CertiK និយាយថា SMS គឺជាទម្រង់ 'ងាយរងគ្រោះបំផុត' នៃ 2FA កំពុងប្រើប្រាស់

ការប្រើប្រាស់សារ SMS ជាទម្រង់នៃការផ្ទៀងផ្ទាត់កត្តាពីរ តែងតែមានប្រជាប្រិយភាពក្នុងចំណោមអ្នកដែលចូលចិត្តគ្រីបតូ។ យ៉ាងណាមិញ អ្នកប្រើប្រាស់ជាច្រើនកំពុងធ្វើការជួញដូរគ្រីបតូ ឬគ្រប់គ្រងទំព័រសង្គមនៅលើទូរសព្ទរបស់ពួកគេរួចហើយ ដូច្នេះហេតុអ្វីបានជាមិនប្រើសារ SMS ដើម្បីផ្ទៀងផ្ទាត់នៅពេលចូលប្រើខ្លឹមសារហិរញ្ញវត្ថុដ៏រសើប?

ជាអកុសល ថ្មីៗនេះ អ្នកសិល្បៈបានចាប់បានក្នុងការកេងប្រវ័ញ្ចទ្រព្យសម្បត្តិដែលកប់នៅក្រោមស្រទាប់សុវត្ថិភាពនេះតាមរយៈការប្តូរស៊ីមកាត ឬដំណើរការនៃការប្តូរស៊ីមកាតរបស់បុគ្គលម្នាក់ទៅទូរស័ព្ទដែលមានអ្នកលួចចូល។ នៅក្នុងយុត្តាធិការជាច្រើននៅទូទាំងពិភពលោក បុគ្គលិកទូរគមនាគមន៍នឹងមិនស្នើសុំលេខសម្គាល់រដ្ឋាភិបាល អត្តសញ្ញាណមុខ ឬលេខសន្តិសុខសង្គម ដើម្បីដោះស្រាយសំណើរច្រកសាមញ្ញនោះទេ។

រួមបញ្ចូលគ្នាជាមួយនឹងការស្វែងរករហ័សសម្រាប់ព័ត៌មានផ្ទាល់ខ្លួនដែលមានជាសាធារណៈ (ជារឿងធម្មតាសម្រាប់អ្នកពាក់ព័ន្ធ Web3) និងសំណួរសង្គ្រោះដែលងាយស្មាន អ្នកក្លែងបន្លំអាចបញ្ជូនសារ SMS 2FA របស់គណនីមួយទៅទូរស័ព្ទរបស់ពួកគេយ៉ាងឆាប់រហ័ស ហើយចាប់ផ្តើមប្រើវាសម្រាប់មធ្យោបាយមិនសមរម្យ។ នៅដើមឆ្នាំនេះ អ្នកប្រើប្រាស់ crypto Youtube ជាច្រើនបានរងគ្រោះដោយសារការវាយប្រហារប្តូរស៊ីម ពួក Hacker បានបង្ហោះវីដេអូឆបោក នៅលើឆានែលរបស់ពួកគេជាមួយនឹងអត្ថបទដឹកនាំអ្នកមើលឱ្យផ្ញើប្រាក់ទៅកាន់កាបូបរបស់អ្នកលួចចូល។ នៅក្នុងខែមិថុនា គម្រោង Solana nonfungible token (NFT) Duppies មានគណនី Twitter ផ្លូវការរបស់ខ្លួនត្រូវបានរំលោភបំពានតាមរយៈ SIM-Swap ដោយមានពួក Hacker បង្ហោះតំណភ្ជាប់ទៅកាន់ mint បំបាំងកាយក្លែងក្លាយ។

ខ្ញុំទាក់ទងនឹងបញ្ហានេះ Cointelegraph បាននិយាយជាមួយ Jesse Leclere អ្នកជំនាញសន្តិសុខរបស់ CertiK ។ ត្រូវបានគេស្គាល់ថាជាអ្នកនាំមុខគេនៅក្នុងផ្នែកសុវត្ថិភាព blockchain CertiK បានជួយគម្រោងជាង 3,600 ធានាបាននូវទ្រព្យសម្បត្តិឌីជីថលដែលមានតម្លៃ 360 ពាន់លានដុល្លារ និងបានរកឃើញភាពងាយរងគ្រោះជាង 66,000 ចាប់តាំងពីឆ្នាំ 2018 ។ នេះជាអ្វីដែល Leclere ត្រូវនិយាយ៖

“SMS 2FA គឺប្រសើរជាងគ្មានអ្វីសោះ ប៉ុន្តែវាគឺជាទម្រង់ដែលងាយរងគ្រោះបំផុតនៃ 2FA ដែលកំពុងប្រើប្រាស់នាពេលបច្ចុប្បន្ន។ ភាពទាក់ទាញរបស់វាកើតចេញពីភាពងាយស្រួលនៃការប្រើប្រាស់របស់វា៖ មនុស្សភាគច្រើនគឺនៅលើទូរស័ព្ទរបស់ពួកគេ ឬមានវានៅជិតដៃនៅពេលពួកគេចូលប្រព័ន្ធអនឡាញ។ ប៉ុន្តែភាពងាយរងគ្រោះរបស់វាចំពោះការផ្លាស់ប្តូរស៊ីមកាតមិនអាចត្រូវបានគេប៉ាន់ស្មានបានឡើយ។

