मेरे जीवन की सबसे महंगी गलती: सिम कार्ड पोर्ट पर हमले का विवरण

नमस्कार, हेब्र! शॉन कॉन्स द्वारा "मैं आपके जीवन का सबसे महंगा सबक: सिम पोर्ट हैक का विवरण" लेख का अनुवाद प्रस्तुत करता हूं।

पिछले बुधवार, मैं $ 100,000 से अधिक हार गया। "सिम कार्ड पोर्ट पर हमले" के परिणामस्वरूप 24 घंटों के भीतर पैसा वाष्पित हो गया, जिससे मेरा कॉइनबेस खाता साफ हो गया। तब से चार दिन बीत चुके हैं, और मैं तबाह हो गया हूँ। मुझे कोई भूख नहीं है; मैं सो नहीं सकता; मैं चिंता, विवेक और शर्म की भावनाओं से भर गया हूं।

यह मेरे जीवन का सबसे महंगा पाठ था, और मैं अधिक से अधिक लोगों के साथ सीखे गए अनुभवों और पाठों को साझा करना चाहता हूं। मेरा लक्ष्य इस प्रकार के हमलों के प्रति लोगों की जागरूकता बढ़ाना और आपको अपनी ऑनलाइन पहचान की सुरक्षा बढ़ाने के लिए प्रेरित करना है।

यह अभी भी बहुत नम है (मैंने अभी भी अपने परिवार को इस बारे में नहीं बताया है); कृपया इस पोस्ट में वर्णित भोले सुरक्षा प्रथाओं की एक निंदा छोड़ दें।

हमला विवरण

आप पूछ सकते हैं: "सिम कार्ड पोर्ट पर यह किस तरह का हमला है?" हमले का वर्णन करने के लिए, आइए पहले एक विशिष्ट ऑनलाइन पहचान देखें। नीचे दिए गए चार्ट से आपको सबसे अधिक परिचित होना चाहिए।



हम में से कई के पास एक प्राथमिक ईमेल पता है जो अन्य ऑनलाइन खातों की बड़ी राशि से जुड़ा है। हममें से कई लोगों के पास एक मोबाइल डिवाइस भी होता है, जिसका इस्तेमाल भूल गए ईमेल पासवर्ड को रिकवर करने में किया जा सकता है।

अधिकृत सिम पोर्ट

दूरसंचार ऑपरेटरों द्वारा ग्राहकों को दी जाने वाली सेवाओं में से एक सिम कार्ड को किसी अन्य डिवाइस में पोर्ट करने की क्षमता है। इससे ग्राहक अपने फोन नंबर को नए डिवाइस में स्थानांतरित करने का अनुरोध कर सकता है। ज्यादातर मामलों में, यह एक पूरी तरह से कानूनी प्रक्रिया है; ऐसा तब होता है जब हम नया फोन खरीदते हैं, ऑपरेटर को बदलते हैं, आदि।

सिम पोर्ट अटैक

हालाँकि, एक "सिम कार्ड पोर्ट पर हमला" एक दुर्भावनापूर्ण पोर्ट है जो एक हमलावर द्वारा अनधिकृत स्रोत से निर्मित किया गया था। हमलावर आपके सिम कार्ड को उसके द्वारा नियंत्रित फोन पर पोर्ट कर देगा। फिर हमलावर ईमेल खाते पर पासवर्ड रीसेट करने की प्रक्रिया शुरू करता है। एक पुष्टिकरण कोड आपके फोन नंबर पर भेजा जाता है और हमलावर द्वारा इंटरसेप्ट किया जाता है, क्योंकि वह अब आपके सिम कार्ड को नियंत्रित करता है। नीचे दिए गए आरेख पर कदम से हमले का पता चलता है।



जैसे ही हमलावर आपके ईमेल पते तक पहुंच प्राप्त करता है, वे सेवा से सेवा पर स्विच करना शुरू कर देते हैं, जहां आप इस ईमेल पते (बैंक, सोशल नेटवर्क, आदि) का उपयोग करते हैं। यदि हमलावर विशेष रूप से हानिकारक है, तो वह आपको अपने स्वयं के एक्सेस करने से रोक सकता है। खातों और पहुँच वापस करने के लिए शुल्क का अनुरोध करें।

