בהמשך לאייטם שלי שעלה בתוכנית נקסט של דרור גלוברמן, אני כן רוצה להדגיש כמה פרטים טכניים. אבל ראשית, האייטם:
בתוכנית לא היה לנו פנאי להראות את כל התהליך בגלל גבולות הזמן והז’אנר, אז אני מתכבד להציג כאן את הסרטון שהכנתי המסביר על הדרך לפרוץ. מה שאני צריך זו גישה של דקה לטלפון. אם אתם מתאמנים/שוחים ומשאירים את הטלפון בתיק. אם אתם תיכוניסטים שלומדים והטלפון שלכם הגיע למישהו, אם אתם עובדים והבוס שלכם החליט לשבור את הכלים – זו דרך מעולה להתנקם בכם.
הבהרה חשובה: כניסה ללא אישור לכל מחשב/טלפון הנה עבירה פלילית. גם אם זה בצחוק. גם אם ‘אבל אני רק רציתי לעשות משהו מצחיק’. אל תנסו את זה על מחשב/טלפון אחר. הדוגמאות שהראיתי כאן הם למכשירים שבעליהם נתנו את האישור שלהם להדגמה.
הליך הפרצה מורכב מכמה שלבים. בשלב הראשון התוקף משיג גישה פיזית לטלפון של המותקף ומזין את מספר הטלפון של המותקף למכשיר נקי של התוקף. בכל פעם שאנחנו מזינים מספר חדש לתוכנת ווטסאפ נקיה, נשלח סמס זיהוי אל המספר הזה. במקרה הזה של הטלפון המותקף. חלק מהטלפונים מוגדרים כך שהסמס קופץ במסך וניתן כבר להעתיק את המספר. אבל גם אם הסמס לא קופץ, אין צורך לדאוג. אפשר לבקש שיחת אימות – כל טלפון, גם המאובטח ביותר, מוגדר כך שאפשר לענות לכל שיחה.
הנה ההדגמה היותר אינטואיטיבית
אז למה אני מראה את זה? לא בשביל שתוקפים ילמדו, אלא על מנת שכל אחד ואחת יבינו כמה חשוב שיהיה לנו אימות דו שלבי. בסרטון הזה אני מנסה לפרוץ לטלפון שיש בו אימות דו שלבי. זה לא כל כך עובד:
אז מה זה אימות דו שלבי? מדובר פשוט בשלב נוסף בדרך לאימות שמקשה על תוקפים פוטנציאלים. למשל, גם אם תצליחו לגנוב את הסיסמה שלי לג’ימייל, לא תצליחו להכנס לחשבון שלי כיוון שצריך סיסמה נוספת שמיוצרת כל דקה רנדומלית על הטלפון שלי. אם תצליחו לגנוב את הסיסמה שלי לפייסבוק, לא תצליחו להכנס לחשבון שלי כיוון שבכל פעם שאני מתחבר אני נדרש לסיסמה נוספת שאותה אני צריך לקבל דרך הסמס.
הרבה אנשים טועים לחשוב שבגלל שמדובר בשירות המחובר למספר טלפון, אז הוא בלתי פריץ. הנה, בדוגמה הזו כל מה שצריך זו הסחת דעת של דקה. יש דוגמאות נוספות שבהן אני משתמש בתעלול דומה על מנת לקחת *מרחוק* את חשבון הווטסאפ של האדם.
אז איך מגדירים אימות דו שלבי בווטסאפ? זה ממש קל.
1. להכנס לווטסאפ בטלפון וללחוץ על התפריט (שלוש נקודות בפינה הימנית העליונה)
2. ללחוץ על ההגדרות (Settings)
3. ללחוץ על החשבון (Account)
4. באמצע התפריט כתוב אימות דו שלבי (Two-step verification), יש לבחור בו.
5. הזינו קוד בן שש ספרות, ואשרו אותו במסך הבא. שימו לב שצריך לבחור קוד משמעותי אך גם כזה שקל לזכור.
6. הכניסו אימייל לשחזור למקרה שתשכחו את הקוד המספרי שלכם.
הסרטון הבא מציג את זה היטב:
החלפתם את הטלפון? תצטרכו להכניס את הסיסמה הזו. מישהו ינסה לחטוף את חשבון הווטסאפ שלכם? הוא לא יוכל לעשות את זה בלי הסיסמה הזו.
הבעיה היא כמובן שאתה חייב את הטלפון.
למשל – מת לי הטלפון ואני מנסה להיכנס למייל כדי לתקשר עם אנשים – אופס.
