SMS : Short Message Service
Sécurité
SMS : Short Message Service. « Service de messages courts », par analogie avec le petit mot glissé sous la porte, que n'importe qui dans le couloir peut lire au passage.
Nature : Service de messagerie texte des réseaux mobiles : les messages transitent par l'infrastructure de l'opérateur et ne sont pas chiffrés de bout en bout.
Second facteur : Un code envoyé par SMS ajoute un facteur au mot de passe et bloque le bourrage d'identifiants. C'est pourtant l'option de MFA la plus faible : le code n'est lié ni au site visité ni à l'appareil, et un site de hameçonnage le relaie en temps réel.
Échange de carte : Un attaquant qui obtient de l'opérateur le transfert du numéro sur une nouvelle SIM reçoit les codes à la place du titulaire. La sécurité du compte repose alors sur la vigilance d'un conseiller en boutique, personne estimable au demeurant, mais rarement recrutée pour ses lumières en cryptographie.
Chemin de secours : Un compte protégé par une clé matérielle mais réinitialisable par SMS a exactement la sécurité du SMS. Le maillon faible se déclare rarement de lui-même.
Ce qui arrive si on s'en passe
Protéger un compte par un code SMS seulement, ou le laisser réinitialisable par SMS, c'est confier sa sécurité à un canal qui n'est ni chiffré de bout en bout ni lié au site visité : un site de hameçonnage relaie le code en temps réel, et un attaquant qui obtient le transfert du numéro sur une nouvelle SIM reçoit les codes à la place du titulaire. Une clé matérielle ajoutée ailleurs n'y change rien tant que le chemin de secours par SMS reste ouvert. Le conseiller en boutique devient ainsi, sans l'avoir demandé, le dernier rempart d'un compte en ligne, fonction rarement mentionnée dans l'annonce de recrutement.
Explication de la marmotte
C'est le petit message texte qu'on reçoit sur son téléphone portable. Beaucoup de sites s'en servent pour envoyer un code de vérification à taper après le mot de passe, comme une deuxième serrure. Le souci, c'est que ce message n'est pas vraiment protégé pendant son trajet, et qu'une personne mal intentionnée peut parfois convaincre l'opérateur de téléphonie de lui attribuer le numéro de quelqu'un d'autre. Elle reçoit alors les codes à sa place. C'est mieux que rien, mais une application dédiée ou une petite clé de sécurité protège bien davantage.
Où ce terme est utilisé
- La récupération de compte, maillon faible (9 occurrences)
- Authentifier les personnes et les services (5 occurrences)
- Comment contrer le spear phishing et la fraude au président (2 occurrences)
- Guide d'hygiène informatique ANSSI en 42 mesures, mode d'emploi (2 occurrences)
- Protéger une information en environnement hostile (2 occurrences)
- Cross-site scripting (XSS) : mécanisme, variantes et défenses (1 occurrence)
- Itinérance mobile et confiance entre opérateurs (1 occurrence)
- Les passkeys, et ce qui se déplace (1 occurrence)
- Principes de sécurité, identité et cryptographie utile au réseau (1 occurrence)