จากอีเมลถึงเบอร์โทรศัพท์: แนวทาง OSINT แบบใหม่ (2019)
(martinvigo.com)- UI รีเซ็ตรหัสผ่านแสดงบางส่วนของเบอร์โทรศัพท์เพื่อยืนยันบัญชี ทำให้สามารถรวบรวมชิ้นส่วนของหมายเลขจากหลายบริการได้โดยใช้ เพียงที่อยู่อีเมล
- แต่ละบริการมี เกณฑ์การมาสก์ PII ต่างกัน เมื่อนำจำนวนหลักที่ถูกเปิดเผยจาก eBay, Paypal, Yahoo, LastPass, Google, Facebook, Twitter, Hotmail และ Steam มารวมกัน จะเผยให้เห็นส่วนใหญ่ของเบอร์โทรศัพท์ 10 หลักในสหรัฐฯ
- การใช้ ข้อมูลการจัดสรรหมายเลขสาธารณะ ของ NANPA และ National Pooling Administration ช่วยลดจำนวนตัวเลือกได้มากโดยอิงจากรหัสพื้นที่ หมายเลขชุมสาย และบล็อกหมายเลขผู้ใช้บริการ
- บริการอย่าง Amazon และ Twitter ที่แสดงอีเมลบางส่วนเมื่อเริ่มรีเซ็ตรหัสผ่านด้วยเบอร์โทรศัพท์ สามารถนำมาใช้เทียบตัวเลือกหมายเลขที่เหลือกับ คำใบ้อีเมลที่ถูกมาสก์ ได้
- การเปิดเผยเบอร์โทรศัพท์อาจนำไปสู่ SIM swapping, การโจมตี SS7, การบุกรุกวอยซ์เมล, การติดตามตำแหน่ง และการปลอมแปลง caller ID ดังนั้นสำหรับคำใบ้กู้คืนบัญชี การแสดง ป้ายกำกับ ที่ผู้ใช้ตั้งเองแทนชิ้นส่วน PII จึงปลอดภัยกว่า
การรั่วไหลของข้อมูลที่เกิดจาก UI รีเซ็ตรหัสผ่าน
- ขั้นตอนรีเซ็ตรหัสผ่านของเว็บไซต์หลายแห่งจะแสดงตัวเลือกกู้คืน เช่น ลิงก์ทางอีเมล, รหัส SMS, หรือรหัสผ่านการโทร หลังจากป้อนอีเมล
- เมื่อแสดงตัวเลือก SMS หรือการโทร UI จำนวนมากจะเปิดเผย บางส่วนของเบอร์โทรศัพท์ เพื่อให้ผู้ใช้ระบุหมายเลขของตนได้
- หากรู้ที่อยู่อีเมล ก็สามารถเริ่ม flow รีเซ็ตรหัสผ่านของหลายบัญชีเพื่อเก็บหลักบางส่วนของเบอร์โทรศัพท์ได้
- ปัญหาคือไม่มีวิธีมาตรฐานในการมาสก์ ข้อมูลที่ระบุตัวบุคคลได้ (PII) อย่างเบอร์โทรศัพท์ และการทำงานถูกปล่อยให้ขึ้นอยู่กับดุลยพินิจของนักพัฒนาบริการ
- ในกรณีของ Paypal เมื่อรีเซ็ตรหัสผ่านจะแสดงหลักแรกและสี่หลักสุดท้าย แต่ใน 2FA challenge หลังล็อกอินจะแสดงเพียงสามหลักสุดท้าย
- สำหรับผู้โจมตีที่รู้เพียงอีเมล จะถูกเปิดเผย 5 หลักจากทั้งหมด 10 หลัก
- สำหรับผู้โจมตีที่รู้อีเมลและรหัสผ่าน จะเห็นเพียง 3 หลัก
ความแตกต่างของการมาสก์ในแต่ละบริการและผลจากการนำมารวมกัน
- ตรวจสอบขั้นตอนรีเซ็ตรหัสผ่านของเว็บไซต์ยอดนิยมหลายแห่ง เพื่อเปรียบเทียบว่าเริ่มได้ด้วยอีเมลเพียงอย่างเดียวหรือไม่ รองรับการรีเซ็ตบนมือถือหรือไม่ และเปิดเผยตัวเลขกี่หลัก
- รูปแบบการเปิดเผยแตกต่างกันในแต่ละบริการ
- eBay: 3 หลักหน้าและ 2 หลักท้าย
