Dans une attaque SIM Swap, l’attaquant prend le contrôle du numéro de téléphone de la victime par un remplacement de carte SIM ou un transfert non autorisé. Si la connexion ou la récupération du compte dépend uniquement de la réception d’un SMS, ce contrôle peut ouvrir l’accès au compte. Mais les conséquences ne sont pas identiques dans toutes les messageries : un mot de passe supplémentaire, des appareils autorisés, des verrous d’inscription et les règles de récupération peuvent changer la situation.
Distinguez trois conséquences : la prise de contrôle du numéro, celle du compte et la lecture des anciens messages. Sans connaître l’architecture du service, ne considérez aucune comme la conséquence certaine d’une autre.
Que prouve un code SMS ?
Un code SMS indique généralement que le processus de connexion a accès au numéro concerné. Il ne prouve pas nécessairement que la même personne qu’auparavant contrôle ce numéro. Le guide de la FTC sur le SIM Swap explique pourquoi un attaquant contrôlant le numéro peut recevoir les codes de vérification.
Cette faiblesse ne rend pas toute authentification multifacteur inutile. Choisir un facteur plus robuste, lorsque le service le permet, peut réduire la dépendance au réseau téléphonique. Examinez aussi la récupération : si la méthode de connexion la plus robuste peut être contournée par une récupération uniquement par SMS, cette voie reste importante.
Quelle différence apporte SRP ?
SRP est une méthode d’accord de clé et d’authentification fondée sur un mot de passe, sans devoir envoyer le mot de passe lui-même lors de l’échange normal. Le serveur conserve des données appelées vérificateur. Cela diffère d’une connexion reposant uniquement sur un code SMS, mais le seul nom SRP ne détermine pas les règles d’inscription ou de récupération du compte.
Le vérificateur ne doit pas non plus être considéré comme inoffensif. La section sécurité du RFC 5054 indique que son vol peut permettre une attaque par dictionnaire pour deviner le mot de passe. La robustesse du mot de passe, le contrôle des tentatives de connexion, les paramètres et la qualité de l’implémentation restent importants. Ce RFC décrit un exemple de SRP dans TLS, pas un audit de l’implémentation de Livara.
Si le compte est compromis, tous les chats sont-ils lisibles ?
| Situation | Question déterminante |
|---|---|
| L’attaquant possède seulement le numéro | La connexion ou la récupération est-elle possible par SMS seul ? |
| L’attaquant s’est connecté au compte | Un nouvel appareil accède-t-il aux anciennes clés et à l’historique ? |
| L’attaquant envoie un nouveau message | Les contacts voient-ils et vérifient-ils le changement d’identité ou d’appareil ? |
| L’attaquant possède la phrase de récupération | Quelles sauvegardes et clés peut-elle déverrouiller ? |
| L’attaquant possède l’appareil déverrouillé | Quels contenus et sessions actives lui sont accessibles ? |
Le chiffrement de bout en bout protège le trajet du contenu des messages ; il ne remplace ni les règles de connexion ni la confiance dans l’identité du contact.
Les limites de l’affirmation de Livara
La page de sécurité de Livara décrit la connexion par nom d’utilisateur et SRP, ainsi que la récupération séparée du matériel d’identité. Cette conception ne doit pas devenir une promesse d’immunité contre tout vol de compte. Hameçonnage, logiciels malveillants, mots de passe faibles et divulgation de la phrase de récupération restent à prendre en compte.
Le même document précise que v7 récupère l’identité cryptographique, pas l’historique des chats. Le modèle de menace aide à distinguer l’accès au compte, aux clés et l’accès physique à l’appareil.
Mesures pratiques pour réduire le risque
- Définissez un mot de passe ou un PIN propre à votre compte opérateur et renseignez-vous sur les restrictions de transfert du numéro. Cela réduit le risque sans rendre un transfert non autorisé impossible.
- Dans les services compatibles, activez un facteur adapté autre que le SMS et conservez les codes de récupération en sécurité.
- Utilisez des mots de passe uniques ; un mot de passe partagé peut étendre un incident d’un service à plusieurs comptes.
- Si le service de votre SIM s’interrompt soudainement ou si vous recevez une notification de changement inattendu, contactez l’opérateur par un canal officiel connu ; toute panne n’est pas une attaque.
- Après avoir récupéré le numéro, examinez les connexions et modifications des comptes associés et révoquez les accès inconnus selon les instructions de chaque service.
Le meilleur critère n’est pas le nom d’une méthode de connexion, mais ce qu’un attaquant obtient exactement en contrôlant le numéro, le mot de passe ou l’appareil, et quelle barrière indépendante subsiste.
