Движете се за да обезбедите 2FA на блокчејнот

СМС пораките се најпопуларниот метод за двофакторна автентикација (2FA). Се користи од банки, електронски и крипто паричници, поштенски сандачиња и сите видови услуги; бројот на корисници на методот се приближува до 100%.

Јас сум огорчен на ова сценарио, бидејќи овој метод е небезбеден. Повторното доделување на број од една на друга SIM-картичка започна на почетокот на ерата на мобилни телефони - вака се враќа бројот кога ќе се изгуби SIM-картичката. „Специјалисти за кражба на дигитални пари“ сфатија дека опцијата „препишете ја SIM картичката“ може да се користи во измамнички шеми. На крајот на краиштата, оној што ја контролира SIM-картичката може да го контролира туѓото онлајн банкарство, електронските паричници, па дури и криптовалутата. И можете да го поседувате бројот на друго лице преку поткуп на вработен во телеком, користејќи измама или фалсификувани документи.

Откриени се илјадници епизоди на замена на СИМ, како што се нарекува оваа шема за измама. Размерите на катастрофата сугерираат дека светот наскоро ќе го напушти 2FA преку СМС. Но, тоа не се случува - во истражување тие велат дека не се корисниците кои го избираат методот 2FA, туку сопствениците на услуги.

Предлагаме користење на безбедниот метод 2FA со испорака на еднократни кодови преку блокчејнот и ќе ви кажеме како сопственикот на услугата може да го поврзе.

Бројот оди во милиони

Во 2019 година, измамата со замена на SIM се зголеми за 63% според лондонската полиција, а „просечната сметка“ на напаѓачот беше 4,000 GBP. Не најдов статистика во Русија, но претпоставувам дека тие се уште полоши.

Замената на SIM се користи за кражба на популарни сметки на Twitter, Instagram, Facebook, VK, банкарски сметки, а неодамна дури и криптовалути - пишува весникот „Тајмс“. според Биткоин претприемач Џоби Викс. Случаи од висок профил на кражба на криптовалути со замена на СИМ се појавуваат во печатот од 2016 година; 2019 година забележа вистински врв.

Во мај, американското обвинителство за источниот округ на Мичиген поднесе пријава девет млади луѓе на возраст меѓу 19 и 26 години: се верува дека се дел од хакерска банда наречена „Заедницата“. Бандата е обвинета за седум swap напади, како резултат на кои хакерите украле криптовалути во вредност од над 2,4 милиони долари. И во април, студентот од Калифорнија Џоел Ортиз доби 10 години затвор за замена на СИМ; неговото производство изнесуваше 7.5 милиони долари во криптовалути.

Фотографија на Џоел Ортиз на прес-конференција на универзитетот. Две години подоцна ќе биде приведен за сајбер измама.

Како работи SIM Swap

„Swap“ значи размена. Во сите такви шеми, криминалците го преземаат телефонскиот број на жртвата, обично преку повторно издавање на SIM-картичка, и го користат за ресетирање на лозинката. Типична замена на SIM-картичката во теорија изгледа вака:

1. Разузнавачка служба. Измамниците ги дознаваат личните податоци на жртвата: име и телефонски број. Тие можат да се најдат во отворени извори (социјални мрежи, пријатели) или да се добијат од соучесник - вработен во мобилен оператор.
2. Блокирање. SIM-картичката на жртвата е деактивирана; За да го направите ова, само јавете се во техничката поддршка на давателот, наведете го бројот и кажете дека телефонот е изгубен.
3. Снимајте, префрлете го бројот на вашата SIM-картичка. Обично тоа се прави и преку соучесник во телекомуникациската компанија или преку фалсификување документи.

Во реалниот живот работите се уште потешки. Напаѓачите избираат жртва и потоа секојдневно ја следат локацијата на телефонот - едно барање за добивање информации дека претплатникот се префрлил на роаминг чини 1-2 центи. Штом сопственикот на SIM картичката замина во странство, тие преговараат со менаџерот во продавницата за комуникации за издавање на нова SIM картичка. Тоа чини околу 50 долари (најдов информации - во различни земји и со различни оператори од 20 до 100 долари), а во најлош случај менаџерот ќе биде отпуштен - нема одговорност за ова.

