Verifica telefonica via SMS: la minaccia nascosta alla sicurezza mobile

L'autenticazione a due fattori (2FA) è una misura di sicurezza essenziale per qualsiasi servizio a cui si accede. Esistono diverse identità - e una varietà di approcci per verificarle - che vengono utilizzate come secondo fattore di autenticazione. Per l'autenticazione degli accessi e delle transazioni sulle app mobili, la verifica basata su SMS è emersa come standard de-facto: si riceve un messaggio di testo con una OTP (one-time password), che conferma che si è il proprietario del telefono.
‍

Questo metodo di autenticazione mobile, tuttavia, non è così sicuro come si potrebbe pensare. Non solo un messaggio SMS può essere falsificato e provenire da un attore malintenzionato, ma può anche essere letto e intercettato da aggressori man-in-the-middle.

‍

L'SMS è vulnerabile per design

‍

Gli SMS si basano sul sistema SS7 (Signalling System 7), che consente a diverse reti telefoniche di comunicare tra loro, trasmettendo chiamate e messaggi di testo. Tuttavia, come protocollo, l'SMS funziona con il metodo "store-and-forward": i messaggi vengono replicati in molti luoghi.
‍

Gli SMS sono stati originariamente progettati per essere utilizzati per le comunicazioni da macchina a macchina, non per gli esseri umani, il che significa che mancano intrinsecamente della crittografia sicura necessaria per impedire ai malintenzionati di leggere informazioni riservate. Gli hacker Black-Hat possono - e hanno - infiltrarsi in questo sistema globale, consentendo loro di ascoltare le chiamate, leggere i messaggi SMS e tracciare la posizione di un telefono.
‍

Ciò significa che non solo le conversazioni private possono essere divulgate, ma gli hacker Black-Hat possono anche accedere alle informazioni 2FA attraverso questa rete, consentendo loro di accedere a nome dell'utente a qualsiasi numero di account per i quali è stato attivato l'SMS 2FA. Non si tratta solo di un'ipotesi teorica: in passato le violazioni delle reti mobili sono state all'origine di gravi falle nella sicurezza.
‍

Lo scambio di SIM è un'altra forma di accesso malintenzionato all'identità di un utente. Sebbene le carte SIM siano criptate in modo sicuro, i truffatori possono fornire informazioni su un obiettivo per convincere le società di telecomunicazioni che è stato scambiato con una nuova carta SIM, consentendo loro di appropriarsi del numero di telefono della vittima.
‍

‍

‍

Ci sono alternative?

‍

Sebbene molti, persino gli sviluppatori, considerino ancora la verifica telefonica basata su SMS come uno standard, esistono già metodi di autenticazione mobile alternativi. Alcune applicazioni e servizi richiedono invece un indirizzo e-mail, ma questo sarebbe un regresso, poiché la verifica basata sull'e-mail apre ancora di più la strada ad attori malintenzionati e a terze parti per intercettare o falsificare una password.
‍

Anche la scelta di un codice tramite segreteria telefonica è insicura, poiché la segreteria telefonica è protetta solo da un codice PIN, solitamente di quattro cifre, a cui i malintenzionati possono accedere con altrettanta facilità. Purtroppo, qualsiasi metodo di autenticazione basato su codici di accesso comporta un certo grado di rischio. Tuttavia, continuiamo a farne uso in molti aspetti della nostra vita, perché le app e i fornitori di servizi hanno bisogno di un modo automatico per verificare rapidamente l'identità di un utente - come individuo, piuttosto che come spambot - senza mettere a rischio la sua privacy.

Il 2FA mobile non deve necessariamente utilizzare un codice

‍

La 2FA non dovrebbe comportare l'attesa di un secondo codice a supporto della password. In realtà, la sicurezza moderna non dovrebbe nemmeno prevedere un nome utente e una password. Sembra difficile anche solo immaginare di provare la nostra identità alle app e ai servizi senza questi elementi fondamentali, ma poiché gli esperti di sicurezza hanno da tempo sottolineato le falle di questo sistema, sono stati sviluppati diversi metodi di verifica senza password, che verificano l'identità attraverso metodi più sofisticati e molto più difficili da ingannare.
‍

Tuttavia, il fattore che accomuna le soluzioni biometriche, hardware e basate su app è che tutte richiedono l'aggiunta di ulteriori passaggi al processo di autenticazione da parte dell'utente, sia che si tratti di portare con sé un dispositivo, sia che si tratti di armeggiare con un codice QR, sia che si tratti di affidare la propria identità biologica a un server, aggiungendo attrito e, in ultima analisi, riducendo l'esperienza dell'utente in modo semplice e snello.

‍

E se eliminassimo l'azione dell'utente dall'equazione?

‍