תסתכל בתגובה שלי לכתבה
צודק אבל אז אתה יכול להשתמש בגישה אחרת – סט של ססמאות חד פעמיות ששמרת במקום אחר, אימות דרך אימייל חליפי או דרך שיחת טלפון.
בטחון מידע הוא תמיד מאזן של נוחות מול בטחון. בקצה אחד בלי ססמאות או עם ססמאות שקל לזכור אבל גם קל לנחש. בצד השני ססמאות קשות ואימות כפול אבל אז אתה בבעיה אם אתה לא זוכר את הססמאות ואין לך גישה לאימות הכפול.
ל ד
הבעיה היותר גדולה בפריצה הזאת שממש לא צריך גישה לפלאפון כדי לפרוץ לווטסאפ (לא אכתוב כאן איך כדי לא לתת רעיונות אבל הפתרון הוא מה שהוצע בכתבה ומאוד מומלץ לעשות את האימות הדו שלבי)
מאוד מועיל ועושר מה שאתה נותן פה תודה רבה
אימות דו שלבי הוא חשוב בווטסאפ ולמעשה לאבטחת כל שירות משמעותי אבל המימוש שלו בווטסאפ מרגיז ביותר. מרגע שהפעלתם את האימות ובחרתם קוד בן 6 ספרות, תידרשו לחזור עליו לצורך רענון הזיכרון אחת לכמה ימים. הבקשה קופצת בכניסה לווטסאפ (כלומר בדיוק כשלא נוח ובאתם לקרוא או לכתוב הודעה), ואם סוגרים אותה בלי להזין את הקוד היא תשוב תוך זמן קצר מהרגיל.
לא קיימת דרך בהגדרות לבטל את ההתנהגות הזו, כך גם מאשרת מחלקת התמיכה בלקוחות האפליקציה. מצד אחד זה מסייע לזכור את הקוד, אך ממשיך להציק גם למי שהוכיח שוב ושוב שזיכרונו טוב וגם עלול לחשוף את הקוד לעיניים זרות שכן נעשה בו שימוש תכוף (יחסית).
היום לרוב האנשים יש כניסה לטלפון על ידי תביעת אצבע,
כך שזה פותר את הצורך באימוץ דו שלבי הרי גם אם תקבל דקה את הטלפון עדיין תצטרך לפרוץ את הנעילה שלו.
אכן כפי שהגיב יניב, מדוע יש צורך באימות דו שלבי אם הטלפון ממילא מוגן טביעת אצבע?
בסרטון שמופיע בפוסט הזה ממש: https://www.youtube.com/watch?v=scTL4arNozw אני מציג חטיפת חשבון בטלפון מאובטח בסיסמה (גם בטביעת אצבע) ש*אין* לו נוטיפקציות.
הפרצה הזאת לא מאד משמעותית *לרוב*
א. המשתמש המקורי יודע כמעט מיד שמישהו השתלט לו על החשבון, הוא ננעל בחוץ ויכול די מהר להכנס מחדש ולזרוק את הפורץ
ב. אתה לא מקבל את המידע ותוכן שיחות קודמות, רק שמות קבוצה ומספרי טלפון של החברים.
מה אתה כן יכול בנתיים לעשות, עד שהמשתמש מגלה שפרצו לו אפשר להתכתב עם חברים אחרים בשמו ישירות או דרך הקבוצות, ולקבל את ההודעות עד הרגע שהפורץ נזרק.
חמור אבל לא נורא.
לא נכון. הוא יקבל את כל ההיסטוריה עד למועד הגיבוי אחרון (בד”כ 2 בלילה של הלילה הקודם). וואטסאפ יודע לשחזר היסטוריה, ובד”כ זה כלי נפלא.
רן, משום מה הפסקתי לקבל עדכונים של האתר למייל… (ובדקתי ואני מנויה).
ומה עושים למי שפרצו לו לטלפון בעזרת התחזות והפעילו לו את האימות הכפול כך שהוא לא יכול לגשת לוואטסאפ בלי הקוד של האימות הכפול
תודה על המידע הנפלא שאתה משתף איתנו, ביצעתי את האימות הדו שלבי וקצת מרגיז הצורך כל בוקר להכניס את הקוד , אין עדין דרך לדלג על זה?
תודה
יש לי בעיה עם האימות דו שלבי אני עוברת את השלב הראשון עם קבלת האסמס ואז אני נתקעת בשלב השני ואני לא יודעת איזה פין קוד עשיתי אם עשיתי בכלל ואז זה אומר שישלח למייל שמקושר למספר הזה והקטע הוא שלא קיבלתי שום מייל מה אני עושה ? מה לא ניסיתי למחוק ולהתקין מחדש בא לי לבכות