Von E-Mail bis Telefonnummer: ein neuer OSINT-Ansatz (2019)
(martinvigo.com)- UIs zum Zurücksetzen von Passwörtern zeigen zur Kontobestätigung teilweise Telefonnummern an, sodass sich nur mit einer E-Mail-Adresse über mehrere Dienste Fragmente einer Nummer sammeln lassen
- Da Dienste sich in ihren PII-Maskierungsregeln unterscheiden, lässt sich durch die Kombination der bei eBay, Paypal, Yahoo, LastPass, Google, Facebook, Twitter, Hotmail und Steam sichtbaren Stellen ein erheblicher Teil einer 10-stelligen US-Telefonnummer offenlegen
- Mit den öffentlich verfügbaren Zuteilungsdaten von NANPA und der National Pooling Administration lassen sich Kandidaten anhand von Vorwahl, Vermittlungsstellennummer und Teilnehmernummernblock stark eingrenzen
- Dienste wie Amazon und Twitter, die beim Start einer Passwortzurücksetzung per Telefonnummer Teile der E-Mail-Adresse anzeigen, können genutzt werden, um die verbliebenen Nummernkandidaten mit maskierten E-Mail-Hinweisen abzugleichen
- Die Offenlegung von Telefonnummern kann zu SIM-Swapping, SS7-Angriffen, Voice-Mail-Kompromittierung, Standortverfolgung und Caller-ID-Spoofing führen; sicherer wäre es daher, in Wiederherstellungshinweisen statt PII-Fragmenten vom Nutzer festgelegte Labels anzuzeigen
Informationsleck durch UIs zur Passwortzurücksetzung
- Die Passwortzurücksetzung auf vielen Websites zeigt nach Eingabe einer E-Mail-Adresse Wiederherstellungsoptionen wie E-Mail-Link, SMS-Code oder Code per Telefonanruf an
- Wenn SMS- oder Anrufoptionen angezeigt werden, legen viele UIs Teile der Telefonnummer offen, damit Nutzer ihre Nummer identifizieren können
- Wer die E-Mail-Adresse kennt, kann bei mehreren Konten den Ablauf zur Passwortzurücksetzung starten und so einzelne Ziffern der Telefonnummer erhalten
- Das Problem ist, dass es keinen Standard dafür gibt, wie personenbezogene Informationen (PII) wie Telefonnummern zu maskieren sind, und die Umsetzung im Ermessen der Entwickler des jeweiligen Dienstes liegt
- Im Fall von Paypal werden bei der Passwortzurücksetzung die erste Ziffer und die letzten vier Ziffern angezeigt, bei der 2FA-Challenge nach dem Login jedoch nur die letzten drei
- Für einen Angreifer, der nur die E-Mail-Adresse kennt, werden 5 von 10 Ziffern offengelegt
- Für einen Angreifer, der E-Mail-Adresse und Passwort kennt, sind nur 3 Ziffern sichtbar
Unterschiede bei der Maskierung je Dienst und der Kombinationseffekt
- Es wurde der Ablauf zur Passwortzurücksetzung mehrerer populärer Websites untersucht und verglichen, ob er allein mit einer E-Mail-Adresse gestartet werden kann, ob mobile Wiederherstellung unterstützt wird und wie viele Ziffern offengelegt werden
- Die Offenlegungsmuster unterscheiden sich je nach Dienst
- eBay: erste 3 Ziffern und letzte 2 Ziffern
- Paypal: erste Ziffer und letzte 4 Ziffern
- Yahoo: erste Ziffer und letzte 2 Ziffern
- LastPass: letzte 4 Ziffern
- Google, Facebook, Twitter, Hotmail, Steam: letzte 2 Ziffern
- Wenn jemand sowohl ein eBay- als auch ein LastPass-Konto hat, lassen sich allein mit der E-Mail-Adresse 7 Ziffern einer 10-stelligen Telefonnummer ermitteln
- Schon diese Kombination reduziert den Schätzraum für die Telefonnummer von 1 Milliarde auf 1.000 Kandidaten
Eingrenzung mit dem US-Telefonsystem
- US-Telefonnummern bestehen ohne Landesvorwahl aus 3 Feldern
- Vorwahl (area code oder NPA)
- Vermittlungsstellennummer (exchange oder Central Office Code)
- Teilnehmernummer (subscriber number)
