Page 18 - Test de sécurité des applications de services financiers numériques fondés sur les technologies USSD et STK

Figure 8 – Exemple de sortie Wireshark de SIMtrace – cette trace Wireshark montre que le PIN a été capturé
en texte clair par SIMtrace

La capture Wireshark ci-dessus montre un des résultats possibles; un attaquant peut lire le code PIN et les
données lorsqu'ils sont saisis sur l'appareil avec la trace SIM.

commandes spécifiques. Ce test fait passer une carte Les fournisseurs utilisent des messages binaires
SIM par un lecteur de carte à puce compatible PCSC hertziens pour envoyer des mises à jour et des modi-
afin de déterminer si elle est sensible aux attaques fications aux menus SIM sans qu'il soit nécessaire de
Simjacker ou WIB . rééditer la carte SIM. L'utilisateur final reçoit un mes-
9
10
Ces dernières permettent aux attaquants d'en- sage binaire de l'opérateur pour télécharger ou acti-
voyer un message binaire hertzien aux applications ver de nouveaux services sur sa carte SIM sans qu'il
SIM qui s'exécutent sur la carte SIM et d'interagir ait à se rendre dans un point de vente. Les fournis-
avec l'appareil mobile afin d'effectuer les actions sui- seurs de DFS qui offrent des DFS avec STK mettent à
vantes: jour le menu d'application STK de la liste de services
financiers à l'aide de messages hertziens binaires.
a) Lancer un appel, envoyer un SMS et envoyer des L'exécution est souvent indétectable et, dans la plu-
demandes SS. part des cas, ne génère aucune notification à l'utilisa-
b) Lancer des demandes USSD. teur et aucune action n'est requise.
c) Lancer un navigateur Internet avec une URL spé- Un attaquant peut faire usage de cette fonction-
cifique. nalité pour envoyer un SMS binaire comprenant des
d) Afficher du texte sur l'appareil. commandes ciblant les DFS de l'utilisateur.
e) Rentrer en contact avec les utilisateurs. Ce test utilise l'application SIMtester pour vérifier
si une carte SIM est vulnérable et exploitable par des
L'attaque WIB et l'attaque Simjacker se distinguent attaques hertziennes par SMS. Il vérifie pour cela si
par les applications de la carte SIM qu'elles ciblent. le fournisseur a activé les fonctions de sécurité adé-
Simjacker exécute des commandes via l'application quates sur la carte SIM pour les esquiver.
S@T Browser. En revanche, les attaques WIB ciblent Chaque application est dotée d'un niveau de
l'application Wireless Internet Browser (WIB). sécurité minimal qui spécifie le contrôle de sécurité
La possibilité d'exécuter ces attaques à distance minimal dont les paquets sécurisés envoyés à l'ap-
sur une carte SIM constitue un risque pour les utili- plication font l'objet. La carte SIM vérifie le niveau
sateurs de DFS. de sécurité avant de traiter la commande binaire. Si
le test échoue, elle rejette les messages. Si l'applica-

16 Test de sécurité des applications de services financiers numériques fondés sur les technologies USSD et STK