მისამართს ბლოკჩეინში.

თუ გსურთ ყოველ ჯერზე გაგზავნოთ 2FA კოდი ახალი ანგარიშიდან, ანგარიშის შექმნის კოდი უნდა დაემატოს სერვერს:

import Mnemonic from 'bitcore-mnemonic'
this.passphrase = new Mnemonic(Mnemonic.Words.ENGLISH).toString()

…

import * as bip39 from 'bip39'
import crypto from 'crypto'

adamant.createPassphraseHash = function (passphrase) {
  const seedHex = bip39.mnemonicToSeedSync(passphrase).toString('hex')
  return crypto.createHash('sha256').update(seedHex, 'hex').digest()
}

…

import sodium from 'sodium-browserify-tweetnacl'

adamant.makeKeypair = function (hash) {
  var keypair = sodium.crypto_sign_seed_keypair(hash)
  return {
    publicKey: keypair.publicKey,
    privateKey: keypair.secretKey
  }
}

…

import crypto from 'crypto'

adamant.getAddressFromPublicKey = function (publicKey) {
  const publicKeyHash = crypto.createHash('sha256').update(publicKey, 'hex').digest()
  const temp = Buffer.alloc(8)
  for (var i = 0; i < 8; i++) {
    temp[i] = publicKeyHash[7 - i]
  }
  return 'U' + bignum.fromBuffer(temp).toString()
}

დემო აპლიკაციაში გავამარტივეთ - ვებ აპლიკაციაში შევქმენით ერთი ექაუნთი და მისგან გავაგზავნეთ კოდები. უმეტეს შემთხვევაში, ეს ასევე უფრო მოსახერხებელია მომხმარებლისთვის: მან იცის, რომ სერვისი აგზავნის 2FA კოდს კონკრეტული ანგარიშიდან და შეუძლია დაასახელოს იგი.

2 გენერირება 2FA კოდები

2FA კოდი უნდა იყოს გენერირებული თითოეული მომხმარებლის შესვლისთვის. ჩვენ ვიყენებთ ბიბლიოთეკას ლაპარაკი, მაგრამ თქვენ შეგიძლიათ აირჩიოთ ნებისმიერი სხვა.

const hotp = speakeasy.hotp({
  counter,
  secret: account.seSecretAscii,
});

მომხმარებლის მიერ შეყვანილი 2FA კოდის მოქმედების შემოწმება:

se2faVerified = speakeasy.hotp.verify({
  counter: this.seCounter,
  secret: this.seSecretAscii,
  token: hotp,
});

3 იგზავნება 2FA კოდი

2FA კოდის გასაგზავნად, შეგიძლიათ გამოიყენოთ ბლოკჩეინის კვანძის API, JS API ბიბლიოთეკა ან კონსოლი. ამ მაგალითში ჩვენ ვიყენებთ კონსოლს - ეს არის Command Line Interface, პროგრამა, რომელიც ამარტივებს ბლოკჩეინთან ურთიერთქმედებას. 2FA კოდით შეტყობინების გასაგზავნად, თქვენ უნდა გამოიყენოთ ბრძანება send message კონსოლები.

const util = require('util');
const exec = util.promisify(require('child_process').exec);

…

const command = `adm send message ${adamantAddress} "2FA code: ${hotp}"`;
let { error, stdout, stderr } = await exec(command);

შეტყობინებების გაგზავნის ალტერნატიული გზაა მეთოდის გამოყენება send JS API ბიბლიოთეკაში.

4 მომხმარებლის ინტერფეისი

მომხმარებელს უნდა მიეცეს 2FA კოდის შეყვანის შესაძლებლობა, ეს შეიძლება გაკეთდეს სხვადასხვა გზით თქვენი აპლიკაციის პლატფორმიდან გამომდინარე. ჩვენს მაგალითში ეს არის Vue.

ბლოკჩეინის ორფაქტორიანი ავთენტიფიკაციის დემო აპლიკაციის წყაროს კოდი შეგიძლიათ იხილოთ აქ GitHub. Readme-ში არის ბმული Live დემო ვერსიაზე, რომ გამოსცადოთ.

წყარო: www.habr.com