Donc, vous êtes sûr d'être à l'abri des attaquants qui font des ravages avec des faiblesses d'authentification ? Détrompez-vous ou au moins considérez les résultats de recherches récentes. Cinq opérateurs ont utilisé des défis d'authentification non sécurisés, une insécurité que les attaquants pourraient exploiter lors de tentatives malveillantes d'échange de carte SIM.

L'échange de SIM se produit lorsque l'utilisateur essaie d'échanger une carte SIM contre une autre et contacte l'opérateur afin que le représentant contacté puisse changer le numéro du propriétaire pour une autre carte, expliqué Courrier quotidien .

Catalin Cimpanu dans ZDNet avait une explication qui soulignait la vulnérabilité de tout cela. « Un échange de carte SIM se produit lorsqu'un attaquant appelle un fournisseur de téléphonie mobile et incite le personnel de l'opérateur à changer le numéro de téléphone d'une victime en une carte SIM contrôlée par l'attaquant. »

L'étude de l'Université de Princeton est « Une étude empirique de l'authentification des opérateurs sans fil pour les échanges de cartes SIM » et elle a été rédigée par des chercheurs du Département d'informatique et du Centre de politique des technologies de l'information de Princeton.

Dans un scénario, un attaquant pourrait aller de l'avant et réinitialiser un mot de passe, accéder aux boîtes de réception des e-mails, portails bancaires ou systèmes de trading de crypto-monnaie.

TechSpot a rapporté que « les chercheurs ont ouvert 50 comptes prépayés sur Verizon, AT&T, T Mobile, Mobile américain, et Tracefone, et a passé la majeure partie de 2019 à chercher des moyens d'amener les opérateurs de centres d'appels à rattacher leurs numéros de téléphone à une nouvelle carte SIM."

Dans leur papier, les chercheurs ont également dressé un sombre tableau des attaques par échange de cartes SIM. Ceux-ci "permettent aux attaquants d'intercepter les appels et les messages, usurper l'identité des victimes, et effectuer des attaques par déni de service (DoS). Ils ont été largement utilisés pour pirater des comptes de médias sociaux, voler des crypto-monnaies, et s'introduire dans des comptes bancaires. Cette vulnérabilité est grave et largement connue."

Cinq grands transporteurs américains :AT&T, T Mobile, Tracefone, US Mobile et Verizon Wireless—ont été discutés. Les chercheurs voulaient déterminer des protocoles d'authentification.

Voici ce que les auteurs ont écrit dans leur résumé :

« Nous avons constaté que les cinq opérateurs utilisaient des défis d'authentification non sécurisés qui pouvaient être facilement contournés par les attaquants. Nous avons également constaté que les attaquants n'avaient généralement besoin de cibler que les défis d'authentification les plus vulnérables, parce que le reste pourrait être contourné."

Les Courrier quotidien article a été utile en fournissant des exemples :dans les tentatives d'échange de SIM, de nombreux ont réussi en disant aux représentants qu'ils avaient oublié les réponses aux questions de sécurité. Aussi, les chercheurs ont affirmé que la raison pour laquelle ils ne pouvaient pas répondre à des questions sur des choses comme leur date et leur lieu de naissance, mentionné Courrier quotidien , était qu'ils ont dû faire une erreur lors de la création du compte.

Numérisation du papier lui-même, il est facile de comprendre pourquoi les chercheurs s'inquiétaient de la réussite de l'échange de cartes SIM.

"Dans nos échanges SIM réussis, nous avons pu nous authentifier auprès du transporteur en passant au plus un schéma d'authentification." Avec un seul fournisseur, en utilisant la vérification du journal des appels, les chercheurs ont été autorisés à échanger des cartes SIM "une fois que nous avons fourni deux numéros récemment composés, bien que nous ayons échoué à tous les défis précédents, tels que le code PIN."

ZDNet a noté que "L'équipe de recherche a supprimé les noms des 17 services vulnérables de leurs recherches afin d'empêcher les permutateurs de SIM de se concentrer sur ces sites pour de futures attaques."

(Les auteurs avaient expliqué que « Nous avons également évalué les politiques d'authentification de plus de 140 services en ligne qui offrent une authentification par téléphone pour déterminer comment ils résistent à un attaquant qui a compromis le numéro de téléphone d'un utilisateur via un échange de carte SIM. Notre principale conclusion est que 17 sites Web de différents secteurs ont mis en place des politiques d'authentification qui permettraient à un attaquant de compromettre complètement un compte avec juste un échange de carte SIM.")

Quels conseils ont les auteurs ? Ils ont formulé un certain nombre de recommandations. « Les transporteurs devraient abandonner les méthodes non sécurisées d'authentification des clients, ", ont-ils écrit. L'élimination progressive des méthodes non sécurisées faisait partie de la solution. Une autre recommandation était de "Fournir une meilleure formation aux représentants du support client". ils devraient "développer des mesures pour éduquer les clients sur ces changements afin de réduire les frictions de transition".

Les auteurs ont déclaré avoir identifié des schémas d'authentification faibles et des politiques erronées chez cinq opérateurs de téléphonie mobile américains du marché prépayé. "Nous avons montré que ces failles permettent des attaques simples par échange de carte SIM. Nous espérons que nos recommandations serviront de point de départ utile pour les changements de politique de l'entreprise en ce qui concerne l'authentification des utilisateurs."

Quels conseils les écrivains qui veillent sur la technologie ont-ils donné ? Adrian Potoroaca dans TechSpot pesé :« La conclusion évidente est de ne pas utiliser le SMS comme une forme d'authentification à deux facteurs, et utilisez plutôt une application d'authentification. Pour ceux d'entre vous qui possèdent un téléphone Android, Google vous permet d'utiliser votre téléphone comme clé d'authentification physique à deux facteurs, qui est à peu près la méthode la plus sûre qui soit."

© 2020 Réseau Science X