Il metodo di attacco principale contro l'OTP tramite messaggio di testo è " scambio sim" e assumere il numero di telefono del bersaglio. Se il sito fornisse il numero completo in questo scenario, fornirebbe all'autore dell'attacco esattamente le informazioni di cui ha bisogno per violare la sicurezza utilizzata.

(Per sollevare commenti: in generale, altro sono necessarie informazioni personali, se intendi fare in modo che il personale addetto alle telecomunicazioni dell'ingegnere sociale sostituisca la SIM. In alcuni luoghi e con alcuni gestori, è ancora più difficile, poiché è necessario presentare l'ID di persona. Ma ci sono anche casi in cui è richiesto nient'altro che il numero di telefono, anche con protezioni avanzate, se il personale delle telecomunicazioni è in collusione con gli aggressori.

Non si tratta di una "vulnerabilità". Si tratta di informazioni di identificazione personale (PII). È lo stesso motivo per cui i numeri delle carte di credito non vengono visualizzati per intero sui siti.

Chiunque passi vicino al tuo schermo, registrando telecamere, ecc. Vedrebbe le informazioni. E non è necessario mostrare il numero intero. È solo un promemoria per l'utente.

Se fosse elencato il numero completo, potrei visitare il tuo account, richiedere una nuova password e conoscere il tuo numero di telefono. Le ultime due cifre sono un compromesso che ti consente di conoscere il suo (probabile) numero senza rivelare il tuo numero di telefono a chiunque desideri visualizzarlo sul sito web.

Ebbene, la cosa su cui siamo tutti d'accordo è che mostrando il numero di telefono completo, l'applicazione perde informazioni sensibili sull'utente. Non so quale regolamento si applichi al tuo paese, tuttavia, in base al GDPR, i numeri di telefono del regolamento europeo sono considerati informazioni personali e in quanto tali devono essere gestiti in modo appropriato. Ciò significa che se il numero di telefono viene rivelato a un altro utente, l'applicazione / sito Web non è conforme a GDPR. Anche in questo caso non so quali normative si applichino nel tuo caso specifico, ma penso sia utile averlo in mente quando sviluppi la tua applicazione.

Ora consideriamo lo scenario in cui l'utente malintenzionato TRUDY è in qualche modo atterrato la schermata OTP e viene visualizzato un messaggio Un Otp è stato inviato a +30 0000000001 cosa può fare TRUDY con quello? Posso pensare a 4 scenari

1. scambio sim Come descritto da gowenfawr. Ciò potrebbe avere una leva di successo diversa a seconda del processo di scambio sim implementato da ciascun operatore.
2. Ingegneria sociale . Invio di messaggi come azienda come Tua_azienda.com Fare clic sul collegamento per inserire otp / password e altri messaggi di phishing.
3. OSINT . I numeri di telefono sono abbastanza univoci da aiutare un utente malintenzionato a eseguire un'indagine open source sull'utente nei social media e su altre piattaforme che potrebbero essere utilizzate nelle e-mail di spear phishing o per rispondere a domande di sicurezza come Da quale paese / stato vieni codice>. Ovviamente questo non è lo scenario più probabile e richiede a TRUDY di investire tempo in modo specifico per questo utente.

Per concludere fintanto che TRUDY non può utilizzare il numero di telefono per ottenere ulteriore accesso nel tuo sistema Direi che non si tratta di una vulnerabilità.

Tieni presente che la sicurezza di un numero di telefono può essere diversa a seconda degli operatori di telefonia mobile. Non sai quanto seriamente qualche altra organizzazione non correlata alla tua organizzazione prenda la sicurezza. Questo è particolarmente vero se i tuoi clienti sono residenti in paesi lontani e sai molto poco su come lavorano gli operatori lì. Nel mio paese è possibile venire in un centro di operatori di telefonia mobile e convincere la gente a darti semplicemente la carta SIM del numero di telefono desiderato. Tutto quello che devi dare loro sono copie false del passaporto e potrebbero non preoccuparsi di controllarle. Quindi non c'è bisogno di alcune fantasiose vulnerabilità 0-day e abilità di hacking, basta parlare con alcune persone non correlate. Questo è successo spesso in passato ed è un enorme problema di sicurezza. Alcune persone hanno perso l'accesso ai loro siti o nomi di dominio a causa di ciò e hanno perso enormi quantità di reddito. Gli hacker hanno utilizzato l'autenticazione a fattore singolo basata sul numero di telefono per ottenere l'accesso ai loro account e rubarli.

Vorrei fornire collegamenti ad esempi ma sono in una lingua diversa e non voglio essere accusato di diffamazione.

Per farla breve: la protezione del numero di telefono non è affatto buona, almeno quando si tratta di un singolo fattore IMHO.

Non sono un esperto Ma quando devo cambiare la password dei miei account Google. Mi dicono sempre che l'OTP è stato inviato a questo numero specifico.

Ho diversi numeri di cellulare. E non ricordo quale numero di telefono ho usato su un sito web. alcuni vecchi siti web hanno inviato l'OTP al numero di telefono che non possiedo adesso, quindi sarebbe un problema se non mostrassero a quale numero stanno inviando l'OTP.

Quindi lo consiglierei mostrando il numero collegato all'account di cui vogliono cambiare la password.

finalmente, direi che ci sono migliaia di vulnerabilità Ma non le teniamo in considerazione perché la probabilità che accada è minuta e non vale il disagio causato da esso