- Paypal: หลักแรกและ 4 หลักท้าย
- Yahoo: หลักแรกและ 2 หลักท้าย
- LastPass: 4 หลักท้าย
- Google, Facebook, Twitter, Hotmail, Steam: 2 หลักท้าย
- หากมีทั้งบัญชี eBay และ LastPass จะสามารถรู้ 7 หลัก จากเบอร์โทรศัพท์ 10 หลักได้โดยใช้เพียงที่อยู่อีเมล
- เพียงการผสมกันนี้ก็ลดช่วงการเดาเบอร์โทรศัพท์จาก 1 พันล้านหมายเลขเหลือ 1,000 หมายเลข
ลดจำนวนตัวเลือกด้วยระบบเบอร์โทรศัพท์ของสหรัฐฯ
- เบอร์โทรศัพท์ของสหรัฐฯ เมื่อไม่นับรหัสประเทศจะประกอบด้วย 3 ฟิลด์
- รหัสพื้นที่ (area code หรือ NPA)
- หมายเลขชุมสาย (exchange หรือ Central Office Code)
- หมายเลขผู้ใช้บริการ (subscriber number)
- ข้อมูลที่ได้จากการรวม eBay กับ LastPass คือรหัสพื้นที่และหมายเลขผู้ใช้บริการ ส่วน 3 หลักที่หายไปไม่ใช่ตัวเลขสุ่มธรรมดา แต่เป็น หมายเลขชุมสาย
- NANPA ดูแลแผนหมายเลขเครือข่ายโทรศัพท์สาธารณะของแคนาดา สหรัฐฯ และดินแดนของสหรัฐฯ รวมถึงบางประเทศในแคริบเบียน
- NANPA ให้รายชื่อรหัสพื้นที่และหมายเลขชุมสายที่เกี่ยวข้องเป็น ข้อมูลสาธารณะ ซึ่งสามารถค้นดูหรือรับเป็นไฟล์ที่นำไป parse ได้
- หากเหลือไว้เฉพาะหมายเลขชุมสายที่จัดสรรจริงในแต่ละรหัสพื้นที่ จำนวนตัวเลือกจะลดลง
- ในรหัสพื้นที่ 415 ของ San Francisco หมายเลขชุมสายที่เป็นไปได้ไม่ใช่ 1,000 หมายเลข แต่มี 784 หมายเลข จึงตัดออกได้ 216 หมายเลข
- รหัสพื้นที่ 907 ของ Alaska มีหมายเลขชุมสายที่จัดสรรแล้ว 625 หมายเลข
- รหัสพื้นที่ 253 ของ Tacoma มีหมายเลขชุมสายที่จัดสรรแล้ว 458 หมายเลข จึงตัดออกได้มากกว่าครึ่ง
วิธีใช้ไปถึงระดับบล็อกหมายเลขผู้ใช้บริการ
- นอกจากรหัสพื้นที่และหมายเลขชุมสายแล้ว ยังสามารถลดตัวเลือกเพิ่มเติมโดยอิงจากบางส่วนของหมายเลขผู้ใช้บริการได้
- National Pooling Administration ดูแลการ pooling หมายเลข และให้ บันทึกสาธารณะ เกี่ยวกับบล็อกที่ถูกจัดสรร
- Number pooling คือการจัดสรรหมายเลขในพื้นที่ที่เติบโตเป็นบล็อก ทีละ 1,000 หมายเลข แทนที่จะเป็นหน่วยละ 10,000 หมายเลข
- เช่น หากใน 415-272-XXXX มีการจัดสรรเฉพาะบล็อก 415-272-9XXX ก็สามารถตัด 415-272-[0-8]XXX ออก และเหลือเฉพาะ 9XXX เป็นตัวเลือก
- ด้วยวิธีนี้ จำนวนหมายเลขที่ถูกต้องที่เป็นไปได้จะลดจาก 10,000 หมายเลขเหลือ 1,000 หมายเลข
ตัวเลือกที่เหลือกับการรีเซ็ตรหัสผ่านแบบย้อนกลับ
- หากเป้าหมายในพื้นที่ Tacoma มีบัญชี eBay และ LastPass ขั้นแรกสามารถรวบรวมได้ 7 หลัก แล้วใช้ NANPA ตัดออก 542 หมายเลข เหลือ 458 ตัวเลือก
