Twitter'ın kısa mesajda iki faktörlü kimlik doğrulamayı   , SMS dolandırıcılığının nasıl çalıştığına ve uygulama geliştiricilerin buna karşı nasıl korunabileceğine derinlemesine bakmanın eğlenceli olacağını düşündüm. devre dışı bırakmasıyla  Sapkın teşviklerin, dar görüşlü düzenlemelerin ve teknik ustalığın büyüleyici bir hikayesi.  Hadi kazalım! 👇  Prim numaraları  Başlangıç olarak Twitter'ın son duyurusunu özetleyelim:   https://twitter.com/TwitterSupport/status/1626757587524890624?embedable=true  Basitçe söylemek gerekirse bu, yalnızca Twitter'ın ücretli sürümünü kullanan kullanıcıların, giriş sırasında telefonlarına bir kod gönderileceği anlamına gelir.  SMS dolandırıcılığını anlamanın anahtarı bazı numaraların   olduğunu anlamaktır. Bu numarayı aramak veya SMS göndermek istiyorsanız, bu size bir miktar paraya (genellikle onlarca sente)   olur ve numaranın sahibi bu onlarca sentin bir kısmını kendisi için alır. premium mal  Bu telefon numaralarının sahipleri genellikle tele-oylama, flört ve teknik destek gibi kullanıcılarına değer sağlamak ve sunmak için para gerektiren meşru hizmetler sunar.  Ancak bu rakamlar kolay kazanç elde etmek için oynanabilir 🤑  SMS dolandırıcılığı  Kötü bir oyuncu, hadi ona   diyelim, birçok premium telefon numarasına[1] sahip olur. Bob bir bilgisayar korsanı olabilir ya da kötüye giden bir cep telefonu şebeke operatörü olabilir. Bob  Bob, premium telefon numaralarına kısa mesaj gönderecek bir web hizmeti bulur. Bu mesajlar, iki faktörlü kimlik doğrulama kodları, tek kullanımlık şifreler veya hizmetin bir parçası olarak kullanıcıya gönderilen herhangi bir kısa mesaj olabilir (örn.   SMS aracılığıyla etkinlik hatırlatıcıları gönderir). partiful.com,  Bob, hizmetin premium telefon numaralarına   SMS göndermesini sağlamanın bir yolunu bulur. Bu çok kolay olabilir. Ön uç hizmetinin manipüle edilmesi kolay olabilir ve arka uç uç noktaları korumasız olabilir ve tersine mühendislik yapılması kolay olabilir. binlerce  Daha da kötüsü, birçok hizmet SMS göndermek için standartlaştırılmış bir uç nokta kullanıyor. Bu, Bob'un saldıracak siteleri bulmasını büyük ölçüde kolaylaştırır. Örneğin, hizmet kullanıcıların kimliğini doğrulamak ve Auth0 gibi 2FA veya OTP kodları göndermek için bir üçüncü taraf kullanıyorsa, o zaman SMS göndermenin uç noktası çoğunlukla bilinir: Bob'un tek yapması gereken Auth0'ları keşfetmenin bir yolunu bulmaktır. Bir web hizmetinin kimliği (web hizmetinin ön ucu bu kimliği içeren bir istekte bulunduğu için oldukça kolaydır) ve ardından bu üçüncü taraf hizmetini kullanan   sitelere saldırabilirler. tüm  Son olarak Bob, hizmetin premium telefon numaralarına binlerce SMS göndermesini sağlar. Web hizmeti 💵💵💵 kaybeder ve Bob kâr eder.  SMS dolandırıcılığına karşı koruma  SMS dolandırıcılığını önleyecek sihirli bir çözüm yok. Ancak işte işe yarayabilecek birkaç fikir:  Kullanıcıların kimliğini doğrulamak için Auth0 gibi bir üçüncü taraf hizmeti kullanıyorsanız, SMS göndermek için kullanılan uç noktayı gizleyebilirsiniz. Bu, bir saldırıyı doğrudan engellemese de, bir saldırının mümkün olduğunu keşfetmeyi çok daha zorlaştırır.  Bir bisiklet hırsızının bisiklet çalması en kolay olanı hedeflemesi gibi, iyi bir bilgisayar korsanı da hacklenmesi daha kolay olan web hizmetlerine yönelir. Benim önsezim, bu yaklaşımın uygulamaların   için yeterince işe yarayacağı yönünde. uzun kuyruğu  Bulut sağlayıcılarından, sahte İSS'lerden kaynaklanan veya başka şekilde yarım yamalak olan IP'lerden gelen tüm istekleri engelleyin. Bunun uygulanması oldukça basit olmalı - bir IP adresinin kalitesini derecelendirmenize olanak tanıyan birçok hizmet mevcuttur - ve muhtemelen çok etkili olacaktır.  Bob'un saldırısını engellemek için SMS gönderen uç noktaya IP tabanlı   ekleyin. Doğru şekilde kurulursa bu durum meşru kullanıcıları etkilemez. Ancak bu yalnızca basit bir saldırıya karşı işe yarar. Bob, saldırısını çeşitli IP adreslerinden istek gönderecek şekilde tasarlarsa (   bir saldırı) bu işe yaramaz. hız sınırlama dağıtılmış  Belirli bir telefon numarasına, belirli bir süre boyunca o telefon numarasını engellemeden önce yalnızca az sayıda SMS gönderin. Bunu ön uçta yapabiliriz, ancak Bob kararlıysa bunun yerine saldıracak arka uç noktasını bulabilir. Telefon numarasını arka uçta engellemek daha zordur: telefon numaralarının ve son oturum açma girişimlerinin kaydını tutmayı gerektirir[2].  Kullanıcıyı SMS göndermeden önce CAPTCHA çözmeye zorlayın. Bu yaklaşım, saldırganların engellenmesinde iyi işe yarasa da (CAPTCHA'nın çözülmesinin geniş ölçekte yapılması zor ve pahalıdır), kullanıcının hizmet deneyimini olumsuz etkiler.    kullanarak   tarifeli telefon numaralarını tanımlayın ve engelleyin. Bu umut verici görünse de verilerin ne kadar güvenilir olduğunu ve bu yaklaşımın ne kadar etkili olduğunu bilmiyorum. Libphonenumber özel  Yalnızca ücretli hesaplara kısa mesaj gönderin. Twitter'ın benimsediği yaklaşım budur. Bu kötü bir seçenek değil ama yukarıdaki listeden de görebileceğiniz gibi uygulayabileceğiniz birçok başka yaklaşım var.  Çok sayıda dolandırıcı kullanıcıya sahip cep telefonu ağ operatörlerini engelleyin. Bu, açıkça kötü ağ operatörlerini engelleyecektir, ancak ağda çok sayıda meşru kullanıcı varsa iyi çalışmaz.  Bunun yerine mesaj göndermek için WhatsApp'ı kullanın. WhatsApp, SMS'in aksine ücretsizdir ancak dünya çapındaki tüm kullanıcılar WhatsApp'ı kullanmamaktadır[3].  İyi bir çözüm, saldırganlar daha kolay hedeflere ilerleyene kadar zaman yatırımı ve etkinliğe öncelik vererek yukarıdaki yaklaşımlardan yeterince faydalanacaktır.  Yukarıdaki önlemlerin uygulanmasında bazı kişisel deneyimlerim var ve ekibimin bu olumsuz etkileri nasıl ele aldığına dair paylaşacak bir veya iki hikayem var. Ama bu başka bir zamanın hikayesi… 👨‍💻  SMS dolandırıcılığını kaynağında engelleme  Bu beni son noktaya getiriyor:  Baskın bir SMS API'si olan IMO, Twilio, standart API'lerine (ücretsiz mi? 🙏) bir eklenti olarak SMS sahtekarlığına karşı koruma sunma konusunda büyük bir fırsata sahip.  Twilio'nun tüm hesaplarında sahte telefon numaraları ve operatörlerle ilgili veriler bulunduğundan, Twilio, hatalı numaraları ve operatörleri birden fazla web hizmeti için büyük bir sorun haline gelmeden   engelleyebilecek benzersiz bir konumdadır. hızlı bir şekilde  Twilio, yeni nesil kimlik doğrulama mekanizması olan   kullanarak geçersiz telefon numaralarını doğrudan tespit edebiliyor ve bu yardımcı programın kullanıcılar arasında   gerektiğini düşünüyor. Silent Network Auth'u paylaşılması  İnsanların kullandığı diğer düşünceleri, fikirleri ve yaklaşımları duymayı çok isterim - lütfen aşağıya bir yorum yazarak paylaşın, böylece hepimiz öğrenebiliriz.  Şimdilik bu kadar; bu uç noktaları koruyun ve harika bir hafta geçirin!   HackerNews'te   var. mükemmel bir tartışma  [1] Bu premium telefon numaralarının çalışmasına bile gerek olmadığını unutmayın: Çalışan bir SIM karta bağlı olmaları ve bir telefona kayıtlı olmaları gerekmez. Yönlendirilebildikleri sürece bu saldırıda kullanılabilirler.  [2] Bunu verimli hale getirecek ve geniş ölçekte çalışacak iyi bir veri yapısı ve algoritma olup olmadığını merak ediyorum. Eğer bildiğiniz biri varsa lütfen paylaşın!  [3]   için HN'deki @csharpminor'a teşekkür ederiz. Önerileri   Ben   , Koodos'un CTO'su ve bir mühendisim. Apu   Bu yazı   - bunun gibi daha fazlası için abone olun! ilk olarak kişisel blogumda göründü

This story contains new, firsthand information uncovered by the writer.

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

The writer is smart, but don't just like, take their word for it. #DoYourOwnResearch before making any investment decisions or decisions regarding your health or security. (Do not regard any of this content as professional investment advice, or health advice)

SMS Dolandırıcılığı Nasıl Çalışır ve Bundan Nasıl Korunulur?

About Author

YORUMLAR

ETİKETLERİ ASIN

BU YAZI

Related Stories

Telegram: Kripto Adası'nın anakaraya olan köprüsü

Sulara Yelken Açmak: Data Lakes ile Üretim Sınıfında RAG Uygulamaları Geliştirme

Başarılı Buluta Geçiş İçin Tam Kılavuz: Stratejiler ve En İyi Uygulamalar

Bu 18 Geliştirici Aracıyla Üretkenliğinizi Artırın 🚀🔥

Telegram: Kripto Adası'nın anakaraya olan köprüsü

Sulara Yelken Açmak: Data Lakes ile Üretim Sınıfında RAG Uygulamaları Geliştirme

Başarılı Buluta Geçiş İçin Tam Kılavuz: Stratejiler ve En İyi Uygulamalar

Bu 18 Geliştirici Aracıyla Üretkenliğinizi Artırın 🚀🔥

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps