Ny hafatra SMS no fomba malaza indrindra amin'ny fanamarinana roa sosona (2FA). Izy io dia ampiasain'ny banky, kitapo elektronika sy crypto, boaty mailaka ary karazana serivisy rehetra; .
Tezitra aho amin'ity toe-javatra ity, satria tsy azo antoka io fomba io. Nanomboka nanendry laharana iray avy amin'ny karatra SIM iray mankany amin'ny iray hafa izy ireo tamin'ny fiandohan'ny vanim-potoanan'ny finday - izany no fomba hamerenana ny isa rehefa very ny karatra SIM. Nahatsapa ny “manam-pahaizana manokana momba ny halatra vola nomerika” fa azo ampiasaina amin'ny tetika hosoka ny safidy “manoratra indray ny karatra SIM”. Rehefa dinihina tokoa, izay mifehy ny karatra SIM dia afaka mifehy ny olon-kafa an-tserasera banky, elektronika poketra, ary na dia cryptocurrency. Ary azonao atao ny maka ny nomeraon'ny olon-kafa amin'ny alalan'ny kolikoly mpiasan'ny fifandraisandavitra, amin'ny fampiasana fitaka na taratasy sandoka.
Fizarana an'arivony amin'ny fifanakalozam-bola SIM no sarona, araka ny fiantsoana ity tetika hosoka ity. Ny haben'ny loza dia milaza fa handao ny 2FA amin'ny alàlan'ny SMS izao tontolo izao. Saingy tsy mitranga izany - amin'ny lazain'izy ireo fa tsy ny mpampiasa no misafidy ny fomba 2FA fa ny tompon'ny serivisy.
Manoro hevitra ny hampiasa ny fomba 2FA azo antoka izahay miaraka amin'ny fandefasana kaody indray mandeha amin'ny alàlan'ny blockchain, ary holazainay aminao ny fomba ahafahan'ny tompon'ny serivisy mampifandray azy.
Mandeha an-tapitrisany ny isa
Tamin'ny taona 2019, nitombo 63% ny hosoka SIM, araka ny filazan'ny polisy London, ary 4,000 GBP ny “faktiora antonony” an'ny mpanafika. Tsy nahita antontan'isa aho tany Rosia, saingy heveriko fa mbola ratsy kokoa izany.
Ny fifanakalozam-bola SIM dia ampiasaina hangalarana kaonty Twitter, Instagram, Facebook, VK, kaonty amin'ny banky ary vao haingana mihitsy aza - araka ny filazan'ny mpandraharaha Bitcoin Joby Weeks. Nipoitra tamin'ny gazety hatramin'ny taona 2016 ireo tranga malaza amin'ny halatra cryptocurrency amin'ny alàlan'ny fifanakalozam-bola SIM; 2019 dia nahita tampon'isa tena izy.
Tamin'ny volana Mey, ny biraon'ny mpampanoa lalàna amerikana ho an'ny distrika atsinanan'i Michigan Tanora sivy eo anelanelan'ny 19 sy 26 taona: heverina fa anisan'ny andian-jiolahy mpijirika antsoina hoe “The Community” izy ireo. Ny andian-jiolahy dia voampanga tamin'ny fanafihana swap fito, vokatr'izany dia nangalatra cryptocurrency mitentina 2,4 tapitrisa dolara ireo mpijirika. Ary tamin'ny Aprily, nahazo 10 taona an-tranomaizina ny mpianatra Californie Joel Ortiz noho ny fifandimbiasana SIM; Ny vokatra azony dia $ 7.5 tapitrisa amin'ny vola crypto.
Sarin'i Joel Ortiz nandritra ny valan-dresaka ho an'ny mpanao gazety. Roa taona aty aoriana dia hotazonina noho ny hosoka amin'ny Internet izy.
Ahoana no fiasan'ny swap SIM
Ny hoe "manakalo" dia midika hoe fifanakalozana. Amin'ny tetika rehetra toy izany, ny jiolahy dia maka ny laharan'ny telefaonin'ilay niharam-boina, matetika amin'ny alàlan'ny famoahana karatra SIM, ary mampiasa izany hamerenana ny tenimiafina. Ny swap SIM mahazatra amin'ny teoria dia toy izao:
- Sampana fitsikilovana. Ny mpisoloky dia mahita ny mombamomba ilay niharam-boina: anarana sy laharan-telefaona. Izy ireo dia hita amin'ny loharano misokatra (tambajotra sosialy, namana) na azo avy amin'ny mpiray tsikombakomba - mpiasan'ny mpandraharaha finday.
- Fanakanana. Ny karatra SIM an'ilay niharam-boina dia nesorina; Mba hanaovana izany, antsoy fotsiny ny fanohanana ara-teknika an'ny mpamatsy, omeo ny laharana ary lazao fa very ny telefaona.
- Raiso, afindrao amin'ny karatra SIM ny isa. Matetika amin'ny alalan'ny mpiray tsikombakomba amin'ny orinasam-pifandraisan-davitra na amin'ny alalan'ny fisandohana antontan-taratasy ihany koa no anaovana izany.
Amin'ny tena fiainana dia vao mainka henjana kokoa. Mifidy niharam-boina ny mpanafika ary manara-maso ny toerana misy ny telefaonina isan'andro - fangatahana iray hahazoana fampahalalana izay nafindran'ny mpanjifa tamin'ny roaming dia mitentina 1-2 cents. Raha vao lasa any ivelany ny tompon’ny karatra SIM dia nifampiraharaha tamin’ny tompon’andraikitra ao amin’ny magazay serasera izy ireo mba hamoahana karatra SIM vaovao. Mitentina eo amin'ny $50 eo ho eo izany (nahita vaovao aho - any amin'ny firenena samihafa sy miaraka amin'ireo mpandraharaha samihafa manomboka amin'ny $20 ka hatramin'ny $100), ary amin'ny tranga ratsy indrindra dia voaroaka ny mpitantana - tsy misy andraikitra amin'izany.
Ankehitriny dia horaisin'ny mpanafika ny SMS rehetra, ary tsy afaka manao na inona na inona momba izany ny tompon'ny finday - any ivelany izy. Ary avy eo ireo olon-dratsy dia mahazo miditra amin'ny kaontin'ny niharam-boina rehetra ary manova ny tenimiafina raha ilaina.
Fahafahana mamerina ny fananana nangalarina
Indraindray ny banky dia mametraka ireo tra-boina amin'ny antsasany ary manala ny famindrana amin'ny kaontiny. Noho izany dia azo atao ny mamerina ny vola fiat na dia tsy hita aza ilay jiolahy. Saingy amin'ny kitapom-bola crypto dia sarotra kokoa ny zava-drehetra - ary ara-teknika, ary ara-dalàna. Hatreto, tsy mbola nisy na iray aza ny fifanakalozana/kitapo nandoa onitra ho an'ireo niharan'ny fifanakalozam-bola.
Raha te hiaro ny volany eny amin’ny fitsarana ireo niharam-boina, dia omeny tsiny ny mpandraharaha: izy no namorona ny fepetra momba ny halatra vola amin’ny kaonty. Izany indrindra no nataoko , izay very 224 tapitrisa dolara noho ny fifandimbiasana. Mitory ny orinasa AT&T izy izao.
Hatreto, tsy misy fanjakana manana tetika miasa hiarovana ara-dalàna ny tompon'ny cryptocurrency. Tsy azo atao ny miantoka ny renivohitra na mahazo onitra noho ny fahaverezany. Noho izany, ny fisorohana ny fanafihana swap dia mora kokoa noho ny fiatrehana ny vokany. Ny fomba mazava indrindra dia ny fampiasana "antony faharoa" azo antoka kokoa ho an'ny 2FA.
Tsy ny swap SIM ihany no olana amin'ny 2FA amin'ny alàlan'ny SMS
Ny kaody fanamafisana amin'ny SMS dia tsy azo antoka ihany koa amin'ny lafiny teknika. Ny hafatra dia azo sakanana noho ny vulnerability tsy voafehy ao amin'ny Signaling System 7 (SS7). 2FA amin'ny SMS dia ekena amin'ny fomba ofisialy ho tsy azo antoka (ny US National Institute of Standards and Technology dia nilaza izany tao amin'ny ).
Mandritra izany fotoana izany, ny fisian'ny 2FA matetika dia manome ny mpampiasa fahatsapana fiarovana diso, ary misafidy tenimiafina tsotra kokoa izy. Noho izany, tsy manasarotra ny fanamarinana toy izany, fa manamora ny fidirana amin'ny kaonty ny mpanafika.