- เมื่อใช้ข้อมูล National Pooling Administration ตรวจสอบว่าบล็อกถูกจัดสรรหรือไม่ ในตัวอย่างนี้ตัวเลือกเบอร์โทรศัพท์ที่เป็นไปได้ลดเหลือ 445 หมายเลข
- เพื่อลดตัวเลือกที่เหลือเพิ่มเติม สามารถใช้แหล่งข้อมูลภายนอก เช่น เสิร์ชเอนจิน, pipl, BeenVerified, Spokeo และบริการค้นหาเบอร์โทรศัพท์ย้อนกลับ
- ใน Twilio add-on ของ WhitePages เคยสามารถจ่าย 10 เซ็นต์แล้วรับข้อมูลส่วนบุคคลได้เพียงแค่ให้เบอร์โทรศัพท์
- วิธีเหล่านี้เชื่อถือได้ยาก 100% จึงนำ flow รีเซ็ตรหัสผ่านแบบเดียวกันมาใช้ซ้ำใน ทิศทางย้อนกลับ
บริการที่ให้คำใบ้อีเมลจากเบอร์โทรศัพท์
- Amazon และ Twitter สามารถเริ่มรีเซ็ตรหัสผ่านได้โดยป้อนเบอร์โทรศัพท์ และจะแสดงบางส่วนของที่อยู่อีเมลที่จะส่งลิงก์รีเซ็ตไปให้
- Amazon แสดงตัวอักษรแรกและตัวอักษรสุดท้ายของชื่อผู้ใช้ รวมถึงโดเมนทั้งหมด และยังรู้ความยาวของชื่อผู้ใช้ได้จากจำนวนดอกจัน
- Twitter แสดงสองตัวอักษรแรกของชื่อผู้ใช้และตัวอักษรแรกของโดเมน และรู้ความยาวได้จากจำนวนดอกจัน
- flow การโจมตีเป็นดังนี้
- เริ่มรีเซ็ตรหัสผ่านบนหลายเว็บไซต์ด้วยอีเมลของเป้าหมาย เพื่อรวบรวมบางส่วนของเบอร์โทรศัพท์
- ใช้ข้อมูลสาธารณะของ NANPA และ National Pooling Administration เพื่อตัดรหัสพื้นที่ หมายเลขชุมสาย และบล็อกหมายเลขผู้ใช้บริการที่ไม่มีอยู่จริงออก
- ลองรีเซ็ตรหัสผ่านด้วยตัวเลือกเบอร์โทรศัพท์ที่เหลือ แล้วเทียบตัวอักษรอีเมลที่ถูกมาสก์กับอีเมลของเป้าหมาย
- เมื่อทำตามขั้นตอนนี้ จะได้เบอร์โทรศัพท์ 10 หลักที่เชื่อมกับที่อยู่อีเมลโดยไม่ต้องโทรออกแม้แต่ครั้งเดียว
email2phonenumber และ phonerator
- email2phonenumber เป็นเครื่องมือที่เมื่อป้อนเบอร์โทรศัพท์บางส่วน จะลบรหัสพื้นที่และหมายเลขชุมสายที่ไม่มีอยู่จริงออก และสร้างรายการเบอร์โทรศัพท์ที่ถูกต้องที่เป็นไปได้
- เครื่องมือนี้ใช้ฟังก์ชันรีเซ็ตรหัสผ่านของ Amazon และ Twitter เพื่อทดลองเบอร์โทรศัพท์ และเทียบอีเมลที่ถูกมาสก์ซึ่งแสดงออกมากับอีเมลที่ป้อน
- มีการสุ่มพารามิเตอร์คำขอและเลียนแบบพฤติกรรมผู้ใช้ พร้อมรองรับการใช้พร็อกซีเซิร์ฟเวอร์
- นอกจาก Amazon และ Twitter ยังมีบริการอีกหลายแห่งที่รองรับการรีเซ็ตรหัสผ่านโดยใช้เบอร์โทรศัพท์ และเครื่องมือมีแผนรับการรองรับบริการเพิ่มเติมผ่าน pull request
- phonerator ถูกวางแผนให้เป็นบริการออนไลน์ที่รวบรวมข้อมูลระบบเบอร์โทรศัพท์ของแต่ละประเทศเพื่อสร้างรายการหมายเลขที่เป็นไปได้ และภายหลังได้เปิดตัวแล้ว
