Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Une faille dans iOS qui permet de spoofer des SMS [+tool]

Un chercheur en sécurité vient de découvrir au sein d’iOS (toutes versions confondues, même la beta 4 de iOS 6), une faille qui permet d’envoyer des SMS en se faisant passer pour quelqu’un d’autre.

En effet, lorsque vous tapez un SMS, votre message est converti en PDU (Protocol Description Unit) par votre téléphone et envoyé vers votre opérateur. Ce protocole permet aussi bien l’envoi de SMS texte classique, que l’envoi de MMS, de Flash SMS…etc.

Avec une petite application conçue pour ça, ou un modem ou un accès à une passerelle SMS, il est possible d’envoyer un SMS forgé spécialement pour l’occasion directement en DPU. Dans ce message forgé, une section optionnelle baptisée UDH (User Data Header) permet entre autres de spécifier un numéro de réponse qui est différente de l’adresse d’envoi. (reply-to… même principe que pour les emails)

La faille en question dans iOS se situe à ce niveau. L’iPhone affiche en numéro d’expéditeur, directement ce numéro de réponse. Du coup, n’importe quelle personne mal intentionnée peut, en utilisant ce champ de « réponse à » et en envoyant le message forgé à un iPhone, se faire passer pour quelqu’un d’autre… Par exemple une banque, ou un service en ligne comme Google…etc.

Malin, efficace et surtout possible dès à présent puisque le chercheur qui a découvert ce problème a développé une application baptisée sendrawpdu qu’il a mis en ligne sur son site.

À essayer avec intelligence et modération en prévenant bien sûr le destinataire des SMS forgés.

Edit : Apple a répondu ceci…

Apple takes security very seriously. When using iMessage instead of SMS, addresses are verified which protects against these kinds of spoofing attacks. One of the limitations of SMS is that it allows messages to be sent with spoofed addresses to any phone, so we urge customers to be extremely careful if they’re directed to an unknown website or address over SMS.

Grosso modo, cela veut dire qu’ils ne feront rien, que les gens n’ont qu’à utiliser iMessage qui n’a pas ce bug et qu’on doit rester vigilant quand on reçoit des SMS qui nous invitent à nous rendre sur un site internet inconnu. Ah ok, d’accord…

Source


pCloud est un service développé en Suisse depuis 2013 qui compte à ce jour plus de 8 millions d’utilisateurs et qui conviendra à tous ceux qui ont des besoins sérieux en stockage en ligne et qui cherchent une solution compatible avec tous les OS (desktop et mobile).

Comme tous les services de ce genre, pCloud offre une version web et un compagnon Drive à installer sur votre Linux, Mac ou Windows qui vous permettra de synchroniser et d’accéder à l’ensemble de vos fichiers directement depuis votre ordinateur (via l’explorateur de fichiers ou le Finder). Ainsi, grâce au Drive, vos fichiers sont synchronisés en permanence et vous pouvez y accéder même lorsque vous êtes hors ligne.

Et aujourd’hui je vous propose de gagner un des 3 comptes pCloud mis en jeu de 500 Go à vie 😉

Entrez maintenant pour gagner 1 des 3 comptes “500 Go à vie” d’une valeur de 480€ chaque