1 คะแนน โดย GN⁺ 2023-11-18 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • UI รีเซ็ตรหัสผ่านแสดงบางส่วนของเบอร์โทรศัพท์เพื่อยืนยันบัญชี ทำให้สามารถรวบรวมชิ้นส่วนของหมายเลขจากหลายบริการได้โดยใช้ เพียงที่อยู่อีเมล
  • แต่ละบริการมี เกณฑ์การมาสก์ PII ต่างกัน เมื่อนำจำนวนหลักที่ถูกเปิดเผยจาก eBay, Paypal, Yahoo, LastPass, Google, Facebook, Twitter, Hotmail และ Steam มารวมกัน จะเผยให้เห็นส่วนใหญ่ของเบอร์โทรศัพท์ 10 หลักในสหรัฐฯ
  • การใช้ ข้อมูลการจัดสรรหมายเลขสาธารณะ ของ NANPA และ National Pooling Administration ช่วยลดจำนวนตัวเลือกได้มากโดยอิงจากรหัสพื้นที่ หมายเลขชุมสาย และบล็อกหมายเลขผู้ใช้บริการ
  • บริการอย่าง Amazon และ Twitter ที่แสดงอีเมลบางส่วนเมื่อเริ่มรีเซ็ตรหัสผ่านด้วยเบอร์โทรศัพท์ สามารถนำมาใช้เทียบตัวเลือกหมายเลขที่เหลือกับ คำใบ้อีเมลที่ถูกมาสก์ ได้
  • การเปิดเผยเบอร์โทรศัพท์อาจนำไปสู่ SIM swapping, การโจมตี SS7, การบุกรุกวอยซ์เมล, การติดตามตำแหน่ง และการปลอมแปลง caller ID ดังนั้นสำหรับคำใบ้กู้คืนบัญชี การแสดง ป้ายกำกับ ที่ผู้ใช้ตั้งเองแทนชิ้นส่วน PII จึงปลอดภัยกว่า

การรั่วไหลของข้อมูลที่เกิดจาก UI รีเซ็ตรหัสผ่าน

  • ขั้นตอนรีเซ็ตรหัสผ่านของเว็บไซต์หลายแห่งจะแสดงตัวเลือกกู้คืน เช่น ลิงก์ทางอีเมล, รหัส SMS, หรือรหัสผ่านการโทร หลังจากป้อนอีเมล
  • เมื่อแสดงตัวเลือก SMS หรือการโทร UI จำนวนมากจะเปิดเผย บางส่วนของเบอร์โทรศัพท์ เพื่อให้ผู้ใช้ระบุหมายเลขของตนได้
  • หากรู้ที่อยู่อีเมล ก็สามารถเริ่ม flow รีเซ็ตรหัสผ่านของหลายบัญชีเพื่อเก็บหลักบางส่วนของเบอร์โทรศัพท์ได้
  • ปัญหาคือไม่มีวิธีมาตรฐานในการมาสก์ ข้อมูลที่ระบุตัวบุคคลได้ (PII) อย่างเบอร์โทรศัพท์ และการทำงานถูกปล่อยให้ขึ้นอยู่กับดุลยพินิจของนักพัฒนาบริการ
  • ในกรณีของ Paypal เมื่อรีเซ็ตรหัสผ่านจะแสดงหลักแรกและสี่หลักสุดท้าย แต่ใน 2FA challenge หลังล็อกอินจะแสดงเพียงสามหลักสุดท้าย
    • สำหรับผู้โจมตีที่รู้เพียงอีเมล จะถูกเปิดเผย 5 หลักจากทั้งหมด 10 หลัก
    • สำหรับผู้โจมตีที่รู้อีเมลและรหัสผ่าน จะเห็นเพียง 3 หลัก

ความแตกต่างของการมาสก์ในแต่ละบริการและผลจากการนำมารวมกัน

  • ตรวจสอบขั้นตอนรีเซ็ตรหัสผ่านของเว็บไซต์ยอดนิยมหลายแห่ง เพื่อเปรียบเทียบว่าเริ่มได้ด้วยอีเมลเพียงอย่างเดียวหรือไม่ รองรับการรีเซ็ตบนมือถือหรือไม่ และเปิดเผยตัวเลขกี่หลัก
  • รูปแบบการเปิดเผยแตกต่างกันในแต่ละบริการ
    • eBay: 3 หลักหน้าและ 2 หลักท้าย
    • Paypal: หลักแรกและ 4 หลักท้าย
    • Yahoo: หลักแรกและ 2 หลักท้าย
    • LastPass: 4 หลักท้าย
    • Google, Facebook, Twitter, Hotmail, Steam: 2 หลักท้าย
  • หากมีทั้งบัญชี eBay และ LastPass จะสามารถรู้ 7 หลัก จากเบอร์โทรศัพท์ 10 หลักได้โดยใช้เพียงที่อยู่อีเมล
  • เพียงการผสมกันนี้ก็ลดช่วงการเดาเบอร์โทรศัพท์จาก 1 พันล้านหมายเลขเหลือ 1,000 หมายเลข