Ary matetika ny SMS dia tonga miaraka amin'ny fahatarana lava na tsy tonga mihitsy.
Fomba 2FA hafa
Mazava ho azy fa tsy nifandona tamin'ny finday sy SMS ny hazavana. Misy fomba hafa amin'ny 2FA. Ohatra, kaody TAN indray mandeha: fomba voalohany, fa miasa - mbola ampiasaina any amin'ny banky sasany. Misy rafitra mampiasa angona biometrika: dian-tanana, scan retinal. Safidy iray hafa izay toa marimaritra iraisana amin'ny lafiny mora, azo itokisana ary vidiny dia fampiharana manokana ho an'ny 2FA: RSA Token, Google Authenticator. Misy ihany koa ny fanalahidy ara-batana sy ny fomba hafa.
Raha ny teoria dia toa mitombina sy azo itokisana ny zava-drehetra. Saingy amin'ny fampiharana, ny vahaolana 2FA maoderina dia manana olana, ary noho izany dia tsy mitovy amin'ny andrasana ny zava-misy.
Araka ny , ny fampiasana ny 2FA dia fanelingelenana amin'ny ankapobeny, ary ny lazan'ny 2FA amin'ny alàlan'ny SMS dia hazavaina amin'ny "fahasahiranana kely kokoa raha oharina amin'ny fomba hafa" - ny fahazoana kaody indray mandeha dia takatry ny mpampiasa.
Ireo mpampiasa dia mampifandray fomba 2FA maro amin'ny tahotra sao ho very ny fidirana. Ny fanalahidy ara-batana na ny lisitry ny tenimiafina TAN dia mety ho very na angalarina. Izaho manokana dia nanana traikefa ratsy tamin'ny Google Authenticator. Simba ny findaiko voalohany niaraka tamin'ity fampiharana ity - mankasitraka ny ezaka nataoko tamin'ny famerenana ny fidirana amin'ny kaontiko. Olana iray hafa ny fifindrana fitaovana vaovao. Google Authenticator dia tsy manana safidy fanondranana noho ny antony fiarovana (raha azo aondrana ny fanalahidy, inona no fiarovana?). Indray mandeha aho no nitondra ny lakile tamin'ny tanana, ary avy eo dia nanapa-kevitra aho fa mora kokoa ny mamela ny smartphone taloha ao anaty boaty eo amin'ny talantalana.
Ny fomba 2FA dia tokony:
- Azo antoka - ianao ihany fa tsy mpanafika no tokony hiditra amin'ny kaontinao
- Azo itokisana - afaka miditra amin'ny kaontinao ianao isaky ny mila izany
- Mora sy azo idirana - mazava ny fampiasana 2FA ary mitaky fotoana kely
- mora vidy
Mino izahay fa ny blockchain no vahaolana mety.
Ampiasao ny 2FA amin'ny blockchain
Ho an'ny mpampiasa, ny 2FA amin'ny blockchain dia mitovy amin'ny fandraisana kaody indray mandeha amin'ny SMS. Ny hany maha samy hafa dia ny fantsona fanaterana. Ny fomba hahazoana kaody 2FA dia miankina amin'ny zavatra atolotry ny blockchain. Ao amin'ny tetikasanay (ao amin'ny mombamomba ahy ny fampahalalana) ity dia fampiharana amin'ny Internet, Tor, iOS, Android, Linux, Windows, MacOS.
Ny serivisy dia mamorona kaody indray mandeha ary mandefa izany any amin'ny iraka amin'ny blockchain. Avy eo dia araho ny mahazatra: miditra ny kaody voaray ao amin'ny serivisy serivisy ny mpampiasa ary miditra.
Ilay lahatsoratra Nanoratra aho fa ny blockchain dia miantoka ny fiarovana sy ny fiainana manokana amin'ny fampitana hafatra. Momba ny resaka fandefasana kaody 2FA, hanasongadinako:
- Kitiho iray raha hamorona kaonty - tsy misy finday na mailaka.
- Ny hafatra rehetra misy kaody 2FA dia misy encryption End-to-End curve25519xsalsa20poly1305.
- Ny fanafihana MITM dia voahilika - ny hafatra rehetra misy ny kaody 2FA dia fifampiraharahana amin'ny blockchain ary nosoniavin'i Ed25519 EdDSA.
