据报道,SRLabs的安全研究人员发现,全球各地的运营商在实施RCS时存在大量漏洞。RCS是一种旨在取代SMS的新消息传递标准。在某些情况下,这些问题可能会危及用户的位置数据,它们可能会允许拦截用户的短信或电话,或者允许伪造用户的电话号码。(注,SRLabs:是一个提供相关咨询的黑客研究团体和智库,并致力于安全研究的前沿工作;RCS:Rich Communication Services,融合通信;SMS:Short Messaging Service,短信)

研究人员分析了几家不同运营商的SIM卡样本后发现了这些问题:在一个未命名的运营商的实现中发现,一个漏洞可能会允许你手机上的任何应用程序下载你的RCS配置文件,例如,给应用程序你的用户名和密码,并允许它访问你所有的语音通话和短信。在另一个案例中,运营商用来验证用户身份的六位数字代码很容易被第三方强行破解。RCS是一种新的消息传递标准,旨在有朝一日取代SMS作为一种发送文本消息的方式。它支持iMessage和WhatsApp等现代通讯客户端引入的许多功能,包括读取收据和输入指示器,这是一个跨平台的标准,不同的公司可以与之集成。研究人员没有发现该标准本身存在任何问题,航空公司的运营方式才是问题所在。

SRLabs没有透露是哪些运营商发现了安全漏洞,但指出,全球至少有100家运营商正在实施这一标准,其中包括四家美国大型运营商。来自SRLabs的Karsten Nohl告诉记者:“我们发现,与短信相比,这实际上是一种倒退。”“所有这些90年代的错误都被重新发明,重新引入。”

当记者联系到代表网络运营商的行业组织GSMA寻求意见时,该组织发言人表示:SRLabs的研究人员将于下周向该组织提交他们的研究结果,他们认为自己的措施可以解决他们发现的问题。“我们非常感谢研究人员给行业提供机会考虑他们的发现。GSMA欢迎任何增强移动服务安全性和用户信心的研究。”

尽管RCS相对于SMS有很多优势,但它的推广速度一直很慢。这个标准是去年宣布的,但直到这个月谷歌才开始成为Android短信的主要短信平台,而且这个改变不会影响美国最畅销的Android手机制造商三星,因为它默认提供自己的短信应用。AT&T、Verizon、T-Mobile和Sprint也计划明年通过他们自己的短信应用提供支持。与此同时,苹果拒绝就是否支持这一标准发表评论。

SRLabs将在12月的欧洲会议(Black Hat Europe conference)上展示其研究成果,此前该公司在今天的DeepSec会议上展示了部分成果。

内容来源:

https://www.theverge.com/2019/11/29/20987738/bad-rcs-implementations-are-creating-big-vulnerabilities-security-researchers-claim

编辑:任宏阳

声明:本文来自北邮互联网治理与法律研究中心,版权归作者所有。文章内容仅代表作者独立观点,不代表士冗科技立场,转载目的在于传递更多信息。如有侵权,请联系 service@expshell.com。