SMS-кодам пора умирать
Девять с хвостиком лет прошло с того момента как в России взламывали мессенджер Telegram и с помощью SMS. Западные эксперты предупреждали, что текстовые сообщения скоро в принципе перестанут использоваться в двухфакторной аутентификации. Только вот воз и ныне там. SMS-коды не исчезли, а стали широко применяться повсеместно. У меня складывается впечатление, что в банках, IT-компаниях и т.д. в сфере дистанционных сервисов работают клинические идиоты - выпускники ПНИ, которые то ли диплом купили, то ли их взяли туда по блату. Хотя место им явно в дурке, судя по их интеллекту. Я расскажу, почему пришла пора расставаться с SMS-сообщениями.
SMS как ключ под ковриком
В конце апреля 2016 года были взломаны Telegram-аккаунты российских оппозиционных активистов Олега Козловского и Георгия Албурова. Взломщики не атаковали шифрование в лоб, они обнаружили уязвимость не в протоколе, не в мессенджере, а в том, что он для входа использовались SMS-коды. В качестве канала доставки секретных кодов для входа был выбран ничем и никак не защищённый SMS-канал. Атакующие лишь просто инициировали вход и перехватили SMS-коды. В этом процессе вполне мог быть зайдествован мобильный оператор. В ночь взлома Албурову и Козловскому отключали услугу по приёму SMS-сообщений, в результате чего на их смартфоны просто не пришли запрошенные пароли. Зато сообщеия пришли прямиком в лапы атакующим, и те с удовольствием ими воспользовались. Представители МТС тогда заявили, что "никаких целенаправленных действий по отключению услуг не производилось". Компания МТС тогда обслуживала упомянутых оппозиционеров. В компании развели руками, но не исключили вероятность "вирусной атаки". На этом текст у МТС кончился. Чтобы избежать таких ситуаций, представители Telegram рекомендовали устанавливать дополнительный пароль для входа в аккаунт. По мнеию техподдержки мессенджера в сочетании с SMS-кодами это должно обеспечить максимальную защиту от взлома. Рекомендую воспользоваться этой опцией у кого её нету.
Что не так с SMS
SMS широко используется в интернет-сервисах и интернет-банкинге как канал для доставки одноразовых паролей пользователям. Чаще всего применяется схема, когда сначала вводится постоянный пароль пользователя, а уже потом - одноразовый код, сгенерированный системой. Либо просто пользователь вводит номер телефона, а уже потом получает сообщение с одноразовым паролем. Этим до сих пор грешат "Госуслуги" и некоторые банки особенно в России. Хотя ещё в конце июля 2016 года Национальный институт стандартов и технологий США (NIST, подведомственен министерству торговли США) объявил о намерении запретить использование SMS-кодов в государственных системах. Частные эксперты и компании в США прислушались к рекомендациям института. В России же нет, хотя тогда ещё в Минкомсвязи РФ (ныне Минцифры РФ) говорили, что пора бы уходить от SMS-кодов. Вместо SMS предполагалось использовать более защищённые методы вроде приложений для смартфона, где на основании ключа, который пользователь вводит вручную или сканирует в виде QR-кода генерируются отноразовые коды по сложному алгоритму без всякой передачи данных. Смартфон выступает лишь носителем и доверенной средой, где всё это происходит.
Эксперты, поддержавшие решение NIST, отметили, что от SMS стоило избавиться уже давно. Только вот пользователи оказались не все готовы пожертвовать удобством ради безопасности, альтернативные методы оказались сложнее в обращении. Проблема в том, что SMS-сообщения применяются не только при двухфакторной аутентификации. Многие банки до сих пор позволяют управлять счётом с помощью текстовых сообщений. Это просто находка для злоумышленников. Вирусы для Android давно научились слать SMS в "Сбербанк", запрашивая данные о балансе привязанной к телефонному номеру карты. "Поймать" такой вирус не сложно. Выяснить есть ли на карте деньги можно по SMS - и перевести средства на свои счета тоже можно по SMS. Как видно SMS-каналу нельзя доверять не только свои аккаунты в онлайн-сервисах, но и банковские счета. Стоит помнить, что текстовые сообщения передаются и хранятся у оператора незашифрованными и в открытом виде. А значит, теоретически прочитать переписку могут не только представители спецслужб и злоумышленники, но и любой школьник с "пятёркой" по информатике. Для этого даже не обязательно иметь связи в компании-операторе или в МВД/ФСБ. Дело в том, что SMS - это "примочка" к сигнальному протоколу ОКС-7, он же SS7 в телефонной инфраструктуре, который открывает хакерам доступ к сервисам, где вход или подтверждение чего-либо идёт по SMS. А такое у подавляющего большинства представителей обитателей страны. Может кто из них и рады бы сменить способ, только вот банки и онлайн-сервисы не дают, активно навязывая SMS и диктуя свои условия.
Протокол общеканальной системы сигнализации № 7 был придуман в 1975 году компанией AT&T Inc и с тех пор он не модернизировался, не менялся. Был принят во всём мире как универсальный протокол сигнализации. Начиная с 2000-х годов трафик ОКС-7 "засунули" в IP-каналы, для удешевления междугородной и международной телефонной связи. Этим был сделан для хакеров настоящий подарочек. Это уже кардинально меняет дело в плане атак, сильно упрощая задачу.
SMS - это так же дорого. Несмотря на то, что мобильные операторы предлагают оптовые тарифы, включающие пакеты SMS по казалось бы низкой цене, только вот эта самая оптовая цена сейчас составляет от 2 рублей до 3,2 рублей. В пресс-службе ВТБ говорили и про то, что 1 сообщение может стоить и 6 рублей. Банки где ввели плату от 59 рублей до рекордных 199 рублей в месяц, где и вовсе рекомендуют переходить на бесплатные Push-сообщения. Только ПАО "АКБ АВАНГАРД" и ПАО "Промсвязьбанк" всё ещё предлагают карточки с одноразовыми кодами. Другие банки предпочитают практиковать мазохизм - плакать и платить, компенсируя часть затрат поборами с клиентов.
Как отказаться от SMS
Отказаться от небезопасных и дорогих SMS как способа доставки кодов не просто легко, а очень легко. Только вот идиоты из клиентских отделов интернет-сервисов и банков этого не хотят делать. В Сингапуре отказались от SMS-кодов, просто их запретив. Власти страны просто запретили использование одноразовых паролей (OTP), доставляемых по SMS, для входа в банковские личные кабинетв. Монетарное управление Сингапура (MAS) и Ассоциация банков Сингапура (ABS) просто решили и дали переходный период в три месяца. Людям теперь нужно скачать мобильные приложения-аутентификаторы, ввести код, на основе которого будут генерироваться пароли и всё. Никаких номеров телефона, никаких SMS. Только российские их коллеги из-за своей тупости не спешат этого делать. Хотя Банк ВТБ-24 (нвне присоединён к ВТБ) выдавал клиентам генератор паролей - штуковину похожую на калькулятор, Газпромбанк и вовсе выдавал OTP-токен. Вернуться к этим славным традициям не сложно.
Вместо заключения
Есть старая индейская мудрость: лошадь сдохла - слезь. Несмотря на возможные проблемы с удобством, от SMS-кодов пора уходить. Такое решение даст глобальный сдвиг в кибербезопасности и защите цифровых сервисов и банковских операций. Пример Сингапура должен стать примером для других стран особенно для России в области финансовых технологий и цифровой безопасности.