- Ny hafatra miaraka amin'ny kaody 2FA dia miafara amin'ny sakanany manokana. Tsy azo ahitsy ny filaharan'ny blocs sy ny fe-potoana, ary noho izany ny filaharan'ny hafatra.
- Tsy misy rafitra foibe manamarina ny "fahamarinan'ny" hafatra. Izany dia atao amin'ny alàlan'ny rafitra node mizara mifototra amin'ny marimaritra iraisana, ary an'ny mpampiasa izany.
- Tsy azo vonoina - tsy azo sakanana ny kaonty ary tsy azo fafana ny hafatra.
- Midira amin'ny kaody 2FA amin'ny fitaovana rehetra amin'ny fotoana rehetra.
- Fanamafisana ny fandefasana hafatra miaraka amin'ny kaody 2FA. Ny serivisy mandefa ny tenimiafina indray mandeha dia mahafantatra tsara fa efa natolotra izany. Tsy misy bokotra "Alefaso indray".
Raha ampitahaina amin'ny fomba 2FA hafa dia nanao latabatra aho:
Ny mpampiasa dia mahazo kaonty ao amin'ny messenger blockchain mba hahazoana kaody ao anatin'ny segondra iray - fehezanteny iray ihany no ampiasaina hidirana. Noho izany, ny fomba fampiharana dia mety tsy mitovy: afaka mampiasa kaonty iray ianao handraisana kaody ho an'ny serivisy rehetra, na azonao atao ny mamorona kaonty manokana ho an'ny serivisy tsirairay.
Misy ihany koa ny tsy fahatomombanana - ny kaonty dia tsy maintsy manana transakta iray farafahakeliny. Mba hahafahan'ny mpampiasa mahazo hafatra voafono miaraka amin'ny kaody, mila mahafantatra ny fanalahidin'ny daholobe ianao, ary miseho ao amin'ny blockchain izany raha tsy amin'ny fifampiraharahana voalohany. Toy izao no fomba nahafahan'izy ireo niala tamin'izany: nomenay fahafahana hahazo marika maimaim-poana ao amin'ny poketrany izy ireo. Na izany aza, ny vahaolana tsara kokoa dia ny manonona ny kaonty ho fanalahidin'ny daholobe. (Ho fampitahana, manana ny laharan'ny kaonty izahay U1467838112172792705 dia avy amin'ny fanalahidin'ny daholobe cc1ca549413b942029c4742a6e6ed69767c325f8d989f7e4b71ad82a164c2ada. Ho an'ny iraka dia mety kokoa sy azo vakiana kokoa izany, fa ho an'ny rafitra fandefasana kaody 2FA dia fetra izany). Heveriko fa amin'ny hoavy dia hisy olona handray fanapahan-kevitra toy izany ary hamindra ny "Convenience and Accessibility" mankany amin'ny faritra maitso.
Ny vidin'ny fandefasana kaody 2FA dia tena ambany - 0.001 ADM, ankehitriny dia 0.00001 USD. Averina indray, azonao atao ny mampiakatra ny blockchain anao ary manao ny vidiny ho aotra.
Ahoana ny fampifandraisana ny 2FA amin'ny blockchain amin'ny serivisinao
Manantena aho fa afaka nahaliana mpamaky vitsivitsy aho hanampy ny fahazoan-dàlana blockchain amin'ny serivisy.
Holazaiko aminao ny fomba hanaovana izany amin'ny fampiasana ny messenger ho ohatra, ary amin'ny analogy dia azonao atao ny mampiasa blockchain hafa. Ao amin'ny app demo 2FA dia mampiasa postgresql10 izahay hitahiry ny mombamomba ny kaonty.
Dingana fifandraisana:
- Mamorona kaonty amin'ny blockchain izay handefasanao kaody 2FA. Hahazo fehezanteny ianao, izay ampiasaina ho fanalahidin'ny tena manokana hanodinana hafatra misy kaody sy hanasonia ny fifampiraharahana.
- Manampia script amin'ny mpizara anao hamorona kaody 2FA. Raha efa mampiasa fomba 2FA hafa ianao miaraka amin'ny fandefasana tenimiafina indray mandeha dia efa nahavita ity dingana ity ianao.
- Manampia script amin'ny servero handefasana kaody amin'ny mpampiasa ao amin'ny messenger blockchain.
- Mamorona interface tsara ho an'ny fandefasana sy fampidirana kaody 2FA. Raha efa mampiasa fomba 2FA hafa ianao miaraka amin'ny fandefasana tenimiafina indray mandeha dia efa nahavita ity dingana ity ianao.
1 Famoronana kaonty
Ny famoronana kaonty ao amin'ny blockchain dia midika hoe mamorona fanalahidy manokana, fanalahidin'ny daholobe ary adiresin'ny kaonty nalaina.
Voalohany, ny fehezanteny BIP39 dia novokarina, ary ny SHA-256 hash dia kajy avy amin'izany. Ny hash dia ampiasaina hamoronana ny fanalahidy manokana ks sy ny fanalahidin'ny daholobe kp. Avy amin'ny fanalahidin'ny daholobe, mampiasa ny SHA-256 mitovy amin'ny inversion, dia mahazo ny adiresy ao amin'ny blockchain.
Raha te-handefa kaody 2FA ianao isaky ny avy amina kaonty vaovao, dia mila ampiana amin'ny mpizara ny kaody famoronana kaonty:
import Mnemonic from 'bitcore-mnemonic'
this.passphrase = new Mnemonic(Mnemonic.Words.ENGLISH).toString()
…
import * as bip39 from 'bip39'
import crypto from 'crypto'
adamant.createPassphraseHash = function (passphrase) {
const seedHex = bip39.mnemonicToSeedSync(passphrase).toString('hex')
return crypto.createHash('sha256').update(seedHex, 'hex').digest()
}
…
import sodium from 'sodium-browserify-tweetnacl'
adamant.makeKeypair = function (hash) {
var keypair = sodium.crypto_sign_seed_keypair(hash)
return {
publicKey: keypair.publicKey,
privateKey: keypair.secretKey
}
}
…
import crypto from 'crypto'
adamant.getAddressFromPublicKey = function (publicKey) {
const publicKeyHash = crypto.createHash('sha256').update(publicKey, 'hex').digest()
const temp = Buffer.alloc(8)
for (var i = 0; i < 8; i++) {
temp[i] = publicKeyHash[7 - i]
}
return 'U' + bignum.fromBuffer(temp).toString()
}Tao amin'ny fampiharana demo dia nanatsotra izany izahay - namorona kaonty iray tao amin'ny rindranasa web izahay, ary nandefa kaody avy aminy. Amin'ny ankamaroan'ny tranga dia mety kokoa ho an'ny mpampiasa izany: fantany fa ny serivisy dia mandefa kaody 2FA avy amin'ny kaonty manokana ary afaka manonona azy io.
2 Mamorona kaody 2FA
Ny kaody 2FA dia tsy maintsy amboarina ho an'ny fidirana mpampiasa tsirairay. Mampiasa ny tranomboky izahay , fa afaka misafidy iray hafa ianao.
const hotp = speakeasy.hotp({
counter,
secret: account.seSecretAscii,
});
Fanamarinana ny fahamarinan'ny kaody 2FA nampidirin'ny mpampiasa:
se2faVerified = speakeasy.hotp.verify({
counter: this.seCounter,
secret: this.seSecretAscii,
token: hotp,
});
3 Mandefa kaody 2FA
Mba handefasana kaody 2FA dia azonao atao ny mampiasa ny blockchain node API, ny JS API library, na ny console. Amin'ity ohatra ity, mampiasa ny console izahay - ity no Command Line Interface, fitaovana iray manamora ny fifandraisana amin'ny blockchain. Raha handefa hafatra misy kaody 2FA ianao dia mila mampiasa ny baiko send message fampiononana.
const util = require('util');
const exec = util.promisify(require('child_process').exec);
…
const command = `adm send message ${adamantAddress} "2FA code: ${hotp}"`;
let { error, stdout, stderr } = await exec(command);
Ny fomba hafa handefasana hafatra dia ny fampiasana ny fomba send ao amin'ny tranomboky JS API.
4 User interface tsara
Mila omena safidy ny mpampiasa hampiditra kaody 2FA, azo atao amin'ny fomba samihafa izany arakaraka ny sehatra fampiharana anao. Amin'ny ohatra ataontsika dia Vue izany.
Ny kaody loharano ho an'ny rindranasa demo authentication roa-factor dia azo jerena ao . Misy rohy ao amin'ny Readme mankany amin'ny demo mivantana hanandrana azy.
Source: www.habr.com