Компании используют технологию таким образом, что подвергают перехвату данные пользователей.
Американские сотовые операторы начали внедрять неправильные реализации стандарта RCS на замену SMS. Из-за этого данные пользователей оказались под угрозой прослушивания и перехвата. О неудачном внедрении RCS сообщил Vice со ссылкой на исследование компании по кибербезопасности Security Research Labs (SRLabs).
По словам сотрудника SRLabs Карстен Ноля (Karsten Nohl), крупные компании вроде Vodafone без спроса и уведомлений начали внедрять технологию, которая «поставит под угрозу сотни миллионов людей».
Для исследования SRLabs протестировали SIM-карты нескольких операторов и проверила их взаимодействие с RCS-совместимыми доменами. В компании назвали уязвимым не сам стандарт RCS, а его реализации у разных операторов. Из-за того, что RCS не унифицирован, провайдеры нашли самостоятельные способы его внедрения.
Похоже, что на данный момент все внедряют его неправильно, но разными способами.
Проблемы некоторых операторов заключались в том, как они присылают абонентам RCS-конфигурации. В одном из случаев сервер предоставлял файл для конкретного устройства, идентифицируя его по IP-адресу. По словам исследователей, из-за этого любое приложение на смартфоне может запросить RCS-конфигурацию и получить логин и пароль ко всем текстовым сообщениям и звонкам на аппарате.
Обычно RCS представляет собой приложение в телефоне, через которое нужно войти в сеть с логином и паролем. В одном из случаев оператор присылал сообщение с кодом из шести цифр, чтобы подтвердить авторизацию пользователя RCS и давал неограниченное число попыток ввести данные. По словам Ноля, можно было провести миллион попыток за пять минут.
Все эти ошибки пришли из 90-х и теперь переизобретаются и заново вводятся. Сейчас они затрагивают более миллиарда человек.
В SRLabs отметили, что RCS внедрили как минимум 100 мобильных операторов по всему миру, в том числе AT&T, T-Mobile, Sprint и Verizon. Исследователи не уточнили конкретные уязвимости, они представят доклад о них на конферецнии Black Hat в Европе в декабре 2019 года и частично расскажут об уязвимостях на мероприятии DeepSec 6 декабря.
В Verizon и T-Mobile не ответили на запрос о комментарии Vice. Представители Vodafone заявили, что в курсе исследований SRLabs и уже приняли ряд мер для защиты своей реализации RCS.
В AT&T и Sprint журналистов направили в ассоциацию GSM. Там Vice рассказали, что уже знают о проблемах RCS от SRLabs и пояснили, что затронуты далеко не все реализации протокола.
RCS — новый стандарт, который операторы начали развёртывать для замены SMS. Он поддерживает больше возможностей для общения, в том числе передачу фотографий, групповые чаты и пересылку файлов.