- มุ่งไปทางการรองรับหลายประเทศ รายละเอียดที่มากขึ้น ประวัติย้อนหลัง และตัวกรองขั้นสูง
- หากรู้ข้อมูลอย่างผู้ให้บริการโทรคมนาคม พื้นที่ หรือระยะเวลาที่ถือครองหมายเลข ก็สามารถนำมาใช้ลดจำนวนตัวเลือกได้อีก
ปัญหาที่ใหญ่ขึ้นในประเทศที่เบอร์โทรศัพท์สั้น
- แม้เนื้อหาจะเน้นหมายเลขของสหรัฐฯ แต่ในระบบเบอร์โทรศัพท์ของประเทศอื่น การมาสก์แบบเดียวกันอาจเปิดเผยข้อมูลมากกว่า
- เบอร์มือถือของสเปนขึ้นต้นด้วย 6 และช่วงหลังใช้ 7 ด้วย โดยมีความยาวรวม 9 หลัก
- หากบริการอย่าง eBay หรือ LastPass ไม่ลดจำนวนหลักที่เปิดเผยให้เหมาะกับหมายเลขที่สั้นกว่า สำหรับเป้าหมายในสเปน เพียง LastPass ก็รู้ได้ 5 หลัก จากทั้งหมด 9 หลัก
- ในประเทศที่ใช้เบอร์โทรศัพท์ 7 หลัก เช่น Iceland, Estonia, San Salvador ลูกค้า eBay อาจถูกเปิดเผย 5 จาก 7 หลักให้กับคนที่รู้เพียงอีเมล
- หากรวมบัญชี eBay และ LastPass ในประเทศเหล่านี้ จะสามารถได้เบอร์โทรศัพท์ทั้งหมดโดยใช้เพียงที่อยู่อีเมล
การโจมตีที่ต่อยอดจากการได้เบอร์โทรศัพท์
- เมื่อรู้เบอร์โทรศัพท์แล้ว อาจกลายเป็นจุดเริ่มต้นของการโจมตีด้านความปลอดภัยและความเป็นส่วนตัวหลายแบบ
- เวกเตอร์การโจมตีที่เป็นไปได้มีดังนี้
- SIM swapping: ใช้ social engineering, การกรรโชก, หรือคนในของผู้ให้บริการโทรคมนาคม เพื่อย้ายหมายเลขไปยัง SIM ของผู้โจมตี แล้วใช้สำหรับรีเซ็ตรหัสผ่านหรือข้าม 2FA
- การโจมตี SS7: มีการสาธิตในงานประชุมความปลอดภัยหลายแห่งว่าสามารถใช้ประโยชน์จากโปรโตคอลเก่าที่ใช้ในการโต้ตอบระหว่างผู้ให้บริการโทรคมนาคม เพื่อการติดตามตำแหน่งหรือดักฟังการสื่อสารได้
- การโจมตีวอยซ์เมล: การบุกรุกวอยซ์เมลอาจส่งผลต่อความปลอดภัยของบัญชี
- การติดตามตำแหน่ง: เคยมีการกล่าวถึงปัญหาการติดตามตำแหน่งจากเบอร์โทรศัพท์แยกต่างหาก
- การปลอมแปลง caller ID: สามารถใช้บริการออนไลน์ปลอมหมายเลขผู้โทรเพื่อใช้ใน social engineering ได้
มาตรการบรรเทาที่เสนอและการตอบสนองจากการเปิดเผยข้อมูล
- การมาสก์โดยแสดง PII บางส่วนเพียงอย่างเดียวไม่เพียงพอ
- ในประเทศที่เบอร์โทรศัพท์สั้น การมาสก์จำนวนหลักเท่ากันจะเปิดเผยข้อมูลในสัดส่วนที่มากกว่า
- สำหรับอีเมล การปิดบังเฉพาะชื่อผู้ใช้ก็ไม่เพียงพอเช่นกัน เพราะโดเมนอาจเผยที่ทำงาน และ TLD อาจเผยข้อมูลอย่างสถานะนักเรียนหรือประเทศ
- ทางเลือกคือให้ผู้ใช้ตั้ง ป้ายกำกับ ให้กับอีเมลหรือเบอร์โทรศัพท์
- เช่น “personal email”, “work phone”
- ในคำใบ้รีเซ็ตรหัสผ่านให้แสดงป้ายกำกับ แทนชิ้นส่วน PII
- ผู้ใช้ไม่ควรให้เบอร์โทรศัพท์หากไม่จำเป็นจริง ๆ และหากจำเป็นอาจพิจารณาใช้หมายเลขเสมือนอย่าง Google Voice หรือ SIM แยกต่างหาก
- ในกระบวนการเปิดเผยข้อมูลอย่างรับผิดชอบ ได้ติดต่อบริการที่แสดงมากกว่า 2 หลัก หรือเปิดเผยโดยรวมรหัสพื้นที่หรือหมายเลขชุมสาย
- LastPass อัปเดตการมาสก์ให้แสดงเฉพาะ 2 หลักสุดท้าย
- eBay เปลี่ยนเป็นแสดงหลักแรกและ 2 หลักสุดท้าย แต่ยังไม่สมบูรณ์
- Yahoo ในขณะนั้นกำลังพิจารณาความเสี่ยงและมาตรการบรรเทา
- Paypal มองว่าการแสดง 5 หลักให้คนที่รู้เพียงอีเมลเห็นเป็นพฤติกรรมตามการออกแบบ และตัดสินใจไม่ดำเนินการ
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
ผมซื้ออะไหล่รถจากคนที่ดูเหมือนจะเป็นนักต้มตุ๋นอยู่ครึ่งหนึ่ง เขารับเงินไปหลายสัปดาห์แล้วแต่ยังไม่ได้ส่งของที่สั่งมาครบ
ระหว่างที่คุยกันบนหลายแพลตฟอร์ม แต่ละแพลตฟอร์มก็ค่อย ๆ เผยชิ้นส่วนของตัวตนออกมาทีละนิด พอเอามาปะติดปะต่อกันก็เชื่อมเป็นภาพรวมได้
ผมโทรไปที่ที่ทำงานในอุตสาหกรรมเดียวกับอะไหล่ที่เขาขาย ขอให้ส่งอะไหล่มาให้ และถามแบบเบา ๆ ด้วยว่านายจ้างของเขาเกี่ยวข้องกับการขายครั้งนี้หรือไม่ ท่าทีเขาก็เปลี่ยนทันที แล้ววันรุ่งขึ้นก็ส่งของที่ซื้อทั้งหมดพร้อมของแถมอีกหลายอย่างมาให้
ผมแค่ต้องการ จุดกดดัน เท่านั้น
ชิ้นส่วนหนึ่งที่บทความตกหล่นไปคือ ฐานข้อมูล CNAM ซึ่งจำกัดอยู่ในสหรัฐฯ
CNAM คือฐานข้อมูลที่ผู้ให้บริการโทรคมนาคมใช้แสดง caller ID แบบตัวอักษร เช่น "SMITH JOHN" แทน "+1 (555) 123-4567"
การค้นหาไม่ฟรี แต่สำหรับเบอร์สักไม่กี่ร้อยเบอร์น่าจะมีวิธีทำได้ในราคาค่อนข้างถูก และเพราะชื่อกับอีเมลมักคล้ายกัน จึงสร้างอัลกอริทึมเพื่อเลือกผู้สมัครที่น่าจะใช่ที่สุดได้
ข้อมูลมักผิดในแบบที่น่าสนใจอยู่บ่อย ๆ แต่ถึงอย่างนั้นก็ยังมีประโยชน์มาก
curlก็ได้/usr/local/bin/curl -s -X GET "https://lookups.twilio.com/v1/PhoneNumbers/…; -u $accountsid:$authtoken | /usr/local/bin/jq '.'จำค่าใช้จ่ายที่แน่ชัดไม่ได้ แต่อาจราว 1 เซนต์ต่อการค้นหาหนึ่งครั้ง และยังแสดงผู้ให้บริการ รวมถึงบอกว่าเป็นมือถือหรือโทรศัพท์บ้านด้วย
ผมลองเปลี่ยน CNAM แล้วตรวจสอบด้วยการค้นหาเบอร์ของ Twilio โดยหลักการควรใช้ชื่อคนจริง แต่ในทางปฏิบัติมันเป็น ระบบที่พึ่งพาความซื่อสัตย์
[1] https://www.t-mobile.com/support/tutorials/device/app/ios/to...
[2] https://www.twilio.com/code-exchange/lookup
ผมใช้อีเมลที่เป็นชื่อจริง และเบอร์โทรศัพท์ก็เผยแพร่อยู่ในสมุดโทรศัพท์หลายแห่ง
ในสวีเดน หากไม่ปฏิเสธเป็นกรณีพิเศษ การเผยแพร่ที่อยู่และเบอร์โทรศัพท์ให้ค้นหาได้ถือเป็นแนวปฏิบัติมาตรฐาน และข้อมูลที่เคยอยู่ในสมุดโทรศัพท์ยุค 80s ก็เหมือนถูกย้ายไปออนไลน์ในยุค 90s
ข้อมูลส่วนบุคคลที่เปิดเผยแบบนี้อาจมีประโยชน์ แต่ก็อาจถูกนำไปใช้ในทางที่ผิดได้
อย่างไรก็ตาม เพราะมี PII สาธารณะ จำนวนมาก เช่น SSN, ที่อยู่, เบอร์โทรศัพท์, วันเกิด คนจึงไม่จำเป็นต้องปฏิบัติกับข้อมูลเหล่านี้เหมือนเป็นความลับ และจำเป็นต้องมีบัตรประจำตัวกับ eID ที่เหมาะสม เพื่อไม่ให้การรู้ตัวเลขไม่กี่ตัวทำให้ปลอมตัวเป็นคนอื่นได้ง่าย
ถ้าใครต้องการเบอร์โทรศัพท์ของผม เขาสามารถใช้อีเมลที่มีชื่อและนามสกุลไปค้นหาในไซต์ค้นหา เจอคนชื่อเดียวกัน 100 คน แล้วถ้ารู้เมืองกับอายุคร่าว ๆ ก็จะจำกัดผู้สมัครให้เหลือไม่กี่คนได้
บันทึกสาธารณะยังมีวันเกิด รถยนต์ รายได้ และคนที่ลงทะเบียนอยู่ที่ที่อยู่เดียวกันด้วย ดังนั้นการรวบรวมข่าวกรองจากแหล่งเปิดในสวีเดนจึงไม่ยาก
น่าแปลกที่ PayPal แสดงตัวเลข 5 หลักรวมรหัสพื้นที่ให้คนที่รู้แค่อีเมล แต่ถ้าผู้โจมตีรู้รหัสผ่านของเป้าหมายกลับแสดงให้เห็นแค่ 3 หลัก
การที่รายงานว่าสิ่งนี้ “ทำงานตามที่ตั้งใจไว้” แล้วไม่แก้ไขก็ดูแปลกเช่นกัน
ผมสงสัยว่านักต้มตุ๋นได้เบอร์จาก LinkedIn อย่างไร หรือเชื่อมโยงกับเบอร์จากแหล่งอื่นได้อย่างไร และที่บริษัทหนึ่ง พนักงานก็ยังคงตกเป็นเหยื่อข้อความปลอมจาก CEO ซ้ำ ๆ
ความยุ่งยากในการใช้อีเมลคนละอันและเบอร์ Google Voice คนละเบอร์สำหรับแต่ละบริการ สุดท้ายก็คุ้มค่า
+ของ Gmail เพื่อสร้างที่อยู่แบบปะปนสำหรับบริการภายนอกจะเห็นเป็น
gary+FqZWMK@gmail.comและในกล่องเมลของผมจะเปลี่ยนFqZWMKเป็นชื่อบริการอย่าง Netflix แล้วสร้างโฟลเดอร์ที่จัดระเบียบไว้ให้โดยอัตโนมัติผมควบคุมการแมปได้เองทั้งหมด จึงสามารถส่งที่อยู่สุ่มหลายอันไปยังกล่องจดหมาย “ใช้ครั้งเดียว” ที่จะถูกจัดเป็นสแปมโดยอัตโนมัติหลังเวลาผ่านไประยะหนึ่งได้ด้วย
หากต้องการใช้ SIM ที่สอง ในสหรัฐฯ ยังจำเป็นต้องมี อุปกรณ์ dual SIM ซึ่งยังค่อนข้างเป็นตลาดเฉพาะกลุ่ม
หมายเลข VoIP ถูกหลายเว็บไซต์ตรวจสอบแล้วบล็อก แต่บน Android ยังไม่มีวิธีที่ดีพอสำหรับรับส่งข้อความ SMS ของผู้ให้บริการบนเดสก์ท็อปอย่างเหมาะสม
อินเทอร์เฟซเว็บของ Google Messages ลืมอุปกรณ์บ่อยเกินไปจนใช้งานจริงจังได้ยาก และหากภายหลังมีการเพิ่มการบล็อก VoIP ก็อาจเกิดปัญหาไก่กับไข่ที่ทำให้ SMS สำหรับการยืนยันตัวตน 2 ขั้นตอนถูกบล็อก จนกลับเข้าใช้บัญชีไม่ได้
บางบริการอย่างร้านขายยาของ Harris Teeter ไม่ได้ตรวจสอบว่าหมายเลขนั้นติดต่อได้จริงหรือไม่ จึงยอมรับหมายเลข VoIP แต่ระบบไม่สามารถโทรหรือส่ง SMS ไปได้ ทำให้ไม่ได้รับการแจ้งเตือนใบสั่งยา
มันเปลี่ยนวิธีที่โทรศัพท์กับแล็ปท็อปโต้ตอบกัน และส่วนตัวแล้วอาจเป็นโปรเจกต์โอเพนซอร์สที่ชอบที่สุด
สามารถใช้แล็ปท็อปเหมือนคีย์บอร์ด ตอบกลับข้อความจากแอปใดๆ ที่ส่งการแจ้งเตือน หรือส่งไฟล์ได้รวดเร็วและดีกว่าวิธีอื่นๆ
ขนาดประมาณอุปกรณ์ 2FA แบบบัตรรหัสผ่านสมัยก่อน และจุดเริ่มต้นคือภรรยามักเอาโทรศัพท์จริงของผมไปเพื่อรับรหัสความปลอดภัยของบัญชีที่ใช้ร่วมกัน
ความปลอดภัยเชิงปฏิบัติการก็ดีขึ้นเล็กน้อยเมื่อเทียบกับการใช้หมายเลขโทรศัพท์จริง
จากประสบการณ์ของผม เว็บไซต์ที่บล็อกมีประมาณ Discord เท่านั้น
ส่วนตัวแล้วผมชอบใช้ที่อยู่อีเมลเฉพาะสำหรับแต่ละบัญชีที่เดายากหน่อย เช่น
ebpnw@mydomain.comเพื่อให้ผู้โจมตีต้องเดาอีเมลให้ถูกด้วยiPhone แบบ dual SIM ใช้ได้ตั้งแต่ iPhone XS, iPhone XS Max และ iPhone XR เป็นต้นไป
ที่มา: https://support.apple.com/en-us/HT209044
อย่างน้อยก็มี iPhone แบบ dual SIM ที่มี eSIM อย่างน้อยหนึ่งซิมมาแล้วถึง 6 เจเนอเรชัน
การรั่วไหลของข้อมูลแบบไม่ประสานกันเช่นนี้เป็นปัญหาที่ลึกกว่า
หลายแห่งแชร์ เลข SSN สี่หลักสุดท้าย โดยในอดีตเลขห้าหลักแรกมักคาดเดาได้ง่ายจากวันเกิดและรัฐที่เกิด และเลขช่วงต้นยังบอกได้ด้วยว่าหมายเลขออกในรัฐใด
ผู้ใหญ่ในปัจจุบันส่วนใหญ่ยังรวมอยู่ในกลุ่มนี้ แต่ก็ต้องแยกแยะให้ชัด
มันไม่ได้หยุดการติดตามและการเก็บข้อมูลของรัฐบาลกับองค์กรขนาดใหญ่เลย แต่เรายังต้องเชื่อมกับระบบบัตรประจำตัวประชาชนชั่วคราวโดยพฤตินัยทุกครั้งที่ทำเรื่องสำคัญ ขณะที่ไม่มีข้อดีใดๆ ของระบบบัตรประจำตัวประชาชนที่แท้จริง
ทำให้เกิดความทุกข์และเสียเวลาอย่างมหาศาลโดยไม่มีเหตุผล
ผมสงสัยมาตลอดว่านักวิจัยด้านความปลอดภัยให้เหตุผลอย่างไรในการเผยแพร่ เครื่องมืออัตโนมัติสำหรับสร้างอีเมล→หมายเลขโทรศัพท์ แบบในบล็อกโพสต์นี้
เครื่องมือแบบนี้มีแนวโน้มสูงมากที่จะถูกใช้ในทางไม่ดีหรือชวนขนลุก มากกว่าจะใช้ในทางที่ดี
สงสัยว่าเพราะเป็น “งานวิจัย” เลยไม่เป็นไร และยังไงก็เป็นพื้นที่สีเทาจึงปล่อยผ่าน หรือเพราะได้คุยกับบริษัทที่เปิดช่องโหว่แล้วและตอนนี้ถูกทำให้ใช้ไม่ได้แล้ว จึงรู้สึกว่าโอเค
ตัวอย่างที่ดีคือ Firesheep ซึ่งเพียงแค่รันปลั๊กอิน Firefox บน Wi-Fi สาธารณะ ก็สามารถดึงเซสชันของผู้ใช้ในเครือข่ายเดียวกันที่ล็อกอินผ่าน HTTP ได้ทันที
ตอนนั้น Facebook ใช้ HTTP เป็นค่าเริ่มต้น และเมื่อปลั๊กอินนี้กลายเป็นข่าว ก็สร้างแรงกดดันให้บังคับใช้ HTTPS แทบจะในชั่วข้ามคืน และหลายบริษัทก็ทำตาม
จะบอกว่าการเปิดเผยครั้งนั้นเร่งการนำ HTTPS มาใช้ไปมากก็ไม่เกินจริง
ไม่รู้ว่าการเปิดเผยครั้งนี้จะมีอิทธิพลระดับนั้นหรือไม่ แต่ผมมองว่าดีกว่าปล่อยให้มีแต่ฝ่าย black hat ที่รู้เทคนิคแบบนี้
เราสามารถชั่งน้ำหนักได้ว่า “เมื่อเผยแพร่ข้อมูลนี้แล้ว ประโยชน์มากกว่าโทษหรือไม่?”
ข้อมูลที่ Martin Vigo เผยแพร่ในปี 2019 ช่วยให้ผมแจ้งนายจ้างและลูกค้าปัจจุบันเกี่ยวกับ threat model เพิ่มเติมที่ควรพิจารณาเมื่อกำหนดวิธีรีเซ็ตรหัสผ่าน
ถ้าจะปกป้องเขา proof of concept ที่เผยแพร่เดิมก็อยู่ในรูปแบบที่ค่อนข้างจำกัด ต้องมีบัญชี Twilio จึงมีอุปสรรคในการเริ่มใช้ และหากนำไปใช้ก่ออาชญากรรมก็ทิ้งเบาะแสให้นักวิเคราะห์ด้วย
ดูเหมือนจะเป็นความลับที่รู้กันทั่วไปว่า คนจำนวนไม่น้อยที่เข้ามาในวงการ cybersecurity จริงๆ แล้วเข้ามาเพราะชอบการเจาะระบบความปลอดภัยอย่างชาญฉลาด มากกว่าชอบช่วยให้ผู้อื่นปลอดภัย
อย่างไรก็ตาม งานวิจัยด้านความปลอดภัยเป็นสิ่งถูกกฎหมาย ส่วนการแฮ็กเป้าหมายแบบสุ่มนั้นผิดกฎหมาย
เมื่อเกิดการดำเนินคดี บริษัทก็จะอ้างได้ยากขึ้นว่าไม่รู้มาก่อน