Trasmissione sicura dei dati dell'applicazione tramite il canale SMS

Il TextSecure Messenger (ora chiamato Signal) forniva sms crittografati basati su uno schema di crittografia a chiave pubblica. Tuttavia, hanno abbandonato la funzione un anno fa . Secondo il blogpost, i motivi per abbandonare il supporto sono stati l'impossibilità di farlo correttamente con gli iPhone e la cattiva sicurezza degli SMS in generale.

Questo è ovviamente solo un esempio - ma mostra un possibile approccio per crittografare il contenuto e proteggere l'integrità dei messaggi SMS.

Non posso aiutarti con i dettagli della crittografia in questione - ma forse vale la pena esaminare la documentazione e il codice sorgente di Textsecure / Signal / Silence ( Forcella Textsecure) .

Non esiste una trasmissione sicura dei dati tramite SMS. I dati sono esposti a una grande varietà di minacce alla divulgazione di informazioni da e attraverso la telco, da strumenti che sincronizzano i tuoi SMS con e-mail (come Exchange e Google Voice).

Come dice Lukas, è estremamente difficile crittografare i tuoi dati e poi inviarli via SMS. Se hai intenzione di creare un'app, allora perché utilizzare SMS come livello di trasferimento? Se non hai intenzione di creare un'app, allora gli SMS non sono sicuri.

Non sono a conoscenza di tecnologie esistenti che lo facciano. Mi sembra che qualsiasi tipo di PKI implichi l'invio di dati attraverso vettori non fidati e sembra generalmente pieno di pericoli. Inoltre, le lunghezze delle chiavi che vorresti utilizzare per la tua chiave pubblica potrebbero non adattarsi nemmeno all'interno di un singolo SMS a causa della lunghezza e dei diversi possibili protocolli di codifica dei caratteri.

L'unica soluzione che mi viene in mente è di usare qualcosa come Diffe-Hellman per generare una chiave condivisa e quindi usare la crittografia simmetrica su SMS, che di nuovo potrebbe incorrere in problemi con la codifica dei caratteri. Come hai detto, questa chiave sarebbe stata memorizzata sul dispositivo come una chiave per conversazione (SIM-SIM), che poteva essere estratta dal dispositivo e utilizzata per decifrare una conversazione.

SMS è stato utilizzato per quasi 30 anni a questo punto e semplicemente non è stato progettato pensando alla sicurezza. La maggior parte degli altri protocolli che affrontano questo problema devono essere sostituiti da una versione più sicura o avvolti da qualche altra sicurezza. è possibile che la sicurezza MMS sia più probabile, ma non ne so molto.

Per farla breve: Per motivi preesistenti, non è possibile criptare SMS nel suo complesso. Ma per quanto riguarda il messaggio stesso?

Ora non sto dicendo che dovresti farlo, ma potresti facilmente usare una chiave per crittografare il messaggio che vuoi inviare, quindi inviare il messaggio codificato in alcuni testi con le meta informazioni per collegarli insieme. Quindi hai solo bisogno di un altro modo per inviare la chiave in modo sicuro e privato all'altra persona. Questa è la vera domanda.

Ovviamente questo mostra la vera domanda a cui dovresti pensare invece: Perché dovrei utilizzare SMS per inviare dati protetti? E la risposta è che non dovrebbe .

Potrei sembrare paranoico e deludente, ma se i tuoi clienti sono su firmware di borsa / spywares / crapwares o - peggio ancora - su iOS, allora non hai altra opzione che un decryptor / firmatario di messaggi esterni, uno offline basato su sistema sigillato con chiave pre-testata, o - almeno - un gettone basato sul tempo OTP. PGP, RSA, SSL, e.t.c. sono buoni a meno che non siano compromessi dal firmware . Nessun ulteriore commento da aggiungere, purtroppo.