Si conozco un exploit actualmente en funcionamiento para falsificar SMS en un operador importante, ¿qué debo hacer? [cerrado]

7

Esto funciona actualmente en todos los iPhones y en un teléfono Android conocido a partir de hoy, se ha presentado una queja formal ante el operador y la FCC. Sin embargo, dudo que hagan algo al respecto ya que este es un protocolo SMS que funciona como es debido, y cualquier técnica de suplantación no es interesante (por lo que puedo decir), y no es un informe de errores válido.

Tampoco soy un experto en seguridad de ninguna manera y me gustaría alguna referencia a los materiales de investigación que me ayuden a redactar un informe formal sobre cómo funciona esto realmente, pero tengo muy poca experiencia y casi me tropecé con esto. Cualquier conjunto de herramientas conocido que también me ayude a hacer esto sería genial.

El exploit es puramente de software por naturaleza, no se usa hardware excepto el teléfono, obviamente, tengo la sensación de que puede ser un problema con el correo electrónico de los operadores - > Gateway de SMS, que para mí es algo que probablemente podrían arreglar.

    
pregunta knishka 04.02.2015 - 15:18
fuente

1 respuesta

16

Haz un video de demostración.

Descubrí que los videos de demostración son una manera increíblemente poderosa de comunicar problemas de seguridad, capturando la atención de los gerentes que de otra manera lo descartarían como "geeks frikis que hablan".

Intenta que el video sea lo más real posible. Incluya un ejemplo que no sea solo "oh, mira, esto no debería suceder", sino que en realidad da un escenario del mundo real plausible en el que este sería un problema grave.

No incluya detalles técnicos en el video. Si hay un paso técnico, simplemente muestre a alguien que ejecuta algunos comandos en una computadora, tal vez incluso borre la pantalla para ocultar los comandos. El video muestra lo que puede suceder, no CÓMO sucede. Esto también significa que el video es menos sensible, ya que no contiene detalles técnicos de la vulnerabilidad.

Si solo algunos operadores son vulnerables, incluya un ejemplo de intentar el mismo ataque contra un operador no vulnerable, para demostrar que no tiene éxito.

Al principio, comparta el video en privado con el proveedor y dígales que si no obtiene una respuesta adecuada y oportuna, compartirá el video más ampliamente.

Aquí hay un ejemplo de mí y un colega en un video de demostración .

    
respondido por el paj28 04.02.2015 - 15:39
fuente

Lea otras preguntas en las etiquetas