ComputersHowto
Zgodnie z nowymi badaniami zastąpienie zwykłych SMS-ów przez RCS lub Rich Communication Services naraża użytkowników na ataki tekstowe, przechwytywanie połączeń, śledzenie lokalizacji i nie tylko..
Standard RCS (Rich Communication Services) jest zamiennikiem dla SMS-ów, który będzie zawierał takie funkcje, jak potwierdzenia odczytu, możliwość wysyłania multimediów itp..
Chociaż nowy standard SMS nie jest z natury wadliwy, badacze z SLabs twierdzą, że sieci operatorów narażają użytkowników na szereg zagrożeń bezpieczeństwa, ponieważ wdrażają RCS na dużą skalę.
Ponieważ nie ma ujednoliconego standardu, duże firmy telekomunikacyjne mogą go stosować w inny sposób i popełniać błędy w tym procesie, pisze Vice.
Co to jest RCS?
RCS to protokół, który wkrótce zastąpi standardowy SMS. Chociaż powstał w 2007 roku, ledwo zyskał uznanie do 2018 roku, kiedy Google ogłosił, że współpracuje z głównymi operatorami, aby wprowadzić protokół RCS na urządzenia z Androidem..
Nowy standard umożliwi użytkownikom rozpoczynanie czatów grupowych, wysyłanie obrazów w wysokiej rozdzielczości, dźwięku - w zasadzie wszystkie funkcje popularnych usług czatu, takich jak iMessage i WhatsApp.
W czym problem?
Do badań zespół SLabs wziął przykładowe karty SIM różnych nośników i szukał domen związanych z RCS. Ponadto zespół próbował znaleźć w każdym z nich luki w zabezpieczeniach.
Badacze odkryli problemy ze sposobem, w jaki firmy telekomunikacyjne wysyłają pliki konfiguracyjne RCS do urządzeń. Na przykład serwer dostarcza dokładny plik konfiguracyjny, identyfikując adresy IP.
Karsten Nohl z SLabs powiedział, że każda aplikacja może zażądać pliku, z uprawnieniami lub bez, ponieważ używają również adresu IP. „Teraz każda aplikacja może uzyskać Twoją nazwę użytkownika i hasło do wszystkich wiadomości tekstowych i wszystkich połączeń głosowych”.
Naukowcy odkryli również luki w zabezpieczeniach procesu uwierzytelniania. Na przykład operator telekomunikacyjny wysyła unikalny kod uwierzytelniający, aby zweryfikować tożsamość użytkownika RCS. Ponieważ operator podaje „nieograniczoną liczbę prób”, źli aktorzy mogą ominąć uwierzytelnianie nieograniczoną liczbą prób.
Odpowiedź sieci operatora
Poproszony o komentarz, Vodafone zapewnił użytkowników, że podejmie środki bezpieczeństwa w celu ochrony usług RCS. W międzyczasie AT&T i Sprint skierowały obawy do Stowarzyszenia GSM (zrzeszenia branżowego zajmującego się telekomunikacją)
GSM powiedział Vice, że chociaż doceniają wysiłki włożone przez SLAB w opinię publiczną, kwestie bezpieczeństwa; jednak badanie obejmuje „brak nowych, słabych punktów”, o których organizm nie był świadomy.
Badacze SLabs przedstawią swoje odkrycia podczas grudniowej konferencji Black Hat w Europie.
Przeczytaj także: Chiny zakazują publikowania Deepfake'ów bez należytego ujawniania
