Après avoir régné sans partage sur le monde de la téléphone mobile, le SMS (Short Message Service) passe le relais à son successeur, le RCS, pour Rich Communication Services. Face à la lenteur des opérateurs mobiles français à déployer ce nouveau protocole, Google a pris les devants à l’été 2019 en déployant ce standard sur les téléphones Android. À condition d’utiliser une application compatible, Google Messages en l’occurrence.
RCS, quels avantages ?
Le RCS revêt de nombreux avantages : en passant par la 4G ou la Wi-Fi, et non par le réseau GSM comme le faisait le SMS, ce protocole offre aux utilisateurs une kyrielle de fonctionnalités déjà proposées par les services Messenger ou WhatsApp par exemple. De la conversation groupée à l’appel vidéo en passant par la messagerie audio, le partage de la géolocalisation ou le transfert de fichiers, les options sont multiples, variées et utiles.
Alors que le RCS bénéficie d’un large déploiement impulsé par plus de cent opérateurs à travers le monde, des chercheurs de Security Research Labs (SRLabs) ont publié un rapport inquiétant sur la façon dont les entreprises de télécommunication l’intégraient à leurs services. Des failles à même d’être exploitées par des pirates informatiques ont en effet été décelées par les spécialistes.
Crédit photo : Fernando Hernandez via Unsplash.
Les principaux résultats de recherche se focalisent notamment sur le processus de « provisioning », dédié à l’activation du RCS sur un téléphone, qualifié de « mal protégé ». Google Messages n’implémenterait également pas assez de validation de domaine et de certificat, alors que la validation de l’identité de l’utilisateur comporterait elle aussi plusieurs faiblesses. L’entreprise de sécurité ne mentionne en revanche aucun opérateur.
En outre, une personne mal intentionnée serait capable de compromettre des données de géolocalisation, intercepter des messages et appels téléphoniques ou encore obtenir un code PIN à six chiffres à l’aide d’une attaque par force brute. « Nous trouvons que c’est en fait un pas en arrière pour un grand nombre de réseaux », a même déclaré Karsten Nohl, chercheur chez SRLabs au cours d’un entretien téléphonique avec Motherboard.
Des vulnérabilités déjà connues
Porte-parole de la GSMA, l’association qui gère le protocole, Claire Cranton tient à rassurer les professionnels du secteur et le grand public : « La GSMA est au courant des recherches menées par SRLabs sur la sécurité du RCS. Certaines vulnérabilités sont déjà connues, mais aucune nouvelle vulnérabilité n’a été signalée », peut-on lire dans les colonnes du média susmentionné.
Et de poursuivre : « Nous exprimons nos remerciements aux chercheurs ayant donné l’opportunité à l’industrie de prendre en considération leurs trouvailles. La GSMA accueille favorablement toute recherche qui renforce la sécurité et la confiance des utilisateurs des services mobiles, et qui encourage les chercheurs à soumettre leur travail à notre Coordinated Vulnerability Disclosure (CVD) Programme ». Autrement dit : passez votre chemin, tout est sous contrôle. On ne demande qu’à la croire.
Abonnez-vous à Numerama sur Google News pour ne manquer aucune info !