ลดจำนวนตัวเลือกด้วยระบบเบอร์โทรศัพท์ของสหรัฐฯ

  • เบอร์โทรศัพท์ของสหรัฐฯ เมื่อไม่นับรหัสประเทศจะประกอบด้วย 3 ฟิลด์
    • รหัสพื้นที่ (area code หรือ NPA)
    • หมายเลขชุมสาย (exchange หรือ Central Office Code)
    • หมายเลขผู้ใช้บริการ (subscriber number)
  • ข้อมูลที่ได้จากการรวม eBay กับ LastPass คือรหัสพื้นที่และหมายเลขผู้ใช้บริการ ส่วน 3 หลักที่หายไปไม่ใช่ตัวเลขสุ่มธรรมดา แต่เป็น หมายเลขชุมสาย
  • NANPA ดูแลแผนหมายเลขเครือข่ายโทรศัพท์สาธารณะของแคนาดา สหรัฐฯ และดินแดนของสหรัฐฯ รวมถึงบางประเทศในแคริบเบียน
  • NANPA ให้รายชื่อรหัสพื้นที่และหมายเลขชุมสายที่เกี่ยวข้องเป็น ข้อมูลสาธารณะ ซึ่งสามารถค้นดูหรือรับเป็นไฟล์ที่นำไป parse ได้
  • หากเหลือไว้เฉพาะหมายเลขชุมสายที่จัดสรรจริงในแต่ละรหัสพื้นที่ จำนวนตัวเลือกจะลดลง
    • ในรหัสพื้นที่ 415 ของ San Francisco หมายเลขชุมสายที่เป็นไปได้ไม่ใช่ 1,000 หมายเลข แต่มี 784 หมายเลข จึงตัดออกได้ 216 หมายเลข
    • รหัสพื้นที่ 907 ของ Alaska มีหมายเลขชุมสายที่จัดสรรแล้ว 625 หมายเลข
    • รหัสพื้นที่ 253 ของ Tacoma มีหมายเลขชุมสายที่จัดสรรแล้ว 458 หมายเลข จึงตัดออกได้มากกว่าครึ่ง

วิธีใช้ไปถึงระดับบล็อกหมายเลขผู้ใช้บริการ

  • นอกจากรหัสพื้นที่และหมายเลขชุมสายแล้ว ยังสามารถลดตัวเลือกเพิ่มเติมโดยอิงจากบางส่วนของหมายเลขผู้ใช้บริการได้
  • National Pooling Administration ดูแลการ pooling หมายเลข และให้ บันทึกสาธารณะ เกี่ยวกับบล็อกที่ถูกจัดสรร
  • Number pooling คือการจัดสรรหมายเลขในพื้นที่ที่เติบโตเป็นบล็อก ทีละ 1,000 หมายเลข แทนที่จะเป็นหน่วยละ 10,000 หมายเลข
  • เช่น หากใน 415-272-XXXX มีการจัดสรรเฉพาะบล็อก 415-272-9XXX ก็สามารถตัด 415-272-[0-8]XXX ออก และเหลือเฉพาะ 9XXX เป็นตัวเลือก
  • ด้วยวิธีนี้ จำนวนหมายเลขที่ถูกต้องที่เป็นไปได้จะลดจาก 10,000 หมายเลขเหลือ 1,000 หมายเลข

ตัวเลือกที่เหลือกับการรีเซ็ตรหัสผ่านแบบย้อนกลับ

  • หากเป้าหมายในพื้นที่ Tacoma มีบัญชี eBay และ LastPass ขั้นแรกสามารถรวบรวมได้ 7 หลัก แล้วใช้ NANPA ตัดออก 542 หมายเลข เหลือ 458 ตัวเลือก
  • เมื่อใช้ข้อมูล National Pooling Administration ตรวจสอบว่าบล็อกถูกจัดสรรหรือไม่ ในตัวอย่างนี้ตัวเลือกเบอร์โทรศัพท์ที่เป็นไปได้ลดเหลือ 445 หมายเลข
  • เพื่อลดตัวเลือกที่เหลือเพิ่มเติม สามารถใช้แหล่งข้อมูลภายนอก เช่น เสิร์ชเอนจิน, pipl, BeenVerified, Spokeo และบริการค้นหาเบอร์โทรศัพท์ย้อนกลับ
  • ใน Twilio add-on ของ WhitePages เคยสามารถจ่าย 10 เซ็นต์แล้วรับข้อมูลส่วนบุคคลได้เพียงแค่ให้เบอร์โทรศัพท์
  • วิธีเหล่านี้เชื่อถือได้ยาก 100% จึงนำ flow รีเซ็ตรหัสผ่านแบบเดียวกันมาใช้ซ้ำใน ทิศทางย้อนกลับ

