SRLabs: Błędne wdrożenie RCS furtką dla hakerów

Niemieccy specjaliści od bezpieczeństwa z SRLabs doszukali się luki w sposobie wdrażania RCS (następcy SMS). Przez rzeczony problem dane użytkowników takie jak lokalizacja oraz wiadomości tekstowe, w tym kody weryfikacyjne z banku, mogą wpaść w ręce cyberprzestępców.

SMS-y są z nami od lat, ale ich żywot powoli dobiega końca. Choć gros użytkowników smartfonów korzysta z komunikatorów internetowych takich jak Messenger, WhatsApp czy iMessage, następca technologii SMS (Short Message Service) jest już za rogiem. RCS (Rich Communication Services), bo o tę technologię chodzi, nie jest pozbawiona wad. Jedną z chorób wieku dziecięcego okazuje się błąd, przez który dane userów rozwiązania nie są do końca bezpieczne.

Przez dziurawe RCS możesz stracić pieniądze z konta

RCS prędzej czy później zastąpi wysłużony już standard SMS. Sęk w tym, że do czasu jego finalnego i co ważne — globalnego wdrożenia, technologia powinna zostać dopracowana pod kątem bezpieczeństwa. Niestety, na ten moment nie wygląda to najlepiej. Badacze z SRLabs odkryli luki w implementacji standardu RCS przez operatorów. Sama technologia nie stanowi problemu. Dopiero jej wdrożenie w niewłaściwy dla zachowania bezpieczeństwa sposób może okazać się groźne.

Przykładów jest co najmniej kilka, ale mnie najbardziej zaskoczyło to, że jeden z operatorów potraktował RCS niemal jak tradycyjny komunikator internetowy. Oznacza to brak szyfrowania wychodzących i przychodzących wiadomości, przez co każda aplikacja z odpowiednimi uprawnieniami może przechwytywać rzeczone dane. Jak łatwo zgadnąć, w grę wchodzą również wiadomości z banku, w tym kody weryfikacyjne transakcji.

Specjaliści z SRLabs twierdzą, że rozwiązanie wspomnianych problemów nie jest specjalnie skomplikowaną kwestią. Wystarczy opracować i wdrożyć odpowiedni mechanizm zarządzający łącznością oferowaną przez RCS. Pamiętajmy, że tytułowa technologia dopiero raczkuje. Jak każde stosunkowo świeże narzędzie, standard obarczony jest błędami, lukami oraz ryzykiem niewłaściwego wdrażania. Oby tylko odpowiedzialne za implementację instytucje stanęły na wysokości zadania i dostarczyły możliwie sprawne i bezpieczne rozwiązanie do użytkowników końcowych.

https://www.gsmmaniak.pl/1072940/xiaomi-mi-mix-alpha-w-polsce-zdjecia/

Źródło