आइए एक मिनट के लिए खुदाई करें और एक Google खाते से जुड़ी व्यक्तिगत जानकारी की मात्रा के बारे में सोचें:

• आपका पता, जन्म तिथि और अन्य व्यक्तिगत जानकारी जो आपको पहचानती है;
• संभावित रूप से आपके और / या आपके साथी की फ़ोटो को एक्सेस करना;
• कैलेंडर ईवेंट और छुट्टियों की तारीख तक पहुंच;
• व्यक्तिगत ईमेल, दस्तावेज़, खोज क्वेरी तक पहुंच;
• आपके व्यक्तिगत संपर्कों और उनकी व्यक्तिगत जानकारी, साथ ही साथ उनके दृष्टिकोण तक आपकी पहुंच;
• सभी ऑनलाइन सेवाओं तक पहुंच जहां आपके प्राथमिक ईमेल पते को प्रवेश के साधन के रूप में दर्शाया गया है।

घटनाओं का क्रम

यह समझने के लिए कि हमला कैसे होता है और इसके दायरे को देखने के लिए, आइए इस हमले के समय में ही हल करें। मैं यह बताना चाहता हूं कि हमले को कैसे अंजाम दिया गया था, इस समय मैं क्या अनुभव कर रहा था और इस तरह के लक्षणों की स्थिति में आप अपनी सुरक्षा के लिए क्या कर सकते हैं।

समय रेखा को चार भागों में बांटा गया है:

• मैंने क्या अनुभव किया: मेरे दृष्टिकोण से घटनाएँ कैसे हुईं - यदि आप ऐसा कुछ अनुभव करते हैं, तो आप सबसे अधिक हमले की संभावना रखते हैं।
• हमलावर ने क्या किया: हमलावर मेरे कॉइनबेस खाते तक पहुंच प्राप्त करने के लिए हमलावर का इस्तेमाल करता था।
• खतरे का स्तर: घटनाओं से जुड़ा हुआ महत्व।
• वांछित खतरा स्तर: घटनाओं के लिए मुझे जो महत्व देना होगा।

सबक सीखा और सिफारिशें कीं

यह मेरे जीवन का सबसे महंगा सबक था। मैंने 24 घंटे में अपनी पूंजी का एक महत्वपूर्ण हिस्सा खो दिया; अपूर्य। यहाँ कुछ युक्तियों की मदद से दूसरों को अपनी रक्षा करने में मदद मिलेगी:

• क्रिप्टोक्यूरेंसी के लिए एक भौतिक वॉलेट का उपयोग करें: जब भी आप लेन-देन पूरा नहीं करते हैं तो अपने क्रिप्टो शेयरों को कई हस्ताक्षरों के साथ एक भौतिक वॉलेट / ऑफ़लाइन स्टोरेज / वॉलेट में स्थानांतरित करें। एक्सचेंजों पर फंड न छोड़ें। मैंने कॉइनबेस को एक बैंक खाते के रूप में माना है, लेकिन हमले के मामले में आपके पास कोई रास्ता नहीं होगा। मैं इन जोखिमों के बारे में जानता था, लेकिन मैंने कभी नहीं सोचा था कि मेरे साथ ऐसा कुछ हो सकता है। मुझे बहुत पछतावा है कि मैंने अपनी क्रिप्ट की सुरक्षा सुनिश्चित करने के लिए अधिक गंभीर उपाय नहीं किए।
• एसएमएस पर आधारित दो-कारक प्रमाणीकरण पर्याप्त नहीं है: कोई फर्क नहीं पड़ता कि आप नेटवर्क पर सुरक्षा करना चाहते हैं, हार्डवेयर सुरक्षा पर स्विच करें (उदाहरण के लिए, कुछ भौतिक जो एक हमलावर को हमले शुरू करने के लिए प्राप्त करना होगा)। जबकि Google प्रमाणक या ऑटि आपके फ़ोन को एक प्रकार के हार्डवेयर संरक्षण में बदल सकता है, मैं आगे जाने की सलाह दूंगा । एक YubiKey प्राप्त करें जिसे आप शारीरिक रूप से नियंत्रित करते हैं और जिसे प्रतिस्थापित नहीं किया जा सकता है।
• अपने ऑनलाइन पदचिह्न को कम करें: व्यक्तिगत जानकारी को अनावश्यक रूप से साझा करने की इच्छा को दूर करें जो आपको पहचान सकती है (जन्म तिथि, स्थान, जियोडेटा के साथ फोटो, आदि) यह सभी प्रकार के सार्वजनिक डेटा भविष्य में एक हमले के मामले में आपके लिए एक चाल खेल सकते हैं। ।
• Google Voice 2FA: कुछ मामलों में, सेवा कमजोर एसएमएस संदेशों पर निर्भर होकर हार्डवेयर टू-फैक्टर प्रमाणीकरण का समर्थन नहीं कर सकती है। तब Google Voice में वर्चुअल फोन नंबर बनाना बेहतर होगा (जिसे पोर्ट नहीं किया जा सकता) और इसे टू-फैक्टर ऑथेंटिकेशन के लिए नंबर के रूप में इस्तेमाल करें। (अनुवादक का नोट: यह विधि केवल यूएसए में काम करती है)
• एक द्वितीयक ईमेल पता बनाएँ: सब कुछ एक पते से जोड़ने के बजाय, महत्वपूर्ण खातों (बैंक, सोशल नेटवर्क, क्रिप्टोक्यूरेंसी एक्सचेंजों ...) के लिए एक द्वितीयक ईमेल पता बनाएं। इस पते का उपयोग किसी और चीज़ के लिए न करें और इसे गुप्त रखें । इस पते को दो-कारक प्रमाणीकरण के साथ सुरक्षित रखना याद रखें।
• ऑफलाइन पासवर्ड मैनेजर: पासवर्ड मैनेजर का उपयोग करें। बेहतर अभी तक, पासवर्ड स्टोर जैसे ऑफ़लाइन पासवर्ड मैनेजर का उपयोग करें। इरविक के पास विभिन्न पासवर्ड प्रबंधकों के साथ-साथ अधिक तकनीकी रूप से प्रेमी के लिए सिफारिशों की उत्कृष्ट तुलना है ।

---

पाठक टिप्पणियों के लिए के रूप में ...

मेरी डिवाइस सुरक्षा प्रथाओं को देखते हुए, मैं शायद हैक होने के लायक हूं - मैं समझता हूं कि। यह आसान नहीं बनाता है, और निंदा केवल इतिहास का अर्थ मिटाती है, जिसमें निम्न शामिल हैं:

• दूसरों को बताएं कि खतरे में पड़ना कितना आसान है।
• अपने ऑनलाइन पहचान की सुरक्षा को प्राथमिकता देने के लिए आपको प्राप्त ज्ञान और सिफारिशों का उपयोग करें।

मैं छोटी, सरल चीजों के बारे में सोचना बंद नहीं कर सकता, जो मैं अपनी रक्षा के लिए कर सकता था। मेरा सिर "क्या अगर ..." के बारे में विचारों से भरा है

हालाँकि, ये विचार दो परस्पर विरोधी भावनाओं के साथ जुड़े हुए हैं - आलस्य और अस्तित्व के पूर्वाग्रह। मैंने अपनी ऑनलाइन सुरक्षा को कभी गंभीरता से नहीं लिया क्योंकि मैंने कभी हमले का अनुभव नहीं किया। और यद्यपि मैं अपने जोखिमों को समझता था, मैं अपनी संपत्ति की उचित कठोरता से रक्षा करने के लिए बहुत आलसी था।

मैं आपसे इन गलतियों से सीखने का आग्रह करता हूं।