今天小編 ”讀過”了這則新聞想起, 由於長期以來駭客攻擊或資料洩漏的原因,過半是透過釣魚、竊取自其他來源先取得 Credential 後,才攻入目標的網站或主機,因此過去我們都稱 Two Factor Authentication 應該是防禦駭客最便宜的解決方案, 在以信用卡交易安全為標的的 PCI DSS 標準中,也要求在遠端登入 (Remote Login) CDE 所在的網路,或是 Non-Console 登入主機時均需符合多重身份驗證 (multi-factor authentication)的安全要求。
但 Reddit 這個案例,可能是透過社交工程、身分資料盜竊後對電信公司進行 SIM 卡重新申請而破解了原來帳號綁定的 Two Factor (SMS) 機制,這個也就需要提醒大家,其實兩年前 NIST 就已經建議大家 Two-Factor 安全機制別再用 SMS (Drafted Digital Identity Guidelines, NIST,但後來有提出解釋軟化了原來的措辭) ,所以無論 SMS , SIM 卡是透過社交工程、資料盜竊向電信申請換卡,或是透過 SS7 可能的問題攔截到,目前均可以透過 APP 或是非 SMS 的雙因認證來避開這個風險。
安律 PCI DSS 是金融支付安全產業最佳的顧問諮詢及審查服務公司
來源網址: