Inga kedja är starkare än sin svagaste länk heter det som bekant. Ett exempel på detta som ofta används i säkerhetssammanhang är XKCD:s "5 dollar wrench attack".
Poängen är alltså att oavsett hur svårt det är rent tekniskt att få tag i dina pengar eller din data så kan någon lyckas genom att hota dig och skrämma dig tillräckligt mycket för att du helt enkelt ska lämna över uppgifterna, d.v.s. t.ex. lösenord eller annan känslig information. Och då kan förstås hela eller stora delar av ditt säkerhetstupplägg sättas ur spel.
Bitcoinföretaget Casa skrev häromdagen en artikel [länk borttagen] där de berättar om hur en av deras kunder råkat ut för en attack som lyckligtvis misslyckades, enligt dem själva tack vare deras multisig-lösning. Offret var en man som använde Tinder och där kom i kontakt med en kvinna som verkade intressant, delvis för att hon uppgav sig jobba som crypto trader, något som de hade gemensamt. På den faktiska dejten så nämnde hon att hon fått 1 bitcoin av sina föräldrar men pratade sedan inte mer om bitcoin under dejten, något som mannen i fråga inte verkade fundera närmre över men som kanske kan vara värt för andra att ta till sig som en varningsklocka.
De bestämde sig för att gå hem till mannen och köpte på vägen med sig alkohol. Vid ett tillfälle när mannen gick på toaletten tror polisen nu att hon spetsade hans drink med Skopolamin eller Benzodiazepiner, substanser som bl.a. kan göra att man förlorar hämningarna, sin fria vilja och drabbas av minnesförlust. Mannen har ett svagt minne av att ha gett kvinnan tillgång till hans mobil och lösenord. När han vaknade upp dagen därpå så märkte han att mobilen var borta men att övriga värdesaker som kreditkort, kontanter, pass mm inte hade rörts.
Strategin från brottslingarna är alltså att först få full tillgång till personens mobil för att sedan utnyttja denna för att ta över olika konton. De flesta har förstås sin mejl tillgänglig på telefonen och i många fall räcker det för att återställa lösenordet till ett konto. Har personen tvåfaktorsinloggning i form av antingen SMS, mejl, eller en authenticator-app som Google Authenticator så sätts denna extra säkerhet ur spel om man har personens upplåsta mobil. Detta är faktiskt en sak som är värd att upprepa. För väldigt många där ute så har en upplåst mobil tillgång till båda de faktorer som krävs i en tvåfaktorsinloggning. Mejlen ger dig lösenordet och en app eller ett SMS ger dig engångskoden. Det här är förstås precis det problem som tvåfaktorsautentisering är tänkt att lösa. Tanken är att det inte ska räcka med att komma över 1 sak utan att det ska krävas flera olika men trots det är det ofta såhär verkligen ser ut. Några lärdomar som vi kan dra av detta är:
- Betrakta din mobil som en värdehandling och lämna den aldrig olåst.
- Om möjligt, se till att din mejlapp och/eller authenticator-app kräver t.ex. en PIN-kod, fingeravtryck eller FaceID varje gång den öppnas.
- För bästa säkerhet, använd en fysiskt separat enhet som andra faktor, t.ex. en Yubikey.
Inget av dessa tips hade dock hjälpt i scenariot där du blir drogad av frivilligt lämnar ut din känsliga information. Så åter till berättelsen, vad kom egentligen rånarna över och hur? Enligt Casa kunde rånaren tömma ett konto som offret hade på en börs, förmodligen just genom att åsidosätta tvåfaktorsinloggningen enligt ovan. Däremot var de bitcoin som förvarades m.h.a. Casa säkra.
Since the attacker only had 1 of the client's 5 keys to his Casa multisig, those funds could not be spent.
Det framgår inte här exakt vilken setup som personen använde sig av men Casas Platinum och Diamond-nivåer förklaras på deras hemsida med den här bilden:
Den som kallas mobile key finns alltså på din mobil och det var den som förövaren hade tillgång till. Det är dock inte svårt att tänka sig att rånaren skulle kunna få tillgång även till den hårdvaruplånbok som på bilden heter hardware key eftersom den sannolikt förvaras hemma, och om det gick att lura av offret koden till mobilen går det ju på samma sätt att lura till sig koden till hårdvaruplånboken. Hur som helst ger detta bara 2 av de 3 nycklar som krävs. Den nyckeln som Casa förvarar åt dig kommer man bara (på Platinum-nivån) åt genom ett videosamtal så här skulle rånaren få problem då det förstås är svårt att dölja att offret inte är vid sina sinnens fulla bruk.
De sista två nycklarna är troligtvis geografiskt separerade, office key på personens kontor och safe key någon annanstans. Även dessa blir alltså svårt för förövaren att komma över, dock inte helt omöjligt. En mycket sofistikerad attack skulle kunna få personen att bege sig till sitt kontor tillsammans med förövaren för att där plocka fram den 3:e nyckeln, men det är helt klart ett betydligt svårare scenario att lyckas med.
Slutsatsen är att för att på bästa sätt säkra dig mot såväl 5 dollar wrench-attacker som "Tinderattacker" så måste du separera dina nycklar i rum eller i tid (eller både och). Alltså, antingen ser du till att dina nycklar finns på geografiskt olika ställen så att det blir praktiskt omöjligt för en rånare att få dig att komma åt dem båda inom rimlig tid. Eller så ser du till att det finns någon form av tidlås så att dina pengar inte går att flytta inom t.ex. 24 timmar. Har du en tredje part som förvarar en av nycklarna så bör man minst se till att denne kräver verifiering via videosamtal som Casa gör.
Hoppas detta gav dig som förvarar stora summor bitcoin en extra tankeställare om vad du behöver tänka på.
Kommentarer