ComputersHowto
Secondo una nuova ricerca, sostituire il normale SMS con RCS o Rich Communication Services sta rendendo gli utenti vulnerabili agli attacchi basati su testo, all'intercettazione delle chiamate, al rilevamento della posizione e altro ancora, secondo una nuova ricerca.
Lo standard RCS (Rich Communication Services) sostituisce gli SMS che includerà funzionalità come le conferme di lettura, la possibilità di inviare contenuti multimediali, ecc..
Sebbene il nuovo standard SMS non sia intrinsecamente difettoso, i ricercatori di SLabs affermano che le reti di operatori stanno esponendo gli utenti a una serie di minacce alla sicurezza mentre stanno implementando RCS su larga scala.
Poiché non esiste uno standard unificato, le grandi società di telecomunicazioni potrebbero utilizzarlo in modo diverso e commettere errori durante il processo, scrive Vice.
Cos'è RCS?
RCS è un protocollo che presto sostituirà lo standard SMS. Sebbene sia nato nel 2007, ha ottenuto a malapena alcun riconoscimento fino al 2018, quando Google ha annunciato che sta lavorando con i principali operatori per portare il protocollo RCS sui dispositivi Android.
Il nuovo standard consentirà agli utenti di avviare chat di gruppo, inviare immagini ad alta risoluzione, audio, essenzialmente tutte le funzionalità dei servizi di chat più diffusi come iMessage e WhatsApp.
qual è il problema?
Per la ricerca, il team di SLabs ha preso campioni di schede SIM di diversi operatori e ha cercato i domini relativi a RCS. Inoltre, il team ha cercato di trovare falle di sicurezza in ciascuno di essi.
I ricercatori hanno scoperto problemi nel modo in cui le telecomunicazioni inviano i file di configurazione RCS ai dispositivi. Ad esempio, un server fornisce il file di configurazione esatto identificando gli indirizzi IP.
Karsten Nohl di SLabs ha detto che qualsiasi app potrebbe richiedere il file, con o senza autorizzazioni, poiché utilizza anche l'indirizzo IP. "Così ora ogni app può ottenere il tuo nome utente e la tua password per tutti i tuoi messaggi di testo e tutte le tue chiamate vocali."
I ricercatori hanno anche riscontrato lacune di sicurezza nel processo di autenticazione. Ad esempio, una società di telecomunicazioni invia un codice di autenticazione univoco per verificare l'identificazione dell'utente RCS. Poiché il vettore fornisce un "numero illimitato di tentativi", i malintenzionati possono aggirare l'autenticazione con tentativi illimitati.
Risposta delle reti portanti
Quando è stato chiesto di commentare, Vodafone ha assicurato agli utenti che avrebbe adottato misure di sicurezza per proteggere i servizi RCS. Nel frattempo, AT&T e Sprint hanno indirizzato le preoccupazioni alla GSM Association (un ente commerciale per le telecomunicazioni)
GSM ha detto a Vice che pur apprezzando gli sforzi compiuti da SLabs nei confronti del pubblico per le questioni di sicurezza; tuttavia, la ricerca include "nessuna nuova vulnerabilità" di cui il corpo non era a conoscenza.
I ricercatori di SLabs riferiranno i loro risultati alla conferenza Black Hat di dicembre in Europa.
Leggi anche: La Cina vieta la pubblicazione di deepfake senza un'adeguata divulgazione