Сега сите СМС ќе ги добиваат напаѓачите, а сопственикот на телефонот нема да може ништо да направи околу тоа - тој е во странство. И тогаш негативците добиваат пристап до сите сметки на жртвата и ги менуваат лозинките ако сакаат.

Шансите за враќање на украдениот имот

Банките понекогаш ги сместуваат жртвите на половина пат и ги повлекуваат трансферите од нивните сметки. Затоа, можно е да се вратат фиат парите дури и ако криминалецот не е пронајден. Но, со паричниците за криптовалути сè е покомплицирано - и технички, и законодавно. Досега, ниту една менувачница/паричник не платила компензација на жртвите на замена.

Ако жртвите сакаат да ги бранат своите пари на суд, тие го обвинуваат операторот: тој создал услови за кражба на пари од сметката. Токму тоа го направив Мајкл Турпин, кој загуби 224 милиони долари поради замена Тој сега ја тужи телекомуникациската компанија AT&T.

Досега, ниту една држава нема работни шеми за легална заштита на сопствениците на криптовалути. Невозможно е да го осигурате вашиот капитал или да добиете компензација за неговата загуба. Затоа, спречувањето на напад на размена е полесно отколку справувањето со неговите последици. Најочигледен начин е да се користи посигурен „втор фактор“ за 2FA.

Замената на SIM не е единствениот проблем со 2FA преку СМС

Кодовите за потврда во СМС се исто така небезбедни од техничка гледна точка. Пораките може да се пресретнат поради незакрпени пропусти во Сигнализираниот систем 7 (SS7). 2FA преку СМС е официјално признат како небезбеден (националниот институт за стандарди и технологија на САД го вели ова во својата Водич за дигитална автентикација).

Во исто време, присуството на 2FA често му дава на корисникот чувство на лажна безбедност, а тој избира поедноставна лозинка. Затоа, таквата автентикација не го отежнува, туку му олеснува на напаѓачот да добие пристап до сметката.

И често СМС-пораките пристигнуваат со долго задоцнување или воопшто не пристигнуваат.

Други 2FA методи

Се разбира, светлината не се спои на паметните телефони и СМС. Постојат и други методи на 2FA. На пример, еднократни ТАН-кодови: примитивен метод, но функционира - сè уште се користи во некои банки. Постојат системи кои користат биометриски податоци: отпечатоци од прсти, скенирање на ретина. Друга опција што изгледа како разумен компромис во однос на практичноста, сигурноста и цената се специјалните апликации за 2FA: RSA Token, Google Authenticator. Постојат и физички клучеви и други методи.

Во теорија, сè изгледа логично и сигурно. Но, во пракса, современите 2FA решенија имаат проблеми и поради нив реалноста се разликува од очекувањата.

Според истражување, употребата на 2FA е во принцип непријатност, а популарноста на 2FA преку СМС се објаснува со „помалку непријатности во споредба со другите методи“ - примањето еднократни кодови е разбирливо за корисникот.

Корисниците поврзуваат многу 2FA методи со стравот дека пристапот ќе биде изгубен. Физичкиот клуч или списокот со лозинки TAN може да се изгуби или украде. Јас лично имав лоши искуства со Google Authenticator. Мојот прв паметен телефон со оваа апликација се расипа - ценете ги моите напори за враќање на пристапот до моите сметки. Друг проблем е префрлањето на нов уред. Google Authenticator нема опција за извоз поради безбедносни причини (ако може да се извезат клучеви, каква безбедност има?). Еднаш ги носев клучевите рачно, а потоа решив дека е полесно да го оставам стариот паметен телефон во кутија на полица.

Методот 2FA треба да биде:

• Безбедна - само вие, а не напаѓачите треба да имате пристап до вашата сметка
• Сигурен - добивате пристап до вашата сметка секогаш кога ви треба
• Практично и достапно - користењето на 2FA е јасно и трае минимално време
• Евтини

Ние веруваме дека блокчејн е вистинското решение.

Користете 2FA на блокчејнот

За корисникот, 2FA кодот на блокчејнот е ист како примање еднократни кодови преку SMS. Единствената разлика е каналот за испорака. Методот за примање 2FA код зависи од понудата на блокчејнот. Во нашиот проект (информациите се во мојот профил), ова ги вклучува веб-апликацијата, Tor и iOS. Android, Linux, Windows, MacOS.

Услугата генерира еднократен код и го испраќа до гласникот на блокчејнот. Потоа следете ги класиците: корисникот го внесува примениот код во сервисниот интерфејс и се најавува.

Во статијата Како функционира децентрализираниот гласник на блокчејн? Напишав дека блокчејнот ја обезбедува безбедноста и приватноста на преносот на пораките. За прашањето за испраќање 2FA кодови, ќе истакнам:

• Еден клик за да креирате сметка - нема телефони или е-пошта.
• Сите пораки со 2FA кодови се шифрирани од крај до крај curve25519xsalsa20poly1305.
• Нападот MITM е исклучен - секоја порака со кодот 2FA е трансакција на блокчејнот и е потпишана од Ed25519 EdDSA.
• Пораката со 2FA кодот завршува во сопствен блок. Редоследот и временскиот печат на блоковите не може да се поправат, а со тоа и редоследот на пораките.
• Не постои централна структура што ја проверува „автентичноста“ на пораката. Ова го прави дистрибуиран систем на јазли заснован на консензус и е во сопственост на корисниците.
• Не може да се оневозможи - сметките не може да се блокираат и пораките не може да се избришат.
• Пристапете до 2FA кодови од кој било уред во секое време.
• Потврда за испорака на порака со 2FA код. Услугата што ја испраќа еднократната лозинка знае со сигурност дека е испорачана. Нема копчиња „Испрати повторно“.

За да се споредам со некои други методи 2FA, направив табела:

Корисникот добива сметка во блокчејн месинџерот за да прима кодови во секунда - се користи само лозинка за најавување. Затоа, методите на апликација може да бидат различни: можете да користите една сметка за да примате кодови за сите услуги или можете да креирате посебна сметка за секоја услуга.

Има и непријатност - сметката мора да има барем една трансакција. За да може корисникот да добие шифрирана порака со код, треба да го знаете неговиот јавен клуч, а тој се појавува во блокчејнот само со првата трансакција. Вака успеавме да се извлечеме од тоа: им дадовме можност да добиваат бесплатни токени во нивниот паричник. Сепак, подобро решение е сметката да се именува како јавен клуч. (За споредба, го имаме бројот на сметката U1467838112172792705 е дериват на јавниот клуч cc1ca549413b942029c4742a6e6ed69767c325f8d989f7e4b71ad82a164c2ada. За месинџерот ова е поудобно и почитливо, но за системот за испраќање 2FA кодови тоа е ограничување). Мислам дека во иднина некој ќе донесе таква одлука и ќе ја пресели „Погодност и пристапност“ во зелената зона.

Цената за испраќање 2FA код е навистина ниска - 0.001 ADM, сега е 0.00001 УСД. Повторно, можете да го подигнете вашиот блокчејн и да ја направите цената на нула.

Како да поврзете 2FA на блокчејн со вашата услуга

Се надевам дека успеав да заинтересирам неколку читатели да додадат овластување за блокчејн на нивните услуги.

Ќе ви кажам како да го направите ова користејќи го нашиот гласник како пример, а по аналогија можете да користите друг блокчејн. Во демо-апликацијата 2FA користиме postgresql10 за складирање на информации за сметката.