- Die mit der Kombination aus eBay und LastPass gewonnenen Informationen betreffen Vorwahl und Teilnehmernummer; die fehlenden 3 Ziffern sind keine beliebigen Zufallsziffern, sondern die Vermittlungsstellennummer
- NANPA verwaltet den öffentlichen Telefonnummernplan für Kanada, die USA und ihre Territorien sowie einige Karibikstaaten
- NANPA stellt die Vorwahlen und zugehörigen Listen der Vermittlungsstellennummern als öffentliche Daten bereit, die sich nachschlagen oder als parsbare Dateien herunterladen lassen
- Wenn pro Vorwahl nur tatsächlich zugewiesene Vermittlungsstellennummern übrig bleiben, schrumpft die Zahl der Kandidaten
- In San Francisco mit der Vorwahl 415 gibt es nicht 1.000 mögliche Vermittlungsstellennummern, sondern 784, sodass 216 ausgeschlossen werden können
- Für die Vorwahl 907 in Alaska sind 625 Vermittlungsstellennummern zugewiesen
- Für die Vorwahl 253 in Tacoma sind 458 Vermittlungsstellennummern zugewiesen, also mehr als die Hälfte ausgeschlossen
Nutzung bis hinunter zum Teilnehmernummernblock
- Kandidaten lassen sich nicht nur anhand von Vorwahl und Vermittlungsstellennummer, sondern auch anhand eines Teils der Teilnehmernummer weiter eingrenzen
- Die National Pooling Administration verwaltet Nummernpooling und stellt öffentliche Aufzeichnungen zu zugewiesenen Blöcken bereit
- Beim Nummernpooling werden in Wachstumsregionen Nummernblöcke nicht in Einheiten von 10.000, sondern von 1.000 Nummern zugewiesen
- Wenn bei 415-272-XXXX zum Beispiel nur der Block 415-272-9XXX zugewiesen ist, können 415-272-[0-8]XXX ausgeschlossen werden und nur 9XXX bleibt als Kandidat übrig
- So lässt sich die Zahl möglicher gültiger Nummern von 10.000 auf 1.000 reduzieren
Verbleibende Kandidaten und umgekehrte Passwortzurücksetzung
- Hat das Ziel in der Region Tacoma Konten bei eBay und LastPass, können zunächst 7 Ziffern gesammelt und anschließend mit NANPA 542 Kandidaten ausgeschlossen werden, sodass 458 übrig bleiben
- Wenn mit Daten der National Pooling Administration geprüft wird, ob Blöcke zugewiesen sind, reduziert sich die Zahl möglicher Telefonnummernkandidaten im Beispiel auf 445
- Um die verbleibenden Kandidaten weiter zu verringern, können externe Datenquellen wie Suchmaschinen, pipl, BeenVerified, Spokeo oder Dienste zur Rückwärtssuche von Telefonnummern genutzt werden
- Im Twilio-Add-on von WhitePages reichte eine Telefonnummer, und für 10 Cent konnten personenbezogene Informationen abgerufen werden
- Da solche Methoden nicht zu 100 % verlässlich sind, wird derselbe Ablauf der Passwortzurücksetzung in umgekehrter Richtung erneut genutzt
Dienste, die aus Telefonnummern E-Mail-Hinweise liefern
- Amazon und Twitter erlauben es, eine Passwortzurücksetzung mit einer Telefonnummer zu starten, und zeigen dabei Teile der E-Mail-Adresse an, an die der Reset-Link gesendet wird
- Amazon zeigt den ersten und letzten Buchstaben des Benutzernamens sowie die vollständige Domain; über die Anzahl der Sternchen ist auch die Länge des Benutzernamens erkennbar
- Twitter zeigt die ersten zwei Buchstaben des Benutzernamens und den ersten Buchstaben der Domain; über die Anzahl der Sternchen ist die Länge erkennbar
- Der Angriffsablauf ist wie folgt
- Mit der Ziel-E-Mail-Adresse wird auf mehreren Websites die Passwortzurücksetzung gestartet, um Teile der Telefonnummer zu sammeln
- Mithilfe der öffentlichen Daten von NANPA und der National Pooling Administration werden nicht existierende Vorwahlen, Vermittlungsstellennummern und Teilnehmernummernblöcke ausgeschlossen
- Mit den verbleibenden Telefonnummernkandidaten wird die Passwortzurücksetzung versucht, um die maskierten E-Mail-Zeichen mit der Ziel-E-Mail-Adresse abzugleichen
- Mit diesem Verfahren lässt sich die 10-stellige Telefonnummer, die mit einer E-Mail-Adresse verknüpft ist, ermitteln, ohne je einen Anruf zu tätigen
email2phonenumber und phonerator
- email2phonenumber ist ein Tool, das nach Eingabe einiger Telefonnummernziffern nicht existierende Vorwahlen und Vermittlungsstellennummern entfernt und eine Liste möglicher gültiger Telefonnummern erstellt
- Das Tool verwendet die Passwortzurücksetzungsfunktionen von Amazon und Twitter, probiert Telefonnummern aus und vergleicht die angezeigte maskierte E-Mail mit der eingegebenen E-Mail-Adresse
- Es randomisiert Request-Parameter, ahmt Nutzerverhalten nach und unterstützt auch die Nutzung von Proxy-Servern
- Neben Amazon und Twitter gibt es weitere Dienste, die Passwortzurücksetzung auf Basis von Telefonnummern unterstützen, und das Tool plante, Unterstützung für zusätzliche Dienste per Pull Request anzunehmen
- phonerator war als Online-Dienst geplant, der Daten zu nationalen Telefonsystemen sammelt und Listen möglicher Nummern generiert, und wurde später veröffentlicht
- Vorgesehen sind Unterstützung für mehrere Länder, mehr Detailinformationen, historische Daten und erweiterte Filter
- Informationen wie Carrier, Region oder Dauer des Nummernbesitzes könnten genutzt werden, um Kandidaten weiter einzugrenzen
In Ländern mit kurzen Telefonnummern wird das Problem größer
- Der Fokus liegt zwar auf US-Nummern, doch in den Telefonnummernsystemen anderer Länder kann dieselbe Maskierung noch mehr Informationen offenlegen
- Spanische Mobiltelefonnummern beginnen mit 6, in jüngerer Zeit auch mit 7, und sind insgesamt 9-stellig
- Wenn Dienste wie eBay oder LastPass die Maskierung nicht für kürzere Nummern anpassen, lassen sich bei einem Ziel in Spanien allein mit LastPass 5 von 9 Ziffern ermitteln
- In Ländern mit 7-stelligen Telefonnummern wie Iceland, Estonia und San Salvador können bei eBay-Kunden 5 von 7 Ziffern für jemanden sichtbar werden, der nur die E-Mail-Adresse kennt
- Werden eBay- und LastPass-Konten kombiniert, lässt sich in solchen Ländern allein mit der E-Mail-Adresse die vollständige Telefonnummer ermitteln
Angriffe, die durch das Erlangen einer Telefonnummer ermöglicht werden
- Sobald eine Telefonnummer bekannt ist, kann sie der Ausgangspunkt für zahlreiche Sicherheits- und Datenschutzangriffe sein
- Mögliche Angriffsvektoren sind unter anderem
- SIM-Swapping: Die Nummer wird per Social Engineering, Erpressung oder durch Insider bei einem Carrier auf die SIM des Angreifers übertragen und dann für Passwortzurücksetzungen oder zur Umgehung von 2FA genutzt
- SS7-Angriffe: Das alte Protokoll für die Interaktion zwischen Carriern kann missbraucht werden, um Standortverfolgung oder Kommunikationsüberwachung zu ermöglichen; dies wurde auf mehreren Sicherheitskonferenzen demonstriert
- Voice-Mail-Angriffe: Eine Kompromittierung der Voice-Mail kann die Kontosicherheit beeinträchtigen
- Standortverfolgung: Probleme der standortbezogenen Verfolgung über Telefonnummern wurden bereits separat behandelt
- Caller-ID-Spoofing: Mit Online-Diensten lässt sich die Anrufernummer fälschen und für Social Engineering einsetzen
Vorgeschlagene Gegenmaßnahmen und Reaktionen auf die Offenlegung
