SMS 系统应该警告用户可能的欺骗攻击吗?

信息安全 验证 短信
2021-08-31 17:49:45

这篇博文的作者Never trust SMS: iOS text spoofing说: SMS 消息的发送者可以使用低级协议特性提供任意发送者信息。此外,发送者可以设置一个标头,以指示应将回复发送到第三个号码。

苹果评论:

Apple 非常重视安全性。当使用 iMessage 而不是 SMS 时,会验证地址以防止此类欺骗攻击。SMS 的限制之一是它允许将带有欺骗性地址的消息发送到任何电话,因此我们敦促客户在通过 SMS 被定向到未知网站或地址时要格外小心。

我的理解是,Apple 说这不是他们的设计缺陷,而是 SMS 的一个缺陷,以及有效载荷的设计方式。

这种反应提出了许多问题:

  • 是不是接收方手机无法验证发送方信息是否正确?
  • 当用户尝试回复 SMS 消息时,对标头的回复是否是应警告用户的问题?
  • 其他供应商如何处理这种情况?
  • 这两个问题(任意发件人信息和回复标头)也适用于普通的旧电子邮件。电子邮件客户端如何处理它?
4个回答

Apple 并没有创建业界提供给他们的 SMS 标准。业界指出,SMS 交易可以包括回复字段。Apple 设计了他们的软件,以使用业界告诉他们存在的东西(以及与哪些行业设备兼容,因为它完好无损地中继它)。只要苹果没有错误地使用提供的标准,他们就不能受到指责。如果包含回复字段,并且与发件人字段不同,那么回复字段的目的到底是什么?每个人都期望行为究竟是什么?

一个例子:Apple 制造计算机。我的 Mac Book Pro(运行 OS X 10.8)可能会被伪造的 MAC 地址欺骗。是苹果的错吗?我的 MBP 可能会被欺骗的 IP 地址所欺骗。苹果也有错?在这两种情况下都不是,IP 堆栈早在 Apple 与网络计算机有任何关系之前就已经设计好了。被欺骗的 MAC 控制不容易被检测到(除非您确定应该看到什么 MAC 地址)。Apple 正在使用提供的标准。

编辑:如果客户想要一个安全的平台,他们会使用 iMessage。如果兼容性是问题,他们会使用 SMS。SMS 不是,也从来没有被设计成一个安全的平台。

认为@blunder 无法将 SSL(已知的安全系统)与 SMS(已知的不安全系统)进行比较。Telnet 是一种不安全的通信媒介,可以进行更仔细的比较。有多少计算机弹出一条通知,上面写着“您确定要使用 telnet,它以明文形式发送密码吗?” Apple 是否有责任,因为 OS X 没有弹出窗口来通知尝试使用 telnet 的人它不安全?

轮到我提问了。为什么我们一心想找借口让 Apple 解决这个问题,而不是解决问题的原因(SMS 标准)?当您可以从原因(携带者)治愈症状时,为什么修复症状是合乎逻辑的?

您链接到的博客文章似乎暗示这是一个设计缺陷,可以合理地称为 Apple 的错。

博客文章说,每条短信都带有相当于“发件人”字段(发送人的电话号码),以及(可选)相当于“回复”字段(回复的电话号码)到)。显然,发件人可以设置“回复”字段,但不能设置“发件人”字段。如果 iPhone 收到包含“reply-to”字段的 SMS,它会忽略“from”字段并将“reply-to”字段视为消息的发送者。这使得欺骗 SMS 消息的明显发件人变得容易。

我没有第一手的知识,但如果博客文章是正确的,那么这听起来像是 iPhone 中的一个设计缺陷,可以由 Apple 修复,只需始终使用“发件人”字段作为发件人并且不允许“回复”字段覆盖“发件人”字段。

从技术上讲,这确实不是 Apple 的问题。

什么是“苹果的问题”?这在某种程度上阻碍了苹果追求其最终目标,可以概括为“赚很多钱”。对于像苹果这样的大公司来说,主要有两类“问题”:

  • 形象问题,这可能会阻止潜在客户购买产品。

  • 法律问题可能会导致重大修改,更重要的是,如果它们变得太明显,可能会变成形象问题。一些法律问题,例如专利,不会损害形象,因为客户不关心知识产权;他们将苹果与三星的诉讼视为一种娱乐。但是,任何可能以某些客户可能被骗的方式提出的法律问题(并且安全问题属于该类别)都可能对 Apple 的形象造成一些损害。

所谓的苹果立场(“问题在于标准”)可以解释为苹果律师的“提出来”。他们的防守已经准备好了。他们的盾牌竖起来了。所以,这样对苹果来说没问题。同样,可以通过使用指定替罪羊的历史悠久的策略来转移对图像的打击,在这种情况下是 SMS 标准。在形象方面,Apple 看起来像白骑士:他们确实提供了一种“更好”的方式(iMessage),并且在这件事上很容易看起来无可指责。

这一切都意味着苹果足够大,可以定义现实。技术小玩意的世界具有足够的可塑性和神奇的外观,以至于大玩家可以告诉事情它们是什么,而不是被告知事情是什么。事实上,苹果公司十多年来一直这样做是为了建立苹果公司的庞大财库。SMS from/reply-to 不是 Apple 的问题,因为 Apple 是这么说的。我看不出他们为什么会停止这样做,我看不出这种策略为什么会让他们失败。

(请注意,我是从技术角度说的;我根本不是在谈论道德。)

值得注意的是,可以在不违反标准的情况下解决问题。下面是一个不违反 SMS 标准但通过安全警报消息警告用户的警报的示例:

在此处输入图像描述