บริการที่ให้คำใบ้อีเมลจากเบอร์โทรศัพท์

  • Amazon และ Twitter สามารถเริ่มรีเซ็ตรหัสผ่านได้โดยป้อนเบอร์โทรศัพท์ และจะแสดงบางส่วนของที่อยู่อีเมลที่จะส่งลิงก์รีเซ็ตไปให้
  • Amazon แสดงตัวอักษรแรกและตัวอักษรสุดท้ายของชื่อผู้ใช้ รวมถึงโดเมนทั้งหมด และยังรู้ความยาวของชื่อผู้ใช้ได้จากจำนวนดอกจัน
  • Twitter แสดงสองตัวอักษรแรกของชื่อผู้ใช้และตัวอักษรแรกของโดเมน และรู้ความยาวได้จากจำนวนดอกจัน
  • flow การโจมตีเป็นดังนี้
    • เริ่มรีเซ็ตรหัสผ่านบนหลายเว็บไซต์ด้วยอีเมลของเป้าหมาย เพื่อรวบรวมบางส่วนของเบอร์โทรศัพท์
    • ใช้ข้อมูลสาธารณะของ NANPA และ National Pooling Administration เพื่อตัดรหัสพื้นที่ หมายเลขชุมสาย และบล็อกหมายเลขผู้ใช้บริการที่ไม่มีอยู่จริงออก
    • ลองรีเซ็ตรหัสผ่านด้วยตัวเลือกเบอร์โทรศัพท์ที่เหลือ แล้วเทียบตัวอักษรอีเมลที่ถูกมาสก์กับอีเมลของเป้าหมาย
  • เมื่อทำตามขั้นตอนนี้ จะได้เบอร์โทรศัพท์ 10 หลักที่เชื่อมกับที่อยู่อีเมลโดยไม่ต้องโทรออกแม้แต่ครั้งเดียว

email2phonenumber และ phonerator

  • email2phonenumber เป็นเครื่องมือที่เมื่อป้อนเบอร์โทรศัพท์บางส่วน จะลบรหัสพื้นที่และหมายเลขชุมสายที่ไม่มีอยู่จริงออก และสร้างรายการเบอร์โทรศัพท์ที่ถูกต้องที่เป็นไปได้
  • เครื่องมือนี้ใช้ฟังก์ชันรีเซ็ตรหัสผ่านของ Amazon และ Twitter เพื่อทดลองเบอร์โทรศัพท์ และเทียบอีเมลที่ถูกมาสก์ซึ่งแสดงออกมากับอีเมลที่ป้อน
  • มีการสุ่มพารามิเตอร์คำขอและเลียนแบบพฤติกรรมผู้ใช้ พร้อมรองรับการใช้พร็อกซีเซิร์ฟเวอร์
  • นอกจาก Amazon และ Twitter ยังมีบริการอีกหลายแห่งที่รองรับการรีเซ็ตรหัสผ่านโดยใช้เบอร์โทรศัพท์ และเครื่องมือมีแผนรับการรองรับบริการเพิ่มเติมผ่าน pull request
  • phonerator ถูกวางแผนให้เป็นบริการออนไลน์ที่รวบรวมข้อมูลระบบเบอร์โทรศัพท์ของแต่ละประเทศเพื่อสร้างรายการหมายเลขที่เป็นไปได้ และภายหลังได้เปิดตัวแล้ว
    • มุ่งไปทางการรองรับหลายประเทศ รายละเอียดที่มากขึ้น ประวัติย้อนหลัง และตัวกรองขั้นสูง
    • หากรู้ข้อมูลอย่างผู้ให้บริการโทรคมนาคม พื้นที่ หรือระยะเวลาที่ถือครองหมายเลข ก็สามารถนำมาใช้ลดจำนวนตัวเลือกได้อีก