- Eine Maskierung, die lediglich Teile von PII anzeigt, reicht nicht aus
- In Ländern mit kurzen Telefonnummern führt dieselbe Anzahl sichtbarer Stellen dazu, dass ein größerer Anteil der Informationen offengelegt wird
- Auch bei E-Mail-Adressen genügt es nicht, nur den Benutzernamen zu maskieren; die Domain kann den Arbeitgeber verraten, und die TLD kann etwa auf Studentenstatus oder das Land hinweisen
- Eine Alternative ist, dass Nutzer für E-Mail-Adresse oder Telefonnummer Labels festlegen
- Beispiel: „personal email“, „work phone“
- In den Hinweisen zur Passwortzurücksetzung wird dann kein PII-Fragment, sondern das Label angezeigt
- Nutzer sollten möglichst keine Telefonnummer angeben, wenn sie nicht zwingend nötig ist; falls doch, können virtuelle Nummern wie Google Voice oder eine separate SIM erwogen werden
- Im Rahmen verantwortungsvoller Offenlegung wurden Dienste kontaktiert, die mehr als 2 Ziffern zeigen oder Vorwahl bzw. Vermittlungsstellennummer offenlegen
- LastPass aktualisierte die Maskierung so, dass nur noch die letzten 2 Ziffern angezeigt werden
- eBay wechselte zu einer Darstellung mit der ersten Ziffer und den letzten 2 Ziffern, was aber nicht vollständig ausreicht
- Yahoo prüfte damals das Risiko und mögliche Gegenmaßnahmen
- Paypal betrachtete das Verhalten, bei Kenntnis nur der E-Mail-Adresse 5 Ziffern anzuzeigen, als beabsichtigtes Design und entschied sich gegen Maßnahmen
1 Kommentare
Hacker-News-Kommentare
Ich habe Autoteile von jemandem gekauft, der ein halber Betrüger zu sein schien: Er hatte mein Geld seit Wochen, aber nicht alle bestellten Teile geschickt.
Weil wir über mehrere Plattformen kommunizierten, gab jede Plattform ein kleines Stück seiner Identität preis; zusammengesetzt ergab das schließlich ein Gesamtbild.
Ich rief bei seinem Arbeitgeber an, der in derselben Branche tätig war wie die Teile, die er verkaufte, und bat darum, mir die Teile zu schicken. Außerdem fragte ich beiläufig, ob sein Arbeitgeber an diesem Verkauf beteiligt sei. Daraufhin änderte sich seine Haltung sofort, und am nächsten Tag schickte er mir alles, was ich gekauft hatte, plus ein paar Extras.
Ich brauchte einfach einen Druckpunkt.
Ein im Artikel fehlendes Puzzlestück ist, auf die USA beschränkt, die CNAM-Datenbank.
CNAM ist die Datenbank, die Telekommunikationsanbieter nutzen, um statt „+1 (555) 123-4567“ eine textbasierte Anrufer-ID wie „SMITH JOHN“ anzuzeigen.
Abfragen sind nicht kostenlos, aber für ein paar hundert Nummern dürfte es relativ günstige Wege geben; da Namen und E-Mail-Adressen oft ähnlich sind, könnte man auch einen Algorithmus bauen, der den plausibelsten Kandidaten auswählt.
Die Daten sind oft auf interessante Weise falsch, aber trotzdem ziemlich nützlich.
curldie Lookup-API von Twilio aufrufen./usr/local/bin/curl -s -X GET "https://lookups.twilio.com/v1/PhoneNumbers/…; -u $accountsid:$authtoken | /usr/local/bin/jq '.'An die Kosten erinnere ich mich nicht genau, aber es könnten etwa 1 Cent pro Abfrage sein; außerdem werden der Anbieter sowie Mobilfunk/Festnetz angezeigt.
Ich habe nach einer Änderung des CNAM per Twilio-Nummernabfrage nachgesehen; prinzipiell soll man den echten Namen einer Person verwenden, aber faktisch ist es ein Ehrensystem.
[1] https://www.t-mobile.com/support/tutorials/device/app/ios/to...
[2] https://www.twilio.com/code-exchange/lookup
Ich verwende meinen echten Namen in der E-Mail-Adresse, und meine Telefonnummer ist auch in mehreren Telefonverzeichnissen öffentlich.
