هل تستخدم الرسائل النصية للمصادقة متعددة العوامل؟ ربما ينبغي عليك التحول إلى طريقة مختلفة، خاصة مع كل ما نتعلمه عن الاختراق الأخير الذي أطلق عليه اسم “الأسوأ في تاريخ أمتنا”. حتى أن الحكومة الفيدرالية تصدر تحذيرات الآن، بما في ذلك دعوة المسؤولين الحكوميين لاستخدام التطبيقات المشفرة فقط للاتصالات.
تسلل قراصنة متحالفون مع الحكومة الصينية إلى البنية التحتية للاتصالات الأمريكية بعمق لدرجة أنها سمحت باعتراض الاتصالات غير المشفرة لعدد من الأشخاص، وفقًا لتقارير ظهرت لأول مرة في أكتوبر. ومن الواضح أن العملية، التي أطلق عليها اسم Salt Typhoon، سمحت للمتسللين بالاستماع إلى المكالمات الهاتفية وضبط الرسائل النصية، وكان الاختراق واسع النطاق لدرجة أنه لم يتم تمهيدهم من شبكات الاتصالات حتى الآن.
أصدرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) إرشادات هذا الأسبوع حول أفضل الممارسات لحماية “الأفراد المستهدفين بشدة”، والتي تتضمن تحذيرًا جديدًا بشأن الرسائل النصية.
“لا تستخدم الرسائل القصيرة كعامل ثانٍ للمصادقة. لا يتم تشفير الرسائل النصية القصيرة، حيث يمكن لجهة التهديد التي تتمتع بإمكانية الوصول إلى شبكة مزود الاتصالات والتي تعترض هذه الرسائل قراءتها. إن خدمة SMS MFA ليست مقاومة للتصيد الاحتيالي، وبالتالي فهي ليست مصادقة قوية لحسابات الأفراد المستهدفين بشكل كبير،” كما جاء في التوجيه، الذي تم نشره عبر الإنترنت.
لا تسمح كل الخدمات بالمصادقة متعددة العوامل، وفي بعض الأحيان تكون الرسائل النصية هي الخيار الوحيد. ولكن عندما يكون لديك خيار، فمن الأفضل استخدام أساليب مقاومة للتصيد الاحتيالي مثل مفاتيح المرور أو تطبيقات المصادقة. تستهل CISA توجيهاتها بالإصرار على أنها تتحدث فقط عن الأهداف ذات القيمة العالية.
ومن المثير للدهشة أنه حتى مكتب التحقيقات الفيدرالي (FBI) خرج ليؤيد استخدام التشفير، وهو ما يشير ربما إلى مدى خطورة هذا التطفل على البنية التحتية للاتصالات في الولايات المتحدة. يتمتع مكتب التحقيقات الفيدرالي (FBI) بتاريخ طويل جدًا في معارضة التشفير من أي نوع، على الأقل دون توفير نوع من الباب الخلفي الذي يمكن لسلطات إنفاذ القانون المرور من خلاله. توفر تطبيقات مثل Signal تشفيرًا شاملاً للمراسلة، على الرغم من أنها لا تجعل من المستحيل اختراقها.
وقالت CISA في توجيهاتها الجديدة: “اعتمد تطبيق مراسلة مجاني للاتصالات الآمنة التي تضمن التشفير الشامل، مثل Signal أو تطبيقات مماثلة”. “توصي CISA بتطبيق مراسلة مشفر من طرف إلى طرف متوافق مع كل من أنظمة تشغيل iPhone وAndroid، مما يسمح بقابلية التشغيل التفاعلي للرسائل النصية عبر الأنظمة الأساسية. قد توفر مثل هذه التطبيقات أيضًا عملاء لنظام التشغيل MacOS وWindows وLinux، وأحيانًا الويب.
كانت هناك انتقادات لكل من الحكومة الفيدرالية وشركات الاتصالات لعدم أخذ Salt Typhoon على محمل الجد بما فيه الكفاية. تحدث السيناتور مارك وارنر، وهو ديمقراطي من فرجينيا، مع واشنطن بوست ونيويورك تايمز في أواخر نوفمبر حول التهديد ودق ناقوس الخطر. ولكن كان هناك سؤال عالق حول ما يمكن للشخص العادي أن يفعله حيال أي منها. يبدو أن الإجابة هي أن الأشخاص العاديين يمكنهم الاستجابة لنصيحة وكالات مثل CISA عندما يصدرون إعلانات مخصصة للأفراد البارزين.