Фази на поврзување:

1. Направете сметка на блокчејнот од која ќе испратите 2FA кодови. Ќе добиете лозинка, која се користи како приватен клуч за шифрирање пораки со шифри и за потпишување трансакции.
2. Додајте скрипта на вашиот сервер за да генерирате 2FA кодови. Ако веќе користите кој било друг метод 2FA со еднократна испорака на лозинка, веќе сте го завршиле овој чекор.
3. Додајте скрипта на вашиот сервер за да испраќате кодови до корисникот во блокчејн месинџерот.
4. Направете кориснички интерфејс за испраќање и внесување 2FA код. Ако веќе користите кој било друг метод 2FA со еднократна испорака на лозинка, веќе сте го завршиле овој чекор.

1 Создавање сметка

Создавањето сметка во блокчејнот значи генерирање приватен клуч, јавен клуч и изведена адреса на сметката.

Прво, се генерира лозинката BIP39 и од неа се пресметува хашот SHA-256. Хешот се користи за генерирање на приватниот клуч ks и јавниот клуч kp. Од јавниот клуч, користејќи го истиот SHA-256 со инверзија, ја добиваме адресата во блокчејнот.

Ако сакате да испраќате 2FA кодови секој пат од нова сметка, кодот за создавање сметка ќе треба да се додаде на серверот:

import Mnemonic from 'bitcore-mnemonic'
this.passphrase = new Mnemonic(Mnemonic.Words.ENGLISH).toString()

…

import * as bip39 from 'bip39'
import crypto from 'crypto'

adamant.createPassphraseHash = function (passphrase) {
  const seedHex = bip39.mnemonicToSeedSync(passphrase).toString('hex')
  return crypto.createHash('sha256').update(seedHex, 'hex').digest()
}

…

import sodium from 'sodium-browserify-tweetnacl'

adamant.makeKeypair = function (hash) {
  var keypair = sodium.crypto_sign_seed_keypair(hash)
  return {
    publicKey: keypair.publicKey,
    privateKey: keypair.secretKey
  }
}

…

import crypto from 'crypto'

adamant.getAddressFromPublicKey = function (publicKey) {
  const publicKeyHash = crypto.createHash('sha256').update(publicKey, 'hex').digest()
  const temp = Buffer.alloc(8)
  for (var i = 0; i < 8; i++) {
    temp[i] = publicKeyHash[7 - i]
  }
  return 'U' + bignum.fromBuffer(temp).toString()
}

Во демо апликацијата ја поедноставивме - создадовме една сметка во веб апликацијата и испраќаме кодови од неа. Во повеќето случаи, ова е исто така поудобно за корисникот: тој знае дека услугата испраќа 2FA кодови од одредена сметка и може да ја именува.

2 Генерирање 2FA кодови

Мора да се генерира 2FA код за секое најавување на корисникот. Ја користиме библиотеката говорнички, но можете да изберете кој било друг.

const hotp = speakeasy.hotp({
  counter,
  secret: account.seSecretAscii,
});

Проверка на валидноста на кодот 2FA внесен од корисникот:

se2faVerified = speakeasy.hotp.verify({
  counter: this.seCounter,
  secret: this.seSecretAscii,
  token: hotp,
});

3 Испраќање 2FA код

За да поднесете 2FA код, можете да го користите API-то на блокчејн-јазолот, библиотеката JS API или конзолата. Во овој пример, ја користиме конзолата - ова е интерфејс на командната линија, алатка која ја поедноставува интеракцијата со блокчејнот. За да испратите порака со 2FA код, треба да ја користите командата send message конзоли.

const util = require('util');
const exec = util.promisify(require('child_process').exec);

…

const command = `adm send message ${adamantAddress} "2FA code: ${hotp}"`;
let { error, stdout, stderr } = await exec(command);

Алтернативен начин за испраќање пораки е да се користи методот send во библиотеката JS API.

4 Кориснички интерфејс

На корисникот треба да му се даде опција да внесе 2FA код, тоа може да се направи на различни начини во зависност од вашата платформа за апликација. Во нашиот пример ова е Vue.

Изворниот код за демо-апликацијата за двофакторна автентикација на блокчејн може да се гледа на GitHub. Има врска во Readme до демо во живо за да го пробате.

Извор: www.habr.com