Archives du mot-clé mobile

31C3 : Des chercheurs vont dévoiler une faille permettant l’interception de communications téléphoniques via mobiles

 
 
Via le WashingtonPost :

Deux chercheurs allemands vont présenter à Hambourg pour le Chaos Communication Congress (31C3) de nouvelles techniques d’attaque visant le système SS7, un ensemble de protocoles qui permet la gestion des appels sur un réseau téléphonique.
Ce système remonte aux années 70 / 80 mais est toujours très utilisé. Il présente un manque de sécurité dans sa conception le rendant vulnérables aux attaques.
Les chercheurs avaient déjà fait une présentation baptisé Locating Mobile Phones using SS7 lors du 25C3 (2008).

Les nouvelles attaques permettent l’écoute des appels et l’interception de SMS.
La première attaque se base sur l’hijack des fonctionnalités de transferts d’appels : il est possible de se faire rediriger un appel pour l’intercepter, il faut ensuite le renvoyer vers le destinataire original.
La seconde attaque demande des antennes radio et une proximité d’une cellule pour enregistrer les communications et envoyer un ordre SS7 permettant de déchiffrer temporairement les communications (si j’ai bien compris).

Ce sont des attaques qui sont peut-être déjà mis en place par les grandes oreilles à travers le monde…

La présentation a lieu le 27 décembre.

Smartphones : une application peut extraire des données sensibles de la mémoire d’autres applications

Via Phys.org :

Des chercheurs présentent aujourd’hui à la 23ème édition du symposium de sécurité USENIX de San Diego leur étude baptisée Peeking into Your App without Actually Seeing It: UI State Inference and Novel Android Attacks.

Vidéo à l’appui ils montrent qu’une application malicieuse installée sur un smartphone (IOS, Android ou Windows) peut récupérer des informations sensibles traitées par d’autres applications et ce même si l’appli malicieuse a très peu de droits.
La faute aux zones de mémoire partagée qui sont accessibles à toutes les applications sans restriction.

En connaissant le fonctionnement d’une appli il est ainsi possible de prévoir le cheminement suivi par l’utilisateur sur l’application et de prévoir quand la zone de mémoire contiendra des données intéressantes (mots de passe, numéro de sécu, infos bancaires, etc.)

Faille massive des applications mobiles

La compagnie israélienne Skycure a découvert une faille majeure dans la communication des applications mobiles avec la partie serveur. En effet, la firme a découvert que nombre de ces applications communicant par le biais de services web sont vulnérables aux attaques de type HTTP Request Hijacking.

Cette attaque consiste à falsifier la réponse du serveur par une réponse de type 301 Moved Permanently. Ceci a pour effet de rediriger l’appel à l’API vers le serveur de l’attaquant.

La recommandation dans ce cas est de tenter l’appel à une URL secondaire avant d’accepter la redirection, ce que ne font pas la majorité des applications au jour d’aujourd’hui.

Les détails de la vulnérabilités seront dévoilées durant la conférence RSA Europe 2013.

Source : The Register