研究：美国五大运营商SIM卡交换策略存在漏洞 易被攻击者利用
发布时间：2020-01-15 16:35:25 所属栏目：资源 来源：站长之家
导读：普林斯顿大学(Princeton)的一项研究(PDF)发现，美国 5 家预付费运营商使用的SIM卡交换认证 技术 容易遭攻击者利用，可重置受害者的密码以及获取隐私权限。 据engadget介绍，研究人员在ATT、T-Mobile、Tracfone、US Mobile和Verizon Wireless五家运营商各注
普林斯顿大学(Princeton)的一项研究(PDF)发现，美国 5 家预付费运营商使用的SIM卡交换认证技术容易遭攻击者利用，可重置受害者的密码以及获取隐私权限。 据engadget介绍，研究人员在AT&T、T-Mobile、Tracfone、US Mobile和Verizon Wireless五家运营商各注册了 10 个预付账户，总共注册了 50 个。他们发现，他们只需要成功地回答一问题，就可以验证他们的身份，并让公司将他们的服务切换到他们已经拥有的SIM卡上。即使他们在其他身份验证中出错也没不受影响。  攻击者可以用这种简单交换技术控制受害者的电话号码，还可以用这个号码重置受害者的密码和获得权限，比如访问他们电子邮件和****账户。 为了测试运营商的安全措施，研究人员打电话给这些运营商，要求更换SIM卡，并故意提供了错误的密码，迫使客户服务代表尝试另一种身份验证方法。当被问及账户持有人的出生日期或账单邮编时，研究人员会故意提供了错误的信息。 接着，客户服务代表不得不转向到第三种类型的身份验证方法，即询问调用者最近的两次电话拨打情况。正是通过这种方法，研究人员成功地完成了SIM卡交换。这样的策略引发研究人员的担忧，因为攻击者很容易欺骗受害者，让他们拨打随机电话号码。 此外，研究人员还调查了 140 个使用手机身份验证的热门网站和服务，以了解攻击者能对他们劫持的号码做些什么。他们只使用被劫持的SIM卡就可以轻松地重置其中 17 个服务的密码，因为他们无需进行其他身份验证。 对于该项研究，T-Mobile本月回复表示，不再使用通话记录作为身份验证的一种形式。目前，其它四家电信运营商则尚未作出回应。（编辑：51站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |