I messaggi RCS hanno una seria vulnerabilità di sicurezza

Rich Communication Service, o RCS, è la prossima generazione di messaggistica wireless voluta fortemente da Google. A differenza degli SMS che utilizzano la rete 2G di un operatore telefonico, i messaggi RCS usano la rete dati 3G o 4G (in futuro anche 5G). Ciò consente ai messaggi di essere inviati tramite Wi-Fi quando possibile e di avere una lunghezza massima di 8.000 caratteri rispetto ai 160 degli SMS.

Inoltre, RCS emette “conferme di lettura” in modo che gli utenti sappiano quando il loro messaggio è stato letto dal destinatario. E quando qualcuno sta scrivendo una risposta mediante RCS, un indicatore a tre punti farà sapere all’utente che un messaggio in arrivo è in fase di digitazione. Possono avere luogo messaggi di gruppo con un massimo di 100 partecipanti e possono essere condivisi file più grandi contenenti immagini e video. Insomma, gli RCS sono lo standard degli operatori in competizione con i vari WhatsApp, Messenger, Viber, ecc.

Ma sembra che ci sia un lato oscuro nello standard RCS, come scoperto dall’Istituto tedesco di ricerca SRLabs. La società di sicurezza afferma che il processo di preparazione dei telefoni Android per gli RCS lascia aperta la piattaforma a potenziali violazioni dei dati degli utenti.

In pratica, l’app Messaggi di Android non esegue una convalida sufficiente di domini, certificati e identità dell’utente, permettendo a potenziali hacker di inserirsi fra i due destinatari fingendosi uno di essi. Di conseguenza, gli hacker possono falsificare un nome di dominio e persino consentire lo spoofing e la frode dell’ID.

Ancora più grave, tale vulnerabilità può rendere la verifica a due fattori del tutto inutile: la falla può consentire a un hacker di dirottare una password OTP per la verifica di accesso all’area personale della banca, a PayPal e a qualsiasi altro servizio usa questo genere di autenticazione.

La ciliegina sulla torta, anche se era già una cosa risaputa, è che i messaggi RCS non sono crittografati in alcuna maniera, a differenza di WhatsApp, Telegram, Messenger e Signal che usano una crittografia E2E.

VIA