In Schweden ist es gängige Praxis, dass Adresse und Telefonnummer öffentlich durchsuchbar sind, sofern man nicht ausdrücklich widerspricht; die Informationen aus den Telefonbüchern der 80er sind in den 90ern im Grunde ins Netz gewandert.
Solche öffentlich verfügbaren personenbezogenen Daten können nützlich sein, aber auch missbraucht werden.
Da es jedoch viele öffentliche PII wie SSN, Adresse, Telefonnummer und Geburtstag gibt, müssen Menschen diese Informationen eher nicht wie Geheimnisse behandeln; stattdessen braucht es ordentliche Ausweise und eID, damit es nicht leicht wird, jemanden zu imitieren, nur weil man ein paar Zahlen kennt.
Wenn jemand meine Telefonnummer will, kann er mit einer E-Mail-Adresse, die Vor- und Nachnamen enthält, auf Suchseiten 100 Personen mit demselben Namen finden und die Kandidaten dann mit Stadt und ungefährer Altersangabe auf wenige Personen eingrenzen.
Öffentliche Register zeigen auch Geburtstag, Autos, Einkommen und die unter derselben Adresse registrierten Personen an, daher ist OSINT in Schweden nicht besonders schwierig.
Es ist erstaunlich, dass PayPal jemandem, der nur die E-Mail-Adresse kennt, eine fünfstellige Zahl inklusive Vorwahl anzeigt, während ein Angreifer, der das Passwort des Ziels kennt, nur drei Ziffern zu sehen bekommt.
Merkwürdig ist auch, dass sie das als „funktioniert wie vorgesehen“ einstufen und nichts dagegen unternehmen.
Ich frage mich, wie Betrüger Nummern über LinkedIn bekommen oder sie mit Nummern aus anderen Quellen verknüpfen; in einem Unternehmen fallen Mitarbeitende immer wieder auf gefälschte SMS vom CEO herein.
Der Aufwand, für jeden Dienst eine andere E-Mail-Adresse und Google-Voice-Nummer zu verwenden, hat sich am Ende gelohnt.
+-Funktion von Gmail verschleierte Adressen erstellt.Für externe Dienste sieht das etwa wie
gary+FqZWMK@gmail.comaus; in meinem Postfach wirdFqZWMKin einen Dienstnamen wie Netflix umgewandelt und automatisch ein ordentlich sortierter Ordner erstellt.Weil ich das Mapping vollständig selbst steuern kann, lassen sich mehrere Zufallsadressen nach einer gewissen Zeit auch automatisch in einen „Wegwerf“-Posteingang leiten, der als Spam behandelt wird.
Um eine zweite SIM zu nutzen, braucht man in den USA ein Dual-SIM-Gerät, was dort noch relativ eine Nische ist
VoIP-Nummern werden von vielen Websites abgefragt und blockiert, aber unter Android gibt es noch keine gute Möglichkeit, SMS des Mobilfunkanbieters am Desktop zuverlässig zu senden und zu empfangen
Das Webinterface von Google Messages vergisst Geräte viel zu oft, um es ernsthaft zu nutzen, und wenn später eine VoIP-Sperre hinzukommt, kann ein Henne-Ei-Problem entstehen, bei dem sogar die SMS-Zwei-Faktor-Authentifizierung blockiert wird und man das Konto nicht mehr zurückbekommt
Es gibt auch Dienste wie die Apotheke von Harris Teeter, die nicht prüfen, ob eine Nummer tatsächlich erreichbar ist; sie akzeptieren zwar VoIP-Nummern, aber das System kann weder anrufen noch SMS senden, sodass man keine Rezeptbenachrichtigungen erhält
Es hat verändert, wie mein Smartphone und mein Laptop miteinander interagieren, und ist vielleicht mein persönliches Lieblings-Open-Source-Projekt
Man kann den Laptop als Tastatur verwenden, auf Nachrichten jeder App antworten, die Benachrichtigungen sendet, oder Dateien schneller und besser übertragen als auf jede andere Weise
Es ist ungefähr so groß wie eines dieser früheren 2FA-Geräte mit TAN-Karte; ursprünglich war der Auslöser, dass meine Frau ständig mein eigentliches Smartphone holte, um Sicherheitscodes für gemeinsame Konten zu bekommen
