How a Payment Lookup Oracle Confirms Predictable Identifiers
Cet article démontre que les oracles de règlement des paiements nationaux, tels que le système PromptPay de la Thaïlande, permettent la confirmation déterministe d'identifiants nationaux prédits en permettant aux attaquants de vérifier des suppositions par rapport à des données publiques et des dossiers fuités, une vulnérabilité exacerbée par le fait que les noms des destinataires sont renvoyés sans masquage malgré les efforts de masquage partiel des noms.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde moderne des transferts d'argent instantanés, un simple contrôle de sécurité est devenu un outil puissant d'invasion de la vie privée. Lorsque vous envoyez de l'argent à un ami en utilisant un numéro de téléphone ou un code d'identification nationale plutôt qu'un long numéro de compte bancaire, votre application bancaire effectue une recherche rapide. Elle demande à un système central : « À qui appartient ce numéro ? » et affiche le nom sur votre écran afin que vous puissiez être sûr d'envire l'argent à la bonne personne. Cette fonctionnalité, appelée oracle de résolution, est conçue pour prévenir les erreurs et la fraude. Cependant, des chercheurs ont découvert que ce même mécanisme, qui est censé confirmer une identité connue, peut également être utilisé pour découvrir l'identité d'un étranger. Le problème survient lorsque ce système de recherche ouvert est combiné au fait que de nombreux numéros d'identification nationale ne sont pas aléatoires ; ils suivent un modèle prévisible basé sur les dates et les lieux de naissance. Par le passé, les experts en sécurité savaient que ces numéros pouvaient être devinés, mais ils pensaient qu'il n'y avait aucun moyen de savoir si une supposition était correcte. La nouvelle découverte est que le système de paiement lui-même fournit la réponse, transformant une supposition sauvage en un fait confirmé.
Deux chercheurs de l'Université technologique de l'institut de l'Asie de l'Est (King Mongkut's University of Technology Thonburi) en Thaïlande se sont donné pour mission de mesurer précisément l'ampleur du danger que cette combinaison crée. Ils se sont concentrés sur le système PromptPay de Thaïlande, un réseau de paiement instantané largement utilisé où les gens enregistrent leur numéro de mobile ou leur carte d'identité nationale pour recevoir de l'argent. Les chercheurs n'ont pas tenté de voler de l'argent ou de pirater les systèmes informatiques d'une banque. Au lieu de cela, ils ont traité l'application de paiement comme un outil pour poser des questions et ont analysé les réponses qu'elle donnait. Ils ont commencé par examiner la structure de la carte d'identité nationale thaïlandaise. Il s'agit d'un numéro à treize chiffres où les premiers chiffres indiquent la province et le district où la personne a été enregistrée, et le dernier chiffre est un contrôle mathématique qui garantit la validité du numéro. En raison de cette structure, le nombre total de numéros d'identité valides possibles est bien inférieur à ce qu'il semble être. Les chercheurs ont calculé que les règles du système réduisent le bassin de candidats potentiels d'un facteur de cent trente-cinq avant même que toute information spécifique sur une personne ne soit connue.
L'étude a ensuite examiné ce qui se passe lorsqu'un attaquant possède déjà une liste de numéros d'identité divulgués, ce qui est une réalité connue dans le monde numérique. Une fuite publique récente a exposé plus de 1,2 million de numéros d'identité nationale thaïlandais. Par le passé, posséder une telle liste n'était que la moitié de la bataille ; un attaquant avait un numéro mais aucun moyen de connaître le nom associé. Les chercheurs ont montré que le système de recherche de paiement résout cette pièce manquante. En saisissant un numéro d'identité divulgué dans une application bancaire, le système renvoie immédiatement le nom complet du titulaire du compte. Cela transforme une liste statique de numéros en un annuaire de noms vivant et vérifié. Les chercheurs ont démontré que même si certains chiffres d'un numéro d'identité sont masqués ou occultés dans un document, les règles mathématiques de la carte d'identité limitent le nombre de combinaisons manquantes possibles à un ensemble très restreint. Un utilisateur pourrait simplement essayer chacune de ces quelques possibilités dans l'application de paiement, et le système confirmerait la bonne par l'affichage du nom, tout en rejetant les mauvaises.
Pour comprendre l'efficacité des mesures de confidentialité actuelles, les chercheurs ont également examiné une nouvelle politique adoptée à Singapour, où les applications de paiement masquent désormais une partie du nom d'une personne sur l'écran pour empêcher les observateurs occasionnels de le lire. Ils ont testé cette idée en utilisant une base de données de milliers de noms thaïlandais. Ils ont constaté que la