ComputersHowto
Reemplazar los SMS regulares con RCS o Rich Communication Services hace que los usuarios sean vulnerables a ataques basados en texto, interceptación de llamadas, rastreo de ubicación y más, según una nueva investigación..
El estándar RCS (Rich Communication Services) es un reemplazo para los SMS que incluirá características como recibos de lectura, la capacidad de enviar medios, etc..
Si bien el nuevo estándar de SMS no tiene fallas inherentes, los investigadores de SLabs afirman que las redes de operadores están exponiendo a los usuarios a una serie de amenazas de seguridad a medida que implementan RCS a gran escala..
Dado que no existe un estándar unificado, las grandes empresas de telecomunicaciones pueden emplearlo de manera diferente y cometer errores en el proceso, escribe Vice.
Que es RCS?
RCS es un protocolo que pronto reemplazará al SMS estándar. Si bien comenzó a existir en 2007, apenas obtuvo reconocimiento hasta 2018, cuando Google anunció que está trabajando con los principales operadores para llevar el protocolo RCS a los dispositivos Android..
El nuevo estándar permitirá a los usuarios iniciar chats grupales, enviar imágenes de alta resolución, audio, esencialmente todas las características de los servicios de chat populares como iMessage y WhatsApp..
Cual es el problema?
Para la investigación, el equipo de SLabs tomó muestras de tarjetas SIM de diferentes operadores y buscó dominios relacionados con RCS. Además, el equipo trató de encontrar fallas de seguridad en cada.
Los investigadores descubrieron problemas en la forma en que las telecomunicaciones envían los archivos de configuración de RCS a los dispositivos. Por ejemplo, un servidor proporciona el archivo de configuración exacto identificando las direcciones IP.
Karsten Nohl de SLabs dijo que cualquier aplicación podría solicitar el archivo, con o sin permisos, ya que también usan la dirección IP. "Así que ahora cada aplicación puede obtener su nombre de usuario y contraseña para todos sus mensajes de texto y todas sus llamadas de voz"
Los investigadores también encontraron fallas de seguridad en el proceso de autenticación. Por ejemplo, una empresa de telecomunicaciones envía un código de autenticación único para verificar la identificación del usuario de RCS. Dado que el operador ofrece un "número ilimitado de intentos", los malos actores pueden omitir la autenticación con intentos ilimitados..
Respuesta de las redes portadoras
Cuando se le pidió que comentara, Vodafone aseguró a los usuarios que tomaría medidas de seguridad para proteger los servicios RCS. Mientras tanto, AT&T y Sprint dirigieron las preocupaciones a la Asociación GSM (un organismo comercial de telecomunicaciones).
GSM dijo a Vice que si bien aprecian los esfuerzos realizados por SLabs para con el público, los problemas de seguridad; sin embargo, la investigación no incluye "vulnerabilidades nuevas" de las que el cuerpo no estaba al tanto.
Los investigadores de SLabs informarán sobre sus hallazgos en la conferencia de diciembre de Black Hat en Europa.
Lea también: China prohíbe la publicación de deepfakes sin una divulgación adecuada
