Se conosco un exploit attualmente funzionante per falsificare SMS su un corriere principale, cosa dovrei fare? [chiuso]

7

Attualmente funziona su tutti gli iPhone e su un noto telefono Android fino ad oggi, un reclamo formale è stato presentato al corriere e alla FCC. Dubito che faranno qualsiasi cosa su di esso anche se dal momento che questo è il protocollo SMS che funziona come previsto, e una particolare tecnica di spoofing non è (da quello che posso dire) interessante, e non una segnalazione di bug valida.

Anch'io non sono un esperto di sicurezza con qualsiasi mezzo e desidero qualsiasi riferimento a materiale di ricerca per aiutarmi a scrivere un rapporto formale su come funziona, ma ho poche competenze e un po 'di inciampo su questo. Qualsiasi suite di strumenti noti anche per aiutarmi a farlo sarebbe grandiosa.

L'exploit è di natura puramente software, non c'è uso dell'hardware tranne il telefono, ovviamente, ho la sensazione che potrebbe essere un problema con l'email dell'operatore - > Gateway SMS, che per me è qualcosa che potrebbero probabilmente risolvere.

    
posta knishka 04.02.2015 - 15:18
fonte

1 risposta

16

Realizza un video dimostrativo.

Ho scoperto che i video dimostrativi sono un modo incredibilmente potente per comunicare problemi di sicurezza, catturando l'attenzione dei manager che altrimenti lo liquiderebbero come "geek che parlano geek".

Cerca di rendere il video il più realistico possibile. Includi un esempio che non è solo "oh guarda, questo non dovrebbe accadere", ma in realtà fornisce uno scenario plausibile del mondo reale in cui questo sarebbe un problema serio.

Non includere dettagli tecnici nel video. Se c'è un passaggio tecnico, basta mostrare a qualcuno che esegue alcuni comandi su un computer, magari sfocare lo schermo per nascondere i comandi. Il video è per mostrare che cosa può accadere, non come succede. Ciò significa anche che il video è meno sensibile, in quanto non contiene dettagli tecnici sulla vulnerabilità.

Se solo alcuni operatori sono vulnerabili, includi un esempio di tentare lo stesso attacco su un operatore non vulnerabile, per mostrare che non ha esito positivo.

In un primo momento condividi il video con l'operatore privato e spiega che se non ricevi una risposta adeguata e tempestiva, condividi il video più ampiamente.

Ecco un esempio di me e di un collega in un video dimostrativo .

    
risposta data 04.02.2015 - 15:39
fonte

Leggi altre domande sui tag