A technológiai iparág egyre inkább a jelszavak helyett biztonságosabb bejelentkezési módszerek – például a biometrikus azonosítás vagy passkey-megoldások – felé mozdul el. Az SMS-alapú kétfaktoros hitelesítés (2FA) régóta nem számít ideális megoldásnak, azonban eddig a legtöbb szakértő egyetértett abban, hogy jobb, mint semmilyen védelem. Úgy tűnik, a Google végleg szakít ezzel a módszerrel a Gmail esetében.
A Google egyik szóvivője, Ross Richendrfer szerint a vállalat célja a jelszavaktól való eltávolodás és egy biztonságosabb hitelesítési rendszer kiépítése. Ennek érdekében a Gmail felhasználók az eddigi SMS-kódok helyett QR-kódokat fognak használni a hitelesítés során. A Google célja ezzel az egyre növekvő globális SMS-alapú visszaélések csökkentése.
Az SMS-kódokat eddig két fő célra használták: a fiókok biztonságának megerősítésére és a visszaélések elleni védelemre. A Google például így akadályozta meg, hogy csalók tömegesen hozzanak létre hamis Gmail-fiókokat spam vagy kártékony programok terjesztésére. Azonban az SMS-alapú hitelesítés jelentős biztonsági kockázatokat rejt magában.
Miért problémás az SMS-kód?
Richendrfer és kollégája, Kimberly Samra elmagyarázták, hogy az SMS-alapú hitelesítés számos veszélyt hordoz magában. Az SMS-ek könnyen lehallgathatók, a felhasználók nem mindig férnek hozzá a telefonjukhoz, és a mobilszolgáltatók biztonsági gyakorlatai sem mindig megbízhatók. Egy csaló például könnyedén ráveheti a szolgáltatót arra, hogy átirányítsa egy adott telefonszám hívásait és üzeneteit, ezzel pedig teljesen megszűnik az SMS-alapú védelem értéke.
Emellett az utóbbi években egyre elterjedtebbé vált egy úgynevezett „traffic pumping”, vagy mesterséges forgalom generálása nevű csalási módszer. Ennek lényege, hogy bűnözők olyan telefonszámokat hoznak létre, amelyekre nagy mennyiségű SMS-t küldenek ki különböző online szolgáltatások, majd minden egyes elküldött üzenet után pénzt szereznek a szolgáltatótól. A Google szerint ez a módszer jelentős anyagi károkat okoz, miközben veszélyezteti a felhasználók biztonságát is.
Hogyan működik majd az új rendszer?
A következő hónapokban a Google fokozatosan áttér egy új hitelesítési eljárásra, amelyben az SMS-kód helyett egy QR-kód jelenik meg a felhasználók képernyőjén. Ezt a QR-kódot a telefon kamerájával kell majd beolvasni, így azonosítva magukat a Google-fiók tulajdonosai.
A QR-kód alapú hitelesítés előnyei:
- Csökkenti a felhasználók adathalász támadásoknak való kitettségét, mivel nem lesz olyan kód, amelyet el lehetne lopni.
- Megszünteti a mobilszolgáltatókra való támaszkodást, csökkentve ezzel az SMS-es csalások kockázatát.
(A QR-kód használata sem nyújt teljes biztonságot, ugyanis terjedőben van a „quishing”, vagyis a QR-kóddal elkövetett adathalászat, illetve, orosz hackerek lopják az ukrán katonák üzeneteit – a szerk.)
A Google szerint ez az új hitelesítési módszer jelentős lépés a felhasználók védelmének növelése érdekében. „Az SMS-kódok magas kockázatot jelentenek, ezért örömmel mutatunk be egy innovatív megoldást, amely szűkíti a támadók mozgásterét és biztonságosabbá teszi a Gmail-fiókokat”, mondta Richendrfer. A vállalat egyelőre nem közölt pontos dátumot az átállásra, de annyi biztos, hogy az elkövetkező hónapokban számíthatnak a felhasználók a változásra.
