🧔 👶🏼 👉🏻 ब्लॉकचेन पर सुरक्षित 2FA पर जाएं 🗳️ 👩🏼‍🍳 👩🏻‍🔧

एसएमएस संदेश सबसे लोकप्रिय दो-कारक प्रमाणीकरण (2FA) विधि हैं। इसका उपयोग बैंकों, इलेक्ट्रॉनिक और क्रिप्टो-वॉलेट, मेलबॉक्स और सभी प्रकार की सेवाओं द्वारा किया जाता है; विधि के उपयोगकर्ताओं की संख्या 100% आ रही है ।

मेरे पास घटनाओं का ऐसा प्रकोप अपमानजनक है, क्योंकि यह तरीका असुरक्षित है। मोबाइल युग की शुरुआत में एक सिम कार्ड से दूसरे नंबर पर पुन: असाइन करें - इस तरह सिम खो जाने पर नंबर को पुनर्स्थापित किया जाता है। "डिजिटल मनी वीनिंग स्पेशलिस्ट्स" ने महसूस किया: धोखाधड़ी योजनाओं में "सिम कार्ड को अधिलेखित" विकल्प का उपयोग किया जा सकता है। आखिरकार, जो सिम कार्ड को नियंत्रित करता है वह अन्य लोगों के ऑनलाइन बैंकिंग, ई-वॉलेट और यहां तक कि क्रिप्टोकरेंसी का प्रबंधन कर सकता है। और आप धोखाधड़ी या नकली दस्तावेजों का उपयोग करके किसी दूरसंचार कर्मचारी को रिश्वत देकर दूसरे व्यक्ति का नंबर ले सकते हैं।

हजारों सिम स्वैप एपिसोड को उजागर किया गया है - यह वही है जिसे इस धोखाधड़ी योजना कहा जाता है। आपदा का पैमाना बताता है कि दुनिया जल्द ही एसएमएस के जरिए 2FA छोड़ देगी। लेकिन ऐसा नहीं होता है - अध्ययन का कहना है कि यह 2FA विधि का चयन करने वाले उपयोगकर्ता नहीं हैं, बल्कि सेवा के मालिक हैं।

हम ब्लॉकचेन के माध्यम से एक बार कोड के वितरण के साथ सुरक्षित 2FA पद्धति का उपयोग करने का सुझाव देते हैं, और हम आपको बताएंगे कि इसे सेवा स्वामी से कैसे जोड़ा जाए।

बिल लाखों में जाता है

2019 में, लंदन पुलिस के अनुसार, सिम स्वैप धोखाधड़ी में 63% की वृद्धि हुई, और हमलावर की "औसत जांच" 4,000 GBP थी। मुझे रूस में आंकड़े नहीं मिले, लेकिन मैं मानता हूं कि यह और भी बुरा है।

लोकप्रिय ट्विटर, इंस्टाग्राम, फेसबुक, वीके खातों, बैंक खातों को चुराने के लिए सिम स्वैपिंग का उपयोग किया जाता है, और हाल ही में क्रिप्टोकरेंसी के लिए मिला, टाइम्स अखबार ने बिटकॉइन उद्यमी जॉबी वीक्स से रिपोर्ट ली। सिम स्वैप की मदद से क्रिप्टोकरेंसी की चोरी के हाई-प्रोफाइल मामले 2016 से प्रेस में सामने आए हैं; 2019 को एक वास्तविक शिखर पर आया।

मई में, मिशिगन के पूर्वी जिले में अमेरिकी अभियोजकों ने 19 और 26 वर्ष के बीच के नौ युवाओं को आरोपित किया था : वे कथित तौर पर द कम्युनिटी नामक हैकर गिरोह के सदस्य थे। गिरोह पर सात स्वैप हमलों का आरोप है, जिसके परिणामस्वरूप हैकर्स ने $ 2.4 मिलियन से अधिक मूल्य की क्रिप्टोक्यूरेंसी को विनियोजित किया। और अप्रैल में, कैलिफोर्निया के एक छात्र, जोएल ऑर्टिज़, को सिम स्वैपिंग के लिए 10 साल की जेल हुई; क्रिप्टोकरेंसी में $ 7.5 मिलियन इसके शिकार बन गए।

यूनिवर्सिटी प्रेस कॉन्फ्रेंस में जोएल ऑर्टिज़ द्वारा फोटो। दो साल बाद, उसे साइबर धोखाधड़ी के लिए हिरासत में लिया जाएगा।

सिम स्वैप का सिद्धांत

अदला-बदली का अर्थ है विनिमय। ऐसी सभी योजनाओं में, अपराधी आमतौर पर एक सिम कार्ड को फिर से जारी करने के माध्यम से एक पीड़ित के फोन नंबर को असाइन करते हैं, और इसका उपयोग पासवर्ड रीसेट करने के लिए करते हैं। सिद्धांत में एक विशिष्ट सिम स्वैप इस तरह दिखता है:

अन्वेषण। जालसाज पीड़ित के व्यक्तिगत डेटा का पता लगाते हैं: नाम और फोन। वे खुले स्रोतों (सामाजिक नेटवर्क, दोस्तों) में पाए जा सकते हैं या एक साथी से प्राप्त कर सकते हैं - एक मोबाइल ऑपरेटर का कर्मचारी।
ताला। पीड़ित का सिम कार्ड निष्क्रिय है; ऐसा करने के लिए, बस प्रदाता के तकनीकी समर्थन को कॉल करें, संख्या की रिपोर्ट करें और कहें कि फोन खो गया है।
कैप्चर करें, अपने सिम कार्ड में नंबर ट्रांसफर करें। आमतौर पर यह टेलीकॉम कंपनी में एक साथी के माध्यम से या दस्तावेजों को फोर्ज करके भी किया जाता है।

वास्तविक जीवन में यह अभी भी अधिक गंभीर है। हमलावर एक शिकार का चयन करते हैं, और फिर दैनिक रूप से फोन के स्थान की निगरानी करते हैं - जानकारी के लिए एक अनुरोध जो ग्राहक ने रोमिंग लागत 1-2 सेंट पर स्विच किया है। जैसे ही सिम कार्ड का मालिक विदेश गया, वे संचार सैलून में प्रबंधक के साथ एक नया सिम कार्ड जारी करने के लिए सहमत हो गए। इसकी लागत लगभग $ 50 है (मुझे जानकारी मिली - विभिन्न देशों में और विभिन्न ऑपरेटरों से $ 20 से $ 100 तक), जबकि प्रबंधक को सबसे खराब स्थिति में निकाल दिया जाएगा - इसके लिए कोई जिम्मेदारी नहीं है।

अब सभी घुसपैठियों को सभी एसएमएस प्राप्त होंगे, और फोन का मालिक इसके बारे में कुछ भी करने में सक्षम नहीं होगा - वह विदेश में है। और फिर खलनायक पीड़ित के सभी खातों तक पहुंच प्राप्त करते हैं और, यदि वांछित है, तो पासवर्ड बदलें।

चोरी हुए सामान को वापस करने की संभावना

बैंक कभी-कभी पीड़ितों की ओर जाते हैं और अपने खातों से ट्रांसफर वापस ले लेते हैं। इसलिए, अपराधी के न मिलने पर भी, फाइट मनी वापस करना संभव है। लेकिन क्रिप्टोक्यूरेंसी पर्स के साथ, सब कुछ अधिक जटिल है - तकनीकी और कानूनी रूप से दोनों। अब तक, किसी भी एक्सचेंज / वॉलेट ने स्वैप पीड़ितों को मुआवजा नहीं दिया है।

यदि पीड़ित अदालत में अपने पैसे का बचाव करना चाहते हैं, तो वे ऑपरेटर पर आरोप लगाते हैं: उसने खाते से पैसे की चोरी के लिए शर्तें बनाईं। माइकल टर्पिन ने ठीक ऐसा ही किया , जो स्वैप के कारण 224 मिलियन डॉलर का नुकसान हुआ। अब वह एटी एंड टी दूरसंचार कंपनी पर मुकदमा कर रहा है।

अब तक, किसी भी राज्य के पास क्रिप्टोक्यूरेंसी मालिकों की कानूनी रूप से सुरक्षा के लिए कोई योजना नहीं है। अपनी पूंजी का बीमा करना या इसके नुकसान के लिए मुआवजा प्राप्त करना असंभव है। इसलिए, स्वैप हमले को रोकना इसके परिणामों से लड़ने से आसान है। सबसे स्पष्ट तरीका 2FA के लिए अधिक विश्वसनीय "दूसरा कारक" का उपयोग करना है।

एसएमएस के माध्यम से सिम स्वैप केवल 2FA समस्या नहीं है

एसएमएस में पुष्टि कोड तकनीकी दृष्टिकोण से भी असुरक्षित हैं। सिग्नलिंग सिस्टम 7 (SS7) में घातक कमजोरियों के कारण संदेशों को बाधित किया जा सकता है। एसएमएस द्वारा 2FA को आधिकारिक तौर पर असुरक्षित माना जाता है (यूएस नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड एंड टेक्नोलॉजी अपने डिजिटल ऑथेंटिकेशन गाइड में इस बारे में बात करता है)।

इसके अलावा, 2FA की उपस्थिति अक्सर उपयोगकर्ता को झूठी सुरक्षा की भावना के साथ प्रेरित करती है, और वह एक सरल पासवर्ड चुनता है। इसलिए, ऐसा प्रमाणीकरण जटिल नहीं है, लेकिन खाते में एक हमलावर की पहुंच की सुविधा प्रदान करता है।

और अक्सर एसएमएस एक लंबे विलंब के साथ आते हैं या बिल्कुल नहीं आते हैं।

अन्य 2FA विधियाँ

बेशक, स्मार्टफोन और एसएमएस पर, प्रकाश ने अभिसरण नहीं किया। अन्य 2FA विधियाँ हैं। उदाहरण के लिए, एक बार TAN कोड: विधि आदिम है, लेकिन काम कर रही है - यह अभी भी कुछ बैंकों में उपयोग किया जाता है। बायोमेट्रिक डेटा का उपयोग करने वाले सिस्टम हैं: फ़िंगरप्रिंट, रेटिनल स्कैन। एक अन्य विकल्प जो सुविधा, विश्वसनीयता और कीमत के मामले में एक उचित समझौता की तरह लगता है, 2FA के लिए विशेष अनुप्रयोग हैं: आरएसए टोकन, Google ऑथेंटिकेटर। और भौतिक कुंजी और अन्य तरीके हैं।

सिद्धांत रूप में, सब कुछ तार्किक और विश्वसनीय लगता है। लेकिन व्यवहार में, आधुनिक 2FA समाधान में समस्याएं हैं, और उनकी वजह से वास्तविकता उम्मीदों से अलग है।

अध्ययन के अनुसार, 2FA का उपयोग सिद्धांत में एक असुविधा है, और एसएमएस के माध्यम से 2FA की लोकप्रियता को "अन्य तरीकों की तुलना में कम असुविधा" द्वारा समझाया गया है - एक बार कोड प्राप्त करना उपयोगकर्ता के लिए समझ में आता है।

कई 2FA तरीके उपयोगकर्ताओं को इस डर से जोड़ते हैं कि पहुंच खो जाएगी। एक भौतिक कुंजी या TAN पासवर्ड की सूची खो या चोरी हो सकती है। मुझे व्यक्तिगत रूप से Google प्रमाणक का उपयोग करने का नकारात्मक अनुभव है। इस एप्लिकेशन के साथ मेरा पहला स्मार्टफोन टूट गया - खातों तक पहुंच बहाल करने के मेरे प्रयासों का मूल्यांकन करें। एक और समस्या एक नए डिवाइस के लिए संक्रमण है। Google प्रमाणक सुरक्षा चिंताओं के कारण निर्यात करने में सक्षम नहीं है (यदि कुंजी को निर्यात किया जा सकता है, तो किस प्रकार की सुरक्षा है?)। एक बार जब मैंने चाबियाँ मैन्युअल रूप से स्थानांतरित कर दीं, और फिर फैसला किया कि पुराने स्मार्टफोन को एक शेल्फ पर एक बॉक्स में छोड़ना आसान था।

2FA विधि होनी चाहिए:

सुरक्षित - केवल आपको अपने खाते तक पहुंच प्राप्त करनी चाहिए, हमलावरों से नहीं
विश्वसनीय - जब भी आपको आवश्यकता होती है आप अपने खाते तक पहुंच प्राप्त करते हैं
सुविधाजनक और सस्ती - 2FA का उपयोग स्पष्ट है और न्यूनतम समय लेता है
सस्ता

हमारा मानना है कि ब्लॉकचेन सही समाधान है।

ब्लॉकचेन पर 2FA का उपयोग करें

एक उपयोगकर्ता के लिए, ब्लॉकचैन पर 2FA एसएमएस के माध्यम से एक बार कोड प्राप्त करने के समान है। वितरण चैनल में एकमात्र अंतर है। 2FA कोड प्राप्त करने का तरीका इस बात पर निर्भर करता है कि ब्लॉकचेन क्या प्रदान करता है। हमारी परियोजना में (जानकारी मेरी प्रोफ़ाइल में है) यह एक वेब एप्लिकेशन है, टोर, आईओएस, एंड्रॉइड, लिनक्स, विंडोज, मैकओएस।

सेवा एक बार कोड उत्पन्न करती है और इसे ब्लॉकचैन पर संदेशवाहक को भेजती है। इसके अलावा, क्लासिक्स के अनुसार: उपयोगकर्ता सेवा इंटरफ़ेस में प्राप्त कोड दर्ज करता है और लॉग इन करता है।

लेख में एक विकेन्द्रीकृत संदेशवाहक ब्लॉकचेन पर कैसे काम करता है, मैंने लिखा है कि ब्लॉकचेन मैसेजिंग की सुरक्षा और गोपनीयता सुनिश्चित करता है। 2FA कोड भेजने के विषय पर, मैं प्रकाश डालूंगा:

खाता बनाने के लिए एक क्लिक - कोई फ़ोन या ईमेल नहीं।
2FA कोड वाले सभी संदेश एंड-टू-एंड कर्व25519xsalsa20poly1305 एन्क्रिप्ट किए गए हैं।
MITM हमले को बाहर रखा गया है - 2FA कोड वाला प्रत्येक संदेश ब्लॉकचेन पर एक लेनदेन है और इसे Ed25519 EdDSA द्वारा हस्ताक्षरित किया गया है।
2FA कोड वाला एक संदेश इसके ब्लॉक में आता है। ब्लॉक का अनुक्रम और टाइमस्टैम्प तय नहीं किया जा सकता है, और इसलिए संदेशों का क्रम।
कोई केंद्रीय संरचना नहीं है जो किसी संदेश की "प्रामाणिकता" के लिए जांच करती है। यह एक सर्वसम्मति-आधारित वितरित नोड प्रणाली द्वारा किया जाता है, और यह उपयोगकर्ताओं के अंतर्गत आता है।
अक्षम करने में असमर्थता - खातों को अवरुद्ध नहीं किया जा सकता है, और संदेश हटाए जा सकते हैं।
किसी भी समय किसी भी डिवाइस से 2FA कोड एक्सेस करें।
2FA कोड के साथ डिलीवरी पुष्टिकरण संदेश। वन-टाइम पासवर्ड भेजने वाली सेवा यह सुनिश्चित करने के लिए जानती है कि उसे डिलीवर कर दिया गया है। नहीं "सबमिट अगेन" बटन।

कुछ अन्य 2FA विधियों की तुलना के लिए, मैंने एक तालिका संकलित की है:

उपयोगकर्ता ब्लॉकचैन मैसेंजर में एक दूसरे में कोड प्राप्त करने के लिए एक खाता प्राप्त करता है - केवल पासफ़्रेज़ दर्ज करने के लिए उपयोग किया जाता है। इसलिए, आवेदन के तरीके अलग-अलग हो सकते हैं: आप सभी सेवाओं के लिए कोड प्राप्त करने के लिए एक खाते का उपयोग कर सकते हैं, या आप प्रत्येक सेवा के लिए एक अलग खाता बना सकते हैं।