ปัญหาที่ใหญ่ขึ้นในประเทศที่เบอร์โทรศัพท์สั้น

  • แม้เนื้อหาจะเน้นหมายเลขของสหรัฐฯ แต่ในระบบเบอร์โทรศัพท์ของประเทศอื่น การมาสก์แบบเดียวกันอาจเปิดเผยข้อมูลมากกว่า
  • เบอร์มือถือของสเปนขึ้นต้นด้วย 6 และช่วงหลังใช้ 7 ด้วย โดยมีความยาวรวม 9 หลัก
  • หากบริการอย่าง eBay หรือ LastPass ไม่ลดจำนวนหลักที่เปิดเผยให้เหมาะกับหมายเลขที่สั้นกว่า สำหรับเป้าหมายในสเปน เพียง LastPass ก็รู้ได้ 5 หลัก จากทั้งหมด 9 หลัก
  • ในประเทศที่ใช้เบอร์โทรศัพท์ 7 หลัก เช่น Iceland, Estonia, San Salvador ลูกค้า eBay อาจถูกเปิดเผย 5 จาก 7 หลักให้กับคนที่รู้เพียงอีเมล
  • หากรวมบัญชี eBay และ LastPass ในประเทศเหล่านี้ จะสามารถได้เบอร์โทรศัพท์ทั้งหมดโดยใช้เพียงที่อยู่อีเมล

การโจมตีที่ต่อยอดจากการได้เบอร์โทรศัพท์

  • เมื่อรู้เบอร์โทรศัพท์แล้ว อาจกลายเป็นจุดเริ่มต้นของการโจมตีด้านความปลอดภัยและความเป็นส่วนตัวหลายแบบ
  • เวกเตอร์การโจมตีที่เป็นไปได้มีดังนี้
    • SIM swapping: ใช้ social engineering, การกรรโชก, หรือคนในของผู้ให้บริการโทรคมนาคม เพื่อย้ายหมายเลขไปยัง SIM ของผู้โจมตี แล้วใช้สำหรับรีเซ็ตรหัสผ่านหรือข้าม 2FA
    • การโจมตี SS7: มีการสาธิตในงานประชุมความปลอดภัยหลายแห่งว่าสามารถใช้ประโยชน์จากโปรโตคอลเก่าที่ใช้ในการโต้ตอบระหว่างผู้ให้บริการโทรคมนาคม เพื่อการติดตามตำแหน่งหรือดักฟังการสื่อสารได้
    • การโจมตีวอยซ์เมล: การบุกรุกวอยซ์เมลอาจส่งผลต่อความปลอดภัยของบัญชี
    • การติดตามตำแหน่ง: เคยมีการกล่าวถึงปัญหาการติดตามตำแหน่งจากเบอร์โทรศัพท์แยกต่างหาก
    • การปลอมแปลง caller ID: สามารถใช้บริการออนไลน์ปลอมหมายเลขผู้โทรเพื่อใช้ใน social engineering ได้

มาตรการบรรเทาที่เสนอและการตอบสนองจากการเปิดเผยข้อมูล

  • การมาสก์โดยแสดง PII บางส่วนเพียงอย่างเดียวไม่เพียงพอ
  • ในประเทศที่เบอร์โทรศัพท์สั้น การมาสก์จำนวนหลักเท่ากันจะเปิดเผยข้อมูลในสัดส่วนที่มากกว่า
  • สำหรับอีเมล การปิดบังเฉพาะชื่อผู้ใช้ก็ไม่เพียงพอเช่นกัน เพราะโดเมนอาจเผยที่ทำงาน และ TLD อาจเผยข้อมูลอย่างสถานะนักเรียนหรือประเทศ
  • ทางเลือกคือให้ผู้ใช้ตั้ง ป้ายกำกับ ให้กับอีเมลหรือเบอร์โทรศัพท์
    • เช่น “personal email”, “work phone”
    • ในคำใบ้รีเซ็ตรหัสผ่านให้แสดงป้ายกำกับ แทนชิ้นส่วน PII
  • ผู้ใช้ไม่ควรให้เบอร์โทรศัพท์หากไม่จำเป็นจริง ๆ และหากจำเป็นอาจพิจารณาใช้หมายเลขเสมือนอย่าง Google Voice หรือ SIM แยกต่างหาก
  • ในกระบวนการเปิดเผยข้อมูลอย่างรับผิดชอบ ได้ติดต่อบริการที่แสดงมากกว่า 2 หลัก หรือเปิดเผยโดยรวมรหัสพื้นที่หรือหมายเลขชุมสาย
    • LastPass อัปเดตการมาสก์ให้แสดงเฉพาะ 2 หลักสุดท้าย
    • eBay เปลี่ยนเป็นแสดงหลักแรกและ 2 หลักสุดท้าย แต่ยังไม่สมบูรณ์
    • Yahoo ในขณะนั้นกำลังพิจารณาความเสี่ยงและมาตรการบรรเทา
    • Paypal มองว่าการแสดง 5 หลักให้คนที่รู้เพียงอีเมลเห็นเป็นพฤติกรรมตามการออกแบบ และตัดสินใจไม่ดำเนินการ