Auch die operative Sicherheit ist damit etwas besser, als wenn ich meine echte Telefonnummer verwende
Nach meiner Erfahrung war Discord ungefähr die einzige Website, die das tut
Ich persönlich bevorzuge es, für jedes Konto eine weniger offensichtliche dedizierte E-Mail wie
ebpnw@mydomain.comzu verwenden, sodass ein Angreifer auch noch die E-Mail erraten mussDual-SIM-iPhones gibt es ab iPhone XS, iPhone XS Max und iPhone XR
Quelle: https://support.apple.com/en-us/HT209044
Es gibt bereits sechs Generationen von Dual-SIM-iPhones mit mindestens einer eSIM
Solche unkoordinierten Informationslecks sind ein tieferliegendes Problem
Viele Stellen geben die letzten vier Ziffern der SSN weiter; die ersten fünf ließen sich oft leicht aus Geburtstag und Geburtsstaat abschätzen, und die vorderen Ziffern verrieten den Bundesstaat, in dem die Nummer ausgegeben wurde
Die meisten heutigen Erwachsenen fallen darunter, aber man sollte die Unterscheidung trotzdem machen
Es verhindert überhaupt nicht die Nachverfolgung und Datensammlung durch Regierung und große Organisationen, und man muss sich bei jeder wichtigen Angelegenheit weiter mit einem faktischen provisorischen nationalen Ausweissystem verzahnen, ohne irgendeinen der Vorteile eines echten nationalen Ausweissystems zu haben
Dadurch entstehen ohne jeden Grund enorme Schmerzen und Zeitverschwendung
Ich habe mich immer gefragt, wie Sicherheitsforscher es rechtfertigen, automatisierte E-Mail-zu-Telefonnummer-Generatoren wie in diesem Blogbeitrag zu veröffentlichen
Solche Tools haben wahrscheinlich weit mehr schlechte oder unheimliche Einsatzmöglichkeiten als gute
Ich frage mich, ob es als „Forschung“ gilt und deshalb in Ordnung ist und ohnehin in einer Grauzone liegt, oder ob sie mit den betroffenen Unternehmen gesprochen haben und es jetzt entschärft ist und sich deshalb okay anfühlt
Ein gutes Beispiel ist Firesheep: In öffentlichen WLANs konnte man einfach ein Firefox-Plugin ausführen und sofort die Sitzungen anderer Nutzer im selben Netzwerk übernehmen, die sich per HTTP angemeldet hatten
Damals war Facebook standardmäßig HTTP, und als dieses Plugin in die Nachrichten kam, entstand fast über Nacht Druck, HTTPS verpflichtend zu machen; viele Unternehmen zogen nach
Es ist nicht übertrieben zu sagen, dass diese Veröffentlichung die Einführung von HTTPS erheblich beschleunigt hat
Ich weiß nicht, ob diese Veröffentlichung eine vergleichbare Wirkung haben wird, aber ich halte es für besser, als wenn nur Blackhats solche Techniken kennen
Man kann abwägen: „Ist der Nutzen größer als der Schaden, wenn diese Information veröffentlicht wird?“
Dank der Informationen, die Martin Vigo 2019 veröffentlicht hat, konnte ich Arbeitgeber und heutige Kunden auf ein zusätzliches Bedrohungsmodell hinweisen, das sie bei der Gestaltung ihrer Passwort-Reset-Verfahren berücksichtigen sollten
Zur Verteidigung: Der ursprünglich veröffentlichte Proof of Concept war recht eingeschränkt, erforderte ein Twilio-Konto und hatte damit eine Einstiegshürde; bei krimineller Nutzung würde er außerdem Analysten Spuren hinterlassen
Es scheint ein offenes Geheimnis zu sein, dass viele Menschen in die Cybersicherheit gehen, weil sie es mögen, Sicherheit auf clevere Weise zu brechen, und nicht, weil sie anderen tatsächlich helfen wollen, sicherer zu sein
Allerdings ist Sicherheitsforschung legal, während das Hacken zufälliger Ziele illegal ist
Wenn es zu rechtlichen Schritten kommt, wird es für ein Unternehmen auch schwieriger, sich damit zu verteidigen, es habe von nichts gewusst