नुकसान भी है - एक खाते में कम से कम एक लेनदेन होना चाहिए। उपयोगकर्ता को एक कोड के साथ एक एन्क्रिप्टेड संदेश प्राप्त करने के लिए, आपको उसकी सार्वजनिक कुंजी जानने की आवश्यकता है, और वह केवल पहले लेनदेन के साथ ब्लॉकचेन में दिखाई देता है। हम इस तरह से बाहर निकले: उन्होंने हमें अपने बटुए में मुफ्त टोकन प्राप्त करने का अवसर दिया। हालाँकि, खाते को सार्वजनिक कुंजी का नाम देने के लिए एक अधिक सही समाधान है। (तुलना के लिए, हमारा खाता क्रमांक U146783811217279292705 सार्वजनिक कुंजी cc1ca549413b942029c4742a6e6ed69767c325f8d889897e4b71ad82a164c2ada के व्युत्पन्न है। मैसेंजर के लिए, यह अधिक सुविधाजनक और पठनीय और पठनीय और पठनीय है। मुझे लगता है कि भविष्य में कोई ऐसा निर्णय लेगा और "सुविधा और पहुंच" को ग्रीन ज़ोन में स्थानांतरित कर देगा।

2FA कोड भेजने की लागत वास्तव में कम है - 0.001 ADM, अब यह 0.00001 USD है। फिर से, आप अपने ब्लॉकचेन को बढ़ा सकते हैं और मूल्य शून्य कर सकते हैं।

ब्लॉकचैन पर 2FA को अपनी सेवा से कैसे कनेक्ट करें

मुझे आशा है कि मैं कुछ पाठकों को अपनी सेवाओं में ब्लॉकचैन प्राधिकरण जोड़ने में रुचि रखने में सक्षम था।

मैं आपको बताऊंगा कि यह हमारे दूत के उदाहरण का उपयोग करके कैसे किया जाए, और सादृश्य से आप एक और ब्लॉकचेन का उपयोग कर सकते हैं। 2FA डेमो एप्लिकेशन में, हम खाता जानकारी संग्रहीत करने के लिए postgresql10 का उपयोग करते हैं।

कनेक्शन चरण:

ब्लॉकचेन पर एक खाता बनाएं जिसमें से आप 2FA कोड भेजेंगे। आपको एक पासफ़्रेज़ मिलेगा, जो कोड के साथ संदेशों को एन्क्रिप्ट करने और लेनदेन पर हस्ताक्षर करने के लिए एक निजी कुंजी के रूप में उपयोग किया जाता है।
2FA कोड जनरेट करने के लिए अपने सर्वर में एक स्क्रिप्ट जोड़ें। यदि आप पहले से ही वन-टाइम पासवर्ड डिलीवरी के साथ किसी अन्य 2FA पद्धति का उपयोग करते हैं, तो यह चरण पूरा हो चुका है।
ब्लॉकचैन मैसेंजर में उपयोगकर्ता को कोड भेजने के लिए अपने सर्वर में एक स्क्रिप्ट जोड़ें।
2FA कोड भेजने और दर्ज करने के लिए एक उपयोगकर्ता इंटरफ़ेस बनाएँ। यदि आप पहले से ही वन-टाइम पासवर्ड डिलीवरी के साथ किसी अन्य 2FA पद्धति का उपयोग करते हैं, तो यह चरण पूरा हो चुका है।

1 एक खाता बनाएँ

ब्लॉकचेन में एक खाता बनाना एक निजी कुंजी, एक सार्वजनिक कुंजी और उससे प्राप्त एक खाता पता की पीढ़ी है।

सबसे पहले, पासफ़्रेज़ BIP39 उत्पन्न होता है, जिसमें से SHA-256 हैश माना जाता है। हैश का उपयोग ks निजी कुंजी और kp सार्वजनिक कुंजी उत्पन्न करने के लिए किया जाता है। एक ही SHA-256 के साथ सार्वजनिक कुंजी से व्युत्क्रम के साथ, हमें ब्लॉकचैन में पता मिलता है।

यदि आप नए खाते से हर बार 2FA कोड भेजना चाहते हैं, तो खाता बनाने के लिए कोड को सर्वर में जोड़ना होगा:

import Mnemonic from 'bitcore-mnemonic' this.passphrase = new Mnemonic(Mnemonic.Words.ENGLISH).toString() … import * as bip39 from 'bip39' import crypto from 'crypto' adamant.createPassphraseHash = function (passphrase) { const seedHex = bip39.mnemonicToSeedSync(passphrase).toString('hex') return crypto.createHash('sha256').update(seedHex, 'hex').digest() } … import sodium from 'sodium-browserify-tweetnacl' adamant.makeKeypair = function (hash) { var keypair = sodium.crypto_sign_seed_keypair(hash) return { publicKey: keypair.publicKey, privateKey: keypair.secretKey } } … import crypto from 'crypto' adamant.getAddressFromPublicKey = function (publicKey) { const publicKeyHash = crypto.createHash('sha256').update(publicKey, 'hex').digest() const temp = Buffer.alloc(8) for (var i = 0; i < 8; i++) { temp[i] = publicKeyHash[7 - i] } return 'U' + bignum.fromBuffer(temp).toString() }

डेमो एप्लिकेशन में, हमने इसे सरल बनाया - वेब एप्लिकेशन में एक खाता बनाया, और इससे कोड भेजे। ज्यादातर मामलों में, यह उपयोगकर्ता के लिए अधिक सुविधाजनक है: वह जानता है कि सेवा एक विशिष्ट खाते से 2FA कोड भेजती है, और इसे नाम दे सकती है।

2 2FA कोड की पीढ़ी

प्रत्येक उपयोगकर्ता लॉगिन के लिए 2FA कोड उत्पन्न करना होगा। हम Speakeasy लाइब्रेरी का उपयोग करते हैं, लेकिन आप किसी अन्य को चुन सकते हैं।

 const hotp = speakeasy.hotp({ counter, secret: account.seSecretAscii, });

उपयोगकर्ता द्वारा दर्ज उपयोगकर्ता 2FA कोड का सत्यापन:

 se2faVerified = speakeasy.hotp.verify({ counter: this.seCounter, secret: this.seSecretAscii, token: hotp, });

3 2FA कोड सबमिट करें

आप ब्लॉकचैन नोड एपीआई, जेएस एपीआई लाइब्रेरी, या 2FA कोड भेजने के लिए कंसोल का उपयोग कर सकते हैं। इस उदाहरण में, हम कंसोल का उपयोग करते हैं - यह कमांड लाइन इंटरफ़ेस है, एक उपयोगिता जो ब्लॉकचेन के साथ बातचीत को सरल बनाती है। 2FA कोड वाला संदेश भेजने के लिए, आपको कंसोल के send message कमांड का उपयोग करना होगा।

 const util = require('util'); const exec = util.promisify(require('child_process').exec); … const command = `adm send message ${adamantAddress} "2FA code: ${hotp}"`; let { error, stdout, stderr } = await exec(command);

संदेश भेजने का एक वैकल्पिक तरीका जेएस एपीआई पुस्तकालय में send विधि का उपयोग करना है।

4 यूजर इंटरफेस

उपयोगकर्ता को 2FA कोड दर्ज करने का अवसर दिया जाना चाहिए, यह आपके एप्लिकेशन के प्लेटफॉर्म के आधार पर विभिन्न तरीकों से किया जा सकता है। हमारे उदाहरण में, यह Vue है।

ब्लॉकचैन पर दो-कारक प्राधिकरण के डेमो आवेदन का स्रोत कोड गिटहब पर देखा जा सकता है । पढ़ने के लिए लाइव डेमो में एक लिंक है कोशिश करने के लिए।

ब्लॉकचेन पर सुरक्षित 2FA पर जाएं