Closed2021/07/21にクローズ9

どうしてSMSでMFAはダメだと言われているのか

サービス提供側への情報としては、米国立標準技術研究所（NIST）の認証に関するガイドライン「NIST Special Publication 800-63B」の策定において、SMS認証について議論され、表現が変更された経緯があります。

草稿の時点では「非推奨」とされていたSMS認証は、決定稿公開時には「条件付き」（なら使用しても良い）という表現になりました。その条件を簡単に書くと、「他の認証方式と併せて利用すること」「危険性について評価し、その結果を利用者に公表すること」「代替の方法を用意しておくこと」です。

SMSインターセプトについて

悪意のあるアプリにSMS読み取り許可を出してしまって、盗み見られる
ネットワークが盗聴される
設定によってSMSはスマホがロックされていても表示されるので、それを盗み見られる

悪意のあるアプリにSMS読み取り許可を出してしまって、盗み見られる
ネットワークが盗聴される

SIMハイジャッキング、SIMジャッキング、SIMポーティングについて

キャリアのカスタマーサービスに対するソーシャルエンジニアリングで電話番号を移管したSIMを手に入れてしまう

かとりょー

ちょっと違うけど、配信者がスマホの画面をライブ配信している最中に下記の様な攻撃が発生したみたい。
・パスワードリセット要求を送る
・SMSが配信者のスマホに届き通知される
・攻撃者が配信を確認して即座に入力してパスワード変更
・アカウント乗っ取り

これありましたね・・・
公開されてないことを前提に色々考えられてるのが、やっぱり公開される、となるとSMSに限らずいろいろ考え直す必要があって大変そうです

配送業者のふりして乗っ取るやつ

SIMスワップ、日本でもあるんだな

まとめ

SIM スワップ

ソーシャルエンジニアリングでキャリアに攻撃して、勝手に SIM を移管したりして他人の電話番号を自分の SIM で利用できるようにしちゃう

事例
- https://nextmoney.jp/?p=48109#:~:text=2018年1月から,警告に踏み切っている。
日本の事例
- https://news.yahoo.co.jp/articles/e32e2a6a3e1e5acb4289a4ddc2cb056149328817
  - 勝手に MNP された
実際にやってみよう
- https://www.welivesecurity.com/2020/01/13/major-us-wireless-carriers-vulnerable-sim-swap-scams/
- https://www.issms2fasecure.com/assets/sim_swaps-01-10-2020.pdf
Auth0
- https://auth0.com/blog/why-sms-multi-factor-still-matters/

eSIM

SMSインターセプト

なんらかの方法で SMS メッセージを取得しちゃう

悪意のあるアプリに SMSへのアクセス権限を許可
ネットワーク越し
- 事例
  - https://www.techtarget.com/whatis/definition/SS7-attack
  - 他人宛の SMS を自分宛てにリダイレクトする、みたいなことができるらしい
    - https://thehackernews.com/2017/05/ss7-vulnerability-bank-hacking.html
  - 事例
    - https://gigazine.net/news/20190201-ss7-attack/
画面越し
- ロックしたまま見える

画面配信越しのコード取得

電話番号を知っている人によるソーシャルエンジニアリング

800-63B

Lookup SIM Swap

SIM を交換したタイミングがわかる

このスクラップは2021/07/21にクローズされました