נקודות תורפה שהתגלו באופן שבו מפעילי טלקום מיישמים את תקן RCS

חוקרים מ-SRLabs, העוסקים בתחום אבטחת המידע, דיווחו כי הצליחו לזהות מספר נקודות תורפה בשיטות היישום של תקן Rich Communication Services (RCS), המשמשות את מפעילי הטלקום ברחבי העולם. נזכיר לכם שמערכת RCS היא תקן הודעות חדש שאמור להחליף את ה-SMS.

הדוח קובע כי ניתן להשתמש בפגיעויות שהתגלו כדי לעקוב אחר מיקום המכשיר של המשתמש, ליירט הודעות טקסט ושיחות קוליות. בעיה אחת שנמצאה ביישום RCS של ספק ללא שם יכולה לשמש אפליקציות כדי להוריד מרחוק קובץ תצורה של RCS לסמארטפון שלך, ובכך להסלים את הרשאות המערכת של התוכנית ולאפשר גישה לשיחות קוליות ולהודעות טקסט. במקרה אחר, הבעיה כללה קוד אימות בן שש ספרות שנשלח על ידי ספק לאימות זהות המשתמש. מספר בלתי מוגבל של ניסיונות כניסה סופק להזנת הקוד, שיוכלו לשמש תוקפים כדי לבחור את השילוב הנכון.   

מערכת RCS היא תקן חדש להעברת הודעות ותומכת ברבות מהתכונות שמספקות שליחים מיידיים מודרניים. ולמרות שחוקרים מ- SRLabs לא זיהו נקודות תורפה כלשהן בתקן עצמו, הם כן מצאו חולשות רבות באופן שבו מפעילי טלקום משתמשים בטכנולוגיה בפועל. על פי כמה דיווחים, לפחות 100 מפעילי טלקום ברחבי העולם מיישמים כעת RCS, כולל באירופה ובארה"ב.

מקור: 3dnews.ru