ComputersHowto
Le remplacement du SMS régulier par le RCS ou les services de communication riches rend les utilisateurs vulnérables aux attaques textuelles, à l'interception d'appels, au suivi de localisation, etc., selon une nouvelle étude..
La norme RCS (Rich Communication Services) remplace les SMS qui comprendront des fonctionnalités telles que les confirmations de lecture, la possibilité d'envoyer des médias, etc..
Bien que la nouvelle norme SMS ne soit pas intrinsèquement défectueuse, les chercheurs de SLabs affirment que les réseaux d'opérateurs exposent les utilisateurs à un certain nombre de menaces de sécurité alors qu'ils implémentent RCS à grande échelle..
Puisqu'il n'y a pas de norme unifiée, les grandes entreprises de télécommunications pourraient l'utiliser différemment et faire des erreurs dans le processus, écrit Vice.
Qu'est-ce que RCS?
RCS est un protocole qui remplacera bientôt le SMS standard. Bien qu'il ait été créé en 2007, il n'a à peine obtenu aucune reconnaissance jusqu'en 2018, lorsque Google a annoncé qu'il travaillait avec les principaux opérateurs pour apporter le protocole RCS aux appareils Android..
La nouvelle norme permettra aux utilisateurs de démarrer des discussions de groupe, d'envoyer des images haute résolution, de l'audio - essentiellement toutes les fonctionnalités des services de discussion populaires tels que iMessage et WhatsApp.
Quel est le problème?
Pour la recherche, l'équipe SLabs a prélevé des échantillons de cartes SIM de différents opérateurs et a recherché des domaines liés au RCS. De plus, l'équipe a essayé de trouver des failles de sécurité dans chaque.
Les chercheurs ont découvert des problèmes dans la manière dont les télécoms envoient les fichiers de configuration RCS aux appareils. Par exemple, un serveur fournit le fichier de configuration exact en identifiant les adresses IP.
Karsten Nohl de SLabs a déclaré que toute application pouvait demander le fichier, avec ou sans autorisation, car elle utilisait également l'adresse IP. "Désormais, chaque application peut obtenir votre nom d'utilisateur et votre mot de passe pour tous vos SMS et tous vos appels vocaux."
Les chercheurs ont également découvert des lacunes de sécurité dans le processus d'authentification. Par exemple, un télécom envoie un code d'authentification unique pour vérifier l'identification de l'utilisateur RCS. Étant donné que l'opérateur donne un «nombre illimité d'essais», les mauvais acteurs peuvent contourner l'authentification avec des tentatives illimitées.
Réponse des réseaux opérateurs
Lorsqu'on lui a demandé de commenter, Vodafone a assuré aux utilisateurs qu'il prendrait des mesures de sécurité pour protéger les services RCS. Pendant ce temps, AT&T et Sprint ont adressé les préoccupations à la GSM Association (un organisme professionnel des télécommunications)
GSM a déclaré à Vice que, bien qu'ils apprécient les efforts déployés par SLabs auprès du public, les problèmes de sécurité; cependant, la recherche n'inclut «aucune nouvelle vulnérabilité» dont le corps n'était pas au courant.
Les chercheurs de SLabs rendront compte de leurs découvertes lors de la conférence Black Hat de décembre en Europe.
Lire aussi: La Chine interdit la publication de Deepfakes sans divulgation appropriée