Leclerc បានពន្យល់ថាកម្មវិធីផ្ទៀងផ្ទាត់ជាក់លាក់ដូចជា Google Authenticator, Authy ឬ Duo ផ្តល់នូវភាពងាយស្រួលស្ទើរតែទាំងអស់នៃ SMS 2FA ខណៈពេលដែលដកចេញនូវហានិភ័យនៃការប្តូរស៊ីម។ នៅពេលត្រូវបានសួរថាតើកាតនិម្មិត ឬ eSIM អាចការពារហានិភ័យនៃការវាយប្រហារក្លែងបន្លំដែលទាក់ទងនឹង SIM-swap ដែរឬទេ សម្រាប់ Leclerc ចម្លើយគឺច្បាស់ណាស់៖

“គេត្រូវចាំថា ការវាយប្រហារស៊ីម-ស្វប ពឹងផ្អែកលើការក្លែងបន្លំអត្តសញ្ញាណ និងវិស្វកម្មសង្គម។ ប្រសិនបើតួអង្គអាក្រក់អាចបោកបញ្ឆោតបុគ្គលិកនៅក្រុមហ៊ុនទូរគមនាគមន៍ឱ្យគិតថាពួកគេជាម្ចាស់ស្របច្បាប់នៃលេខដែលភ្ជាប់ជាមួយស៊ីមរូបវ័ន្ត ពួកគេអាចធ្វើដូច្នេះសម្រាប់ eSIM ផងដែរ។

ទោះបីជាវាអាចធ្វើទៅបានដើម្បីរារាំងការវាយប្រហារបែបនេះដោយការចាក់សោស៊ីមកាតទៅទូរស័ព្ទរបស់អ្នក (ក្រុមហ៊ុនទូរគមនាគមន៍ក៏អាចដោះសោទូរស័ព្ទបាន) យ៉ាងណាក៏ដោយ Leclere ចង្អុលបង្ហាញស្តង់ដារមាសនៃការប្រើប្រាស់សោសុវត្ថិភាព។ លោក Leclere ពន្យល់ថា "គ្រាប់ចុចទាំងនេះដោតចូលទៅក្នុងរន្ធ USB របស់កុំព្យូទ័ររបស់អ្នក ហើយមួយចំនួនត្រូវបានបើកការទំនាក់ទំនងនៅជិតវាល (NFC) សម្រាប់ការប្រើប្រាស់កាន់តែងាយស្រួលជាមួយឧបករណ៍ចល័ត" ។ "អ្នកវាយប្រហារត្រូវមិនត្រឹមតែស្គាល់ពាក្យសម្ងាត់របស់អ្នកប៉ុណ្ណោះទេ ប៉ុន្តែត្រូវកាន់កាប់សោនេះដោយរាងកាយ ដើម្បីចូលទៅក្នុងគណនីរបស់អ្នក។"

Leclere បានចង្អុលបង្ហាញថាបន្ទាប់ពីការបញ្ជាឱ្យប្រើប្រាស់សោសុវត្ថិភាពសម្រាប់បុគ្គលិកក្នុងឆ្នាំ 2017 ក្រុមហ៊ុន Google បានជួបប្រទះនូវការវាយប្រហារដោយបន្លំដោយជោគជ័យសូន្យ។ “ទោះជាយ៉ាងណាក៏ដោយ ពួកវាមានប្រសិទ្ធភាពខ្លាំង ដែលប្រសិនបើអ្នកបាត់បង់សោមួយដែលត្រូវបានភ្ជាប់ជាមួយគណនីរបស់អ្នក អ្នកទំនងជាមិនអាចចូលប្រើវាវិញបានទេ។ ការរក្សាសោច្រើនក្នុងទីតាំងសុវត្ថិភាពគឺសំខាន់ណាស់»។

ជាចុងក្រោយ លោក Leclere បាននិយាយថា បន្ថែមពីលើការប្រើប្រាស់កម្មវិធីផ្ទៀងផ្ទាត់ ឬសោសុវត្ថិភាព កម្មវិធីគ្រប់គ្រងពាក្យសម្ងាត់ល្អ ធ្វើឱ្យមានភាពងាយស្រួលក្នុងការបង្កើតពាក្យសម្ងាត់ខ្លាំងដោយមិនចាំបាច់ប្រើពួកវាឡើងវិញនៅលើគេហទំព័រជាច្រើន។ លោកបានបញ្ជាក់ថា៖ «ពាក្យសម្ងាត់ដ៏ខ្លាំង និងពិសេសដែលផ្គូផ្គងជាមួយនឹងការមិនមែន SMS 2FA គឺជាទម្រង់សុវត្ថិភាពគណនីដ៏ល្អបំផុត»។