繞過短信雙因子身份驗(yàn)證的六種方法
短消息/短信(SMS)服務(wù)誕生于1992年，第一條短信內(nèi)容是 “圣誕節(jié)快樂( Merry Christmas )”。
盡管缺點(diǎn)一大堆：沒有已讀回執(zhí)，有字?jǐn)?shù)限制，而且依賴手機(jī)號碼等等;但短信真的已經(jīng)伴隨我們度過了27年的時(shí)光。世界上很多人都已經(jīng)遷移到了更好、更安全的消息平臺，比如iMessage、WhatsApp和有望很快推出的融合通信( RCS：Rich Communication Suite )。
短信由于其無可爭議的泛在性而沿用至今，雖然微信等即時(shí)通訊軟件幾乎取代了短信的溝通方式，但在中國商業(yè)市場上，業(yè)務(wù)級的短信收入這兩年反而有不斷增長的趨勢。這主要是因?yàn)?，短信做為雙因子認(rèn)證的便易性。
令人擔(dān)憂的是，短信的安全性似乎每天都在下降。盡管美國國家技術(shù)與標(biāo)準(zhǔn)局(NIST)在2016年時(shí)就建議不采用短信作為身份驗(yàn)證因子，但很多網(wǎng)站和移動應(yīng)用仍要求短信形式的第二身份驗(yàn)證因子。短信的不安全性眾所周知，所以關(guān)于短信作為身份驗(yàn)證系統(tǒng)的討論，倒是更多落腳在到底什么技術(shù)能夠替代它上。
繞過短信驗(yàn)證的方法多種多樣，不用細(xì)想就能舉出來一堆。以下這些是最常見的：
1. 手機(jī)號碼轉(zhuǎn)移
手機(jī)號轉(zhuǎn)網(wǎng)相對容易的國家也就更容易發(fā)生雙因子身份驗(yàn)證(2FA)繞過攻擊。澳大利亞就是此類攻擊的主要早期狩獵場。攻擊者收集到目標(biāo)的憑證后便可以研究受害者的手機(jī)號碼，給運(yùn)營商打個電話，就能將該號碼分配到攻擊者控制之下的手機(jī)上。至此，所有的2FA驗(yàn)證碼可被攻擊者截獲，而受害者往往毫無所覺。等他們第二天醒來的時(shí)候才發(fā)現(xiàn)自己的手機(jī)已停止服務(wù)，而在申請找回號碼的一周里，銀行賬戶的錢已經(jīng)被攻擊者取走了。
2. 移動運(yùn)營商端攔截
這是去年爆發(fā)的一種新型攻擊方式。攻擊者通過移動運(yùn)營商的客戶門戶來獲取2FA驗(yàn)證碼。如果某人太過懶惰，電子郵件和移動賬戶都重復(fù)使用相同的密碼，攻擊者只需要登錄用戶的移動賬戶，在存儲的短信當(dāng)中查找，便能獲取到2FA驗(yàn)證碼。然后就可以重置銀行口令，大搖大擺地清空用戶的賬戶了。
3. 惡意軟件截獲
至少自2014年起，便有定制的惡意軟件可以感染手機(jī)并截獲基于短信的2FA驗(yàn)證碼。有時(shí)候這種惡意軟件是銀行木馬的一部分。其他情況下，該惡意軟件僅僅是轉(zhuǎn)發(fā)2FA驗(yàn)證碼給攻擊者。安卓生態(tài)系統(tǒng)中該問題尤其嚴(yán)重，但蘋果系統(tǒng)中幾乎沒有見到過。
4. 遺失手機(jī)重置密碼
現(xiàn)代社會，丟手機(jī)換號碼就跟糖尿病一樣常見。所以，使用短信身份驗(yàn)證系統(tǒng)的所有服務(wù)都必須有可供用戶重置賬戶和更新手機(jī)號碼的恢復(fù)服務(wù)。如果攻擊者已經(jīng)入侵了電子郵件賬戶 (比如利用用戶重復(fù)使用密碼的漏洞)，那他們就可以重置、更新或者繞過該2FA系統(tǒng)。遺失手機(jī)和密碼重置頁面是如今最常見的自動化攻擊目標(biāo)。檢查一下忘記密碼頁面 (lost-password.html) 的訪問日志，你會驚訝于這個頁面被訪問的次數(shù)和訪問時(shí)間點(diǎn)。
5. 社會工程
針對特定組織或個人下手的攻擊者會使用社會工程方法來繞過2FA。舉個例子，攻擊者給你打電話，聲稱自己是你銀行的客戶經(jīng)理，正在進(jìn)行賬戶欺詐檢查，將給你發(fā)一個身份驗(yàn)證碼，讓你給他念一遍。然后，在你等待的期間，攻擊者就用你念給他的驗(yàn)證碼登錄了你的賬戶。攻擊者一邊謝謝你的合作，一邊眼都不眨地搬走你賬戶中每一分錢。
6. 中間人網(wǎng)站代理——Modlishka
一組研究人員創(chuàng)建了Modlishka網(wǎng)絡(luò)釣魚代理框架，向人們展示誘騙用戶輸入短信2FA驗(yàn)證碼有多容易。演示視頻堪稱對安全社區(qū)的當(dāng)頭一棒。
理論上，非短信2FA的攻擊界面要小得多(1-4點(diǎn))。社會工程方法(第5點(diǎn))則一直都很有效，這個問題是技術(shù)解決不了的。Modlishka框架(第6點(diǎn))顯示的最后一種攻擊方法最為令人擔(dān)憂。Modlishka能用于任意2FA系統(tǒng)，包括不基于短信的那些，因?yàn)橐坏┰L問了該網(wǎng)絡(luò)釣魚筐架，用戶會話就已經(jīng)被黑了。
但即便有上述多種繞過方法，雙因子身份驗(yàn)證和多因子身份驗(yàn)證依然是防御者工具箱中的必備。只不過，基于短信的2FA系統(tǒng)明顯老態(tài)龍鐘了。
- Modlishka：https://github.com/drk1wi/Modlishka
- Modlishka視頻地址：https://vimeo.com/308709275
【本文是51CTO專欄作者“李少鵬”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