1 ความคิดเห็น

 
GN⁺ 2023-11-18
ความคิดเห็นจาก Hacker News
  • ผมซื้ออะไหล่รถจากคนที่ดูเหมือนจะเป็นนักต้มตุ๋นอยู่ครึ่งหนึ่ง เขารับเงินไปหลายสัปดาห์แล้วแต่ยังไม่ได้ส่งของที่สั่งมาครบ
    ระหว่างที่คุยกันบนหลายแพลตฟอร์ม แต่ละแพลตฟอร์มก็ค่อย ๆ เผยชิ้นส่วนของตัวตนออกมาทีละนิด พอเอามาปะติดปะต่อกันก็เชื่อมเป็นภาพรวมได้
    ผมโทรไปที่ที่ทำงานในอุตสาหกรรมเดียวกับอะไหล่ที่เขาขาย ขอให้ส่งอะไหล่มาให้ และถามแบบเบา ๆ ด้วยว่านายจ้างของเขาเกี่ยวข้องกับการขายครั้งนี้หรือไม่ ท่าทีเขาก็เปลี่ยนทันที แล้ววันรุ่งขึ้นก็ส่งของที่ซื้อทั้งหมดพร้อมของแถมอีกหลายอย่างมาให้

    • กลับมาอ่านอีกที เหมือนบางคนตีความว่าจุดที่ผมพูดถึงนายจ้างคือผมสงสัยว่าเขาขโมยอะไหล่จากบริษัทมา แต่นั่นไม่ใช่
      ผมแค่ต้องการ จุดกดดัน เท่านั้น
  • ชิ้นส่วนหนึ่งที่บทความตกหล่นไปคือ ฐานข้อมูล CNAM ซึ่งจำกัดอยู่ในสหรัฐฯ
    CNAM คือฐานข้อมูลที่ผู้ให้บริการโทรคมนาคมใช้แสดง caller ID แบบตัวอักษร เช่น "SMITH JOHN" แทน "+1 (555) 123-4567"
    การค้นหาไม่ฟรี แต่สำหรับเบอร์สักไม่กี่ร้อยเบอร์น่าจะมีวิธีทำได้ในราคาค่อนข้างถูก และเพราะชื่อกับอีเมลมักคล้ายกัน จึงสร้างอัลกอริทึมเพื่อเลือกผู้สมัครที่น่าจะใช่ที่สุดได้
    ข้อมูลมักผิดในแบบที่น่าสนใจอยู่บ่อย ๆ แต่ถึงอย่างนั้นก็ยังมีประโยชน์มาก

    • เรียก API ค้นหาของ Twilio ด้วย curl ก็ได้
      /usr/local/bin/curl -s -X GET "https://lookups.twilio.com/v1/PhoneNumbers/…; -u $accountsid:$authtoken | /usr/local/bin/jq '.'
      จำค่าใช้จ่ายที่แน่ชัดไม่ได้ แต่อาจราว 1 เซนต์ต่อการค้นหาหนึ่งครั้ง และยังแสดงผู้ให้บริการ รวมถึงบอกว่าเป็นมือถือหรือโทรศัพท์บ้านด้วย
    • อย่างน้อยในหน้าจอลูกค้าของ T-Mobile ก็สามารถตั้งค่านี้แยกตามแต่ละสายได้ตามต้องการ [1]
      ผมลองเปลี่ยน CNAM แล้วตรวจสอบด้วยการค้นหาเบอร์ของ Twilio โดยหลักการควรใช้ชื่อคนจริง แต่ในทางปฏิบัติมันเป็น ระบบที่พึ่งพาความซื่อสัตย์
      [1] https://www.t-mobile.com/support/tutorials/device/app/ios/to...
      [2] https://www.twilio.com/code-exchange/lookup
    • ถ้าเป็นไปได้ ผมสงสัยว่าทำไมไม่ผูกสิ่งนี้กับ SSN ของบุคคลไปเลย
  • ผมใช้อีเมลที่เป็นชื่อจริง และเบอร์โทรศัพท์ก็เผยแพร่อยู่ในสมุดโทรศัพท์หลายแห่ง
    ในสวีเดน หากไม่ปฏิเสธเป็นกรณีพิเศษ การเผยแพร่ที่อยู่และเบอร์โทรศัพท์ให้ค้นหาได้ถือเป็นแนวปฏิบัติมาตรฐาน และข้อมูลที่เคยอยู่ในสมุดโทรศัพท์ยุค 80s ก็เหมือนถูกย้ายไปออนไลน์ในยุค 90s
    ข้อมูลส่วนบุคคลที่เปิดเผยแบบนี้อาจมีประโยชน์ แต่ก็อาจถูกนำไปใช้ในทางที่ผิดได้
    อย่างไรก็ตาม เพราะมี PII สาธารณะ จำนวนมาก เช่น SSN, ที่อยู่, เบอร์โทรศัพท์, วันเกิด คนจึงไม่จำเป็นต้องปฏิบัติกับข้อมูลเหล่านี้เหมือนเป็นความลับ และจำเป็นต้องมีบัตรประจำตัวกับ eID ที่เหมาะสม เพื่อไม่ให้การรู้ตัวเลขไม่กี่ตัวทำให้ปลอมตัวเป็นคนอื่นได้ง่าย
    ถ้าใครต้องการเบอร์โทรศัพท์ของผม เขาสามารถใช้อีเมลที่มีชื่อและนามสกุลไปค้นหาในไซต์ค้นหา เจอคนชื่อเดียวกัน 100 คน แล้วถ้ารู้เมืองกับอายุคร่าว ๆ ก็จะจำกัดผู้สมัครให้เหลือไม่กี่คนได้
    บันทึกสาธารณะยังมีวันเกิด รถยนต์ รายได้ และคนที่ลงทะเบียนอยู่ที่ที่อยู่เดียวกันด้วย ดังนั้นการรวบรวมข่าวกรองจากแหล่งเปิดในสวีเดนจึงไม่ยาก

