基于语音(TTS)的2FA能否被截获？

Question

6月中旬，Lastpass再次发布新闻，我一直在讨论双因素认证的想法。在熟悉了SMS和Google身份认证之后，我觉得短信更方便用户。虽然不像后者那样广泛或安全，但它肯定比单一密码好..？

不管怎么说，我在Tasker (自动化应用程序)里面闲逛，突然想到了一个主意。在基于短信的2FA上使用文本对语音(大声朗读)是否是个坏主意？会不会比解锁电话和阅读信息更不安全？考虑到权限/恶意软件/等，我觉得它可以被拦截，如果它想要，但我没有教育的原理图，以更好地了解。我想知道这是一个可行的选择，还是太不安全？

Answer 1

我认为答案取决于你想要保护什么。当然，大声读取消息会降低作为2FA的SMS消息的安全性。这意味着有人可以获得你的手机，并使用它作为一个2FA的Lastpass，而不需要解锁您的手机。

但是，如果您关注的是针对LP的通用网络攻击，类似于最近的6月中旬，我不认为大声说出auth代码会降低安全性。

在大多数情况下，LP提供的任何2FA机制都比使用单因素身份验证更安全。因此，在大多数情况下，即使是语音短信也会有所帮助。

PS:有一件事要记住，短信不是端到端加密的.当然，您的移动提供商可以读取您的短信。这是可能的其他应用程序在你的手机也可以。像PushBullet这样的应用程序可以将短消息复制到计算机上(很可能是普什佩尔的服务器)，这进一步增加了攻击者查看短信的可能性。有关2 2FA的短消息安全的更多信息，请参见此答案。

Answer 2

大多数攻击发生在网络上，而短信正在传输。一旦它到达您的设备，只要该设备是安全和可信的，并且只要TTS发生在设备上，并且不调用任何在线TTS API (如果该设备被破坏，使用TTS或甚至morse代码闪烁不会改变任何事情，攻击者就可以在屏幕亮起显示通知之前获取2FA代码)。

我猜潜在的漏洞是TTS会在不需要你解锁手机的情况下发生，所以盗取你的设备的攻击者将不需要知道它的密码就能听到你的2FA密码。

Answer 3

如果我的理解是正确的，你的意思是收到一条短信，让你的手机捕捉你说的代码/文字大声。我看到两个潜在的恶意行为者:外部实体和你的手机。如果您周围的人知道您正在使用该方法，他/她可能会捕获您的声音，然后将其用于进一步的身份验证(通过保留声音和更改代码/文本)。然后，这将要求恶意攻击者访问sms以了解消息，并访问电话以捕获语音(受害者的电话与帐户相连)。此外，你也不安全地被捕捉到你的声音(除非你停止说话:P)。至于手机作为一种威胁，恶意软件可能会捕获您的声音和代码，但再次，如果您的手机被破坏，您有更大的问题，即使没有语音认证，您将被搞砸。

现在，我能做的是:坐在你旁边的星巴克，让我们假设我知道你的电子邮件(我说的是一个典型的2FA在gmail)。我可以尝试稍微登录后，你(短信接收几乎是即时的)。你会背诵发送给我认证的短信。现在我加入:)。这假设这个人认为来自谷歌的错误，它发送给你两个代码(非偏执让它通过)。您会注意到您无法登录并请求另一个代码/消息。不过，我已经在读你的电子邮件了。

我必须说，这将是很有趣的观看。

注意安全！