Главная » Блоги Экспертов И ИТ-Компаний » СМС в информационных сервисах
Статус не указан

СМС в информационных сервисах

Короткие текстовые сообщения СМС признаны ненадежным средством информационных взаимодействий. Все чаще такой способ транспортировки данных дискредитирует себя, подкрепляя известные слабости протокола громкими новостями о компрометации. 

Например, был взломан аккаунт основателя Twitter в результате запуска сервиса твита по СМС. Злоумышленники в течение длительного времени делали нелегитимные посты с его аккаунта. Только отключение функции твита по СМС исправило ситуацию. Эта атака прошла успешно из-за произведенной SIM Swap или SIM hijacking атаке – подмене действующей сим-карты на карту злоумышленника путем обманных переговоров с оператором связи.

Исследователи Check Point обнаружили возможность перенастроить телефон путем отправки специально сформированной СМС — это фактически фишинговая атака через SMS-сервис.

Организация European Banking Authority (EBA) выпустила документ Payment Services Directive 2 (PSD2) в июле 2019 года,  где СМС обозначен как ненадежный метод авторизации транзакций и аутентификации входа в клиент-банк. Банки Германии отказываются от использования СМС в качестве транспорта для подтверждения транзакций или как второго метода аутентификации. 

Причина взломов СМС в простоте SMPP (Short Message Peer-to-Peer) — протокола передачи коротких сообщений одноранговой сети. По сути это обмен блоками данных Protocol Data Unit (PDU), он использует слабую аутентификацию, не имеет встроенную криптографию, максимум возможно использование SSL/TLS канала. Все это делает его привлекательным для злоумышленников, особенно благодаря возможности реализации SIM Swap/hijacking атаки.

Эксперты группы компаний Anagara рекомендуют максимально отказаться от использования СМС в качестве транспорта для конфиденциальных данных или дополнительного фактора при многофакторной аутентификации. Существуют более надежные системы класса OTP (One Time Password): RSA SecureID, jaCarta, Рутокен или личные сервисы Google OTP.

Вы можете получить более подробную консультацию у менеджеров группы компаний Angara по телефону 8-495-269-26-06 или e-mail info@angaratech.ru


Данный материал является частной записью члена сообщества Club.CNews.
Редакция CNews не несет ответственности за его содержание.
Комментарии
Другие публикации
RU, Москва
angaratech.ru, Менеджер
8 (495) 269-26-06
Информационные технологии

Группа компаний ANGARA, представленная головной организацией Angara Technologies Group и сервис-провайдером Angara Professional Assistance, предоставляет полный спектр услуг по информационной безопасности, начиная с поставки и внедрения оборудования и ПО, заканчивая комплексом мероприятий по сопровождению ИТ- и ИБ-систем клиентов.

⭐ ТОП-10 самых быстрорастущих ИТ-компаний России (7 место, CNews); ⭐ ТОП-20 крупнейших компаний информационной безопасности (13 место, TAdviser); ⭐ ТОП-20 крупнейших поставщиков для банков (19 место, TAdviser); ⭐ ТОП-100 крупнейших ИТ-компаний России по версии CNews  и TAdviser.

Angara Technologies Group была основана в 2015 году группой из 10 единомышленников. Сегодня компания имеет развитую партнерскую сеть из более чем 100 российских и зарубежных производителей в области информационной безопасности, включая Гарда Технологии, Код Безопасности, Kaspersky, R-Vision, Krontech, Palo Alto, Positive Technologies, Trend Micro и других.

В штате Angara Technologies Group более 140 сотрудников высокого уровня квалификации. На счету компании более 70-ти реализованных проектов.

Angara Professional Assistance — это высокотехнологичный сервис-провайдер, предоставляющий сервисы по модели Security as a service, по аутсорсингу информационной безопасности, услуги по сопровождению и поддержке работоспособности ИТ- и ИБ-систем клиентов, повышению эффективности их работы и обеспечению непрерывности выполняемых функций.

Нам доверяют крупнейшие компании из банковской и промышленной  сфер, телеком-компании и государственные структуры.




Забыл пароль?
Авторизоваться через
Зарегистрируйся сейчас!
Присоединяйся к нашему обществу для того чтобы познакомиться с новыми людьми, создать собственный блог, публиковать анонсы событий и объявления, а также участвовать в обсуждении публикаций CNews. Мы создали единое пространство для общения специалистов рынка информационных технологий и всех, кто интересуется современными технологиями. Регистрация =>