  • น่าแปลกที่ PayPal แสดงตัวเลข 5 หลักรวมรหัสพื้นที่ให้คนที่รู้แค่อีเมล แต่ถ้าผู้โจมตีรู้รหัสผ่านของเป้าหมายกลับแสดงให้เห็นแค่ 3 หลัก
    การที่รายงานว่าสิ่งนี้ “ทำงานตามที่ตั้งใจไว้” แล้วไม่แก้ไขก็ดูแปลกเช่นกัน
    ผมสงสัยว่านักต้มตุ๋นได้เบอร์จาก LinkedIn อย่างไร หรือเชื่อมโยงกับเบอร์จากแหล่งอื่นได้อย่างไร และที่บริษัทหนึ่ง พนักงานก็ยังคงตกเป็นเหยื่อข้อความปลอมจาก CEO ซ้ำ ๆ

    • เพิ่งรู้ตอนนี้เองว่าบทความนี้เขียนเมื่อปี 2019 แต่ใน PayPal มันยังทำงานอยู่จริง ๆ จนถึงตอนนี้
    • น่าจะเป็นไปได้มากว่าในโปรไฟล์มีเบอร์โทรศัพท์ให้เห็น หรือไม่ก็เห็นอีเมลแล้วไปหาเบอร์จากแพลตฟอร์มอื่นอย่าง Facebook
  • ความยุ่งยากในการใช้อีเมลคนละอันและเบอร์ Google Voice คนละเบอร์สำหรับแต่ละบริการ สุดท้ายก็คุ้มค่า

    • ผมทำ ตัวสร้างอีเมลแบบสุ่ม ที่ใช้ฟีเจอร์ + ของ Gmail เพื่อสร้างที่อยู่แบบปะปน
      สำหรับบริการภายนอกจะเห็นเป็น gary+FqZWMK@gmail.com และในกล่องเมลของผมจะเปลี่ยน FqZWMK เป็นชื่อบริการอย่าง Netflix แล้วสร้างโฟลเดอร์ที่จัดระเบียบไว้ให้โดยอัตโนมัติ
      ผมควบคุมการแมปได้เองทั้งหมด จึงสามารถส่งที่อยู่สุ่มหลายอันไปยังกล่องจดหมาย “ใช้ครั้งเดียว” ที่จะถูกจัดเป็นสแปมโดยอัตโนมัติหลังเวลาผ่านไประยะหนึ่งได้ด้วย
    • ถ้ายังไม่ได้ทำแบบนี้และอยากได้ทางออกง่าย ๆ ก็มี Firefox Relay
  • หากต้องการใช้ SIM ที่สอง ในสหรัฐฯ ยังจำเป็นต้องมี อุปกรณ์ dual SIM ซึ่งยังค่อนข้างเป็นตลาดเฉพาะกลุ่ม
    หมายเลข VoIP ถูกหลายเว็บไซต์ตรวจสอบแล้วบล็อก แต่บน Android ยังไม่มีวิธีที่ดีพอสำหรับรับส่งข้อความ SMS ของผู้ให้บริการบนเดสก์ท็อปอย่างเหมาะสม
    อินเทอร์เฟซเว็บของ Google Messages ลืมอุปกรณ์บ่อยเกินไปจนใช้งานจริงจังได้ยาก และหากภายหลังมีการเพิ่มการบล็อก VoIP ก็อาจเกิดปัญหาไก่กับไข่ที่ทำให้ SMS สำหรับการยืนยันตัวตน 2 ขั้นตอนถูกบล็อก จนกลับเข้าใช้บัญชีไม่ได้
    บางบริการอย่างร้านขายยาของ Harris Teeter ไม่ได้ตรวจสอบว่าหมายเลขนั้นติดต่อได้จริงหรือไม่ จึงยอมรับหมายเลข VoIP แต่ระบบไม่สามารถโทรหรือส่ง SMS ไปได้ ทำให้ไม่ได้รับการแจ้งเตือนใบสั่งยา

    • หากเป็นผู้ใช้ Linux KDE Connect คืออินเทอร์เฟซเดสก์ท็อปที่ดีที่สุดสำหรับ SMS และอื่นๆ
      มันเปลี่ยนวิธีที่โทรศัพท์กับแล็ปท็อปโต้ตอบกัน และส่วนตัวแล้วอาจเป็นโปรเจกต์โอเพนซอร์สที่ชอบที่สุด
      สามารถใช้แล็ปท็อปเหมือนคีย์บอร์ด ตอบกลับข้อความจากแอปใดๆ ที่ส่งการแจ้งเตือน หรือส่งไฟล์ได้รวดเร็วและดีกว่าวิธีอื่นๆ
    • สุดท้ายก็ซื้อ SIM แบบเติมเงินกับฟีเจอร์โฟนเครื่องเล็กๆ มาใช้ เฉพาะสำหรับการยืนยันตัวตน 2 ขั้นตอน
      ขนาดประมาณอุปกรณ์ 2FA แบบบัตรรหัสผ่านสมัยก่อน และจุดเริ่มต้นคือภรรยามักเอาโทรศัพท์จริงของผมไปเพื่อรับรหัสความปลอดภัยของบัญชีที่ใช้ร่วมกัน
      ความปลอดภัยเชิงปฏิบัติการก็ดีขึ้นเล็กน้อยเมื่อเทียบกับการใช้หมายเลขโทรศัพท์จริง
    • หรือไม่ก็ใช้อุปกรณ์ที่รองรับ eSIM ได้ และอย่างน้อย iPhone ทุกรุ่นตั้งแต่ปี 2018 เป็นต้นไปก็เข้าเงื่อนไข
    • eBay ไม่บล็อกหมายเลข Google Voice
      จากประสบการณ์ของผม เว็บไซต์ที่บล็อกมีประมาณ Discord เท่านั้น
      ส่วนตัวแล้วผมชอบใช้ที่อยู่อีเมลเฉพาะสำหรับแต่ละบัญชีที่เดายากหน่อย เช่น ebpnw@mydomain.com เพื่อให้ผู้โจมตีต้องเดาอีเมลให้ถูกด้วย
    • หมายเลข Google Voice อาจถูกตรวจพบได้แม้เป็นหมายเลขที่ย้ายมาจาก AT&T และ Twilio API จะแสดงว่าเป็น Google Voice
      iPhone แบบ dual SIM ใช้ได้ตั้งแต่ iPhone XS, iPhone XS Max และ iPhone XR เป็นต้นไป
      ที่มา: https://support.apple.com/en-us/HT209044
      อย่างน้อยก็มี iPhone แบบ dual SIM ที่มี eSIM อย่างน้อยหนึ่งซิมมาแล้วถึง 6 เจเนอเรชัน
  • การรั่วไหลของข้อมูลแบบไม่ประสานกันเช่นนี้เป็นปัญหาที่ลึกกว่า
    หลายแห่งแชร์ เลข SSN สี่หลักสุดท้าย โดยในอดีตเลขห้าหลักแรกมักคาดเดาได้ง่ายจากวันเกิดและรัฐที่เกิด และเลขช่วงต้นยังบอกได้ด้วยว่าหมายเลขออกในรัฐใด

    • ใช้ได้เฉพาะกับหมายเลขที่ออกก่อนปี 2011
      ผู้ใหญ่ในปัจจุบันส่วนใหญ่ยังรวมอยู่ในกลุ่มนี้ แต่ก็ต้องแยกแยะให้ชัด
    • ปัญหาหลักคือเรามีระบบที่โง่สุดๆ ซึ่งเพียงแค่รู้ ตัวเลขเก้าหลัก ก็สร้างความเสียหายจริงได้
      มันไม่ได้หยุดการติดตามและการเก็บข้อมูลของรัฐบาลกับองค์กรขนาดใหญ่เลย แต่เรายังต้องเชื่อมกับระบบบัตรประจำตัวประชาชนชั่วคราวโดยพฤตินัยทุกครั้งที่ทำเรื่องสำคัญ ขณะที่ไม่มีข้อดีใดๆ ของระบบบัตรประจำตัวประชาชนที่แท้จริง
      ทำให้เกิดความทุกข์และเสียเวลาอย่างมหาศาลโดยไม่มีเหตุผล
    • สำหรับหลายคน เลขสี่หลักสุดท้ายก็เป็นปีเกิดของแม่จริงๆ
  • ผมสงสัยมาตลอดว่านักวิจัยด้านความปลอดภัยให้เหตุผลอย่างไรในการเผยแพร่ เครื่องมืออัตโนมัติสำหรับสร้างอีเมล→หมายเลขโทรศัพท์ แบบในบล็อกโพสต์นี้
    เครื่องมือแบบนี้มีแนวโน้มสูงมากที่จะถูกใช้ในทางไม่ดีหรือชวนขนลุก มากกว่าจะใช้ในทางที่ดี
    สงสัยว่าเพราะเป็น “งานวิจัย” เลยไม่เป็นไร และยังไงก็เป็นพื้นที่สีเทาจึงปล่อยผ่าน หรือเพราะได้คุยกับบริษัทที่เปิดช่องโหว่แล้วและตอนนี้ถูกทำให้ใช้ไม่ได้แล้ว จึงรู้สึกว่าโอเค

    • ผมมองว่าเป้าหมายของการเปิดเผยแบบนี้คือทำให้บริษัทต่างๆ อุดช่องโหว่ เพื่อลดข้อมูลที่รั่วจากกระบวนการรีเซ็ตรหัสผ่าน
      ตัวอย่างที่ดีคือ Firesheep ซึ่งเพียงแค่รันปลั๊กอิน Firefox บน Wi-Fi สาธารณะ ก็สามารถดึงเซสชันของผู้ใช้ในเครือข่ายเดียวกันที่ล็อกอินผ่าน HTTP ได้ทันที
      ตอนนั้น Facebook ใช้ HTTP เป็นค่าเริ่มต้น และเมื่อปลั๊กอินนี้กลายเป็นข่าว ก็สร้างแรงกดดันให้บังคับใช้ HTTPS แทบจะในชั่วข้ามคืน และหลายบริษัทก็ทำตาม
      จะบอกว่าการเปิดเผยครั้งนั้นเร่งการนำ HTTPS มาใช้ไปมากก็ไม่เกินจริง
      ไม่รู้ว่าการเปิดเผยครั้งนี้จะมีอิทธิพลระดับนั้นหรือไม่ แต่ผมมองว่าดีกว่าปล่อยให้มีแต่ฝ่าย black hat ที่รู้เทคนิคแบบนี้
    • คล้ายกับการที่สื่อรายงานข่าวซึ่งอาจส่งผลลบต่อบางฝ่ายที่เกี่ยวข้อง
      เราสามารถชั่งน้ำหนักได้ว่า “เมื่อเผยแพร่ข้อมูลนี้แล้ว ประโยชน์มากกว่าโทษหรือไม่?”
      ข้อมูลที่ Martin Vigo เผยแพร่ในปี 2019 ช่วยให้ผมแจ้งนายจ้างและลูกค้าปัจจุบันเกี่ยวกับ threat model เพิ่มเติมที่ควรพิจารณาเมื่อกำหนดวิธีรีเซ็ตรหัสผ่าน
      ถ้าจะปกป้องเขา proof of concept ที่เผยแพร่เดิมก็อยู่ในรูปแบบที่ค่อนข้างจำกัด ต้องมีบัญชี Twilio จึงมีอุปสรรคในการเริ่มใช้ และหากนำไปใช้ก่ออาชญากรรมก็ทิ้งเบาะแสให้นักวิเคราะห์ด้วย
    • การเผยแพร่ความรู้มีเหตุผลเชิงจริยธรรมอยู่พอสมควร แต่ผมไม่คิดว่าเป็นเช่นนั้นกับการเผยแพร่เครื่องมือ
      ดูเหมือนจะเป็นความลับที่รู้กันทั่วไปว่า คนจำนวนไม่น้อยที่เข้ามาในวงการ cybersecurity จริงๆ แล้วเข้ามาเพราะชอบการเจาะระบบความปลอดภัยอย่างชาญฉลาด มากกว่าชอบช่วยให้ผู้อื่นปลอดภัย
      อย่างไรก็ตาม งานวิจัยด้านความปลอดภัยเป็นสิ่งถูกกฎหมาย ส่วนการแฮ็กเป้าหมายแบบสุ่มนั้นผิดกฎหมาย
    • เมื่อจะโน้มน้าวผู้บริหารว่าบริษัทต้องอัปเดต security posture แทบไม่มีอะไรได้ผลเท่ากับเดโมที่นำไปใช้ได้ทันที
    • ฝ่ายร้ายรู้อยู่แล้วเกี่ยวกับเทคนิคแบบนี้และช่องโหว่อีกมากมาย ดังนั้นผมคิดว่าการเปิดโปงเรื่องน่าอายของอุตสาหกรรมเพื่อกดดันให้ขยับตัวก็ถือว่าโอเค
      เมื่อเกิดการดำเนินคดี บริษัทก็จะอ้างได้ยากขึ้นว่าไม่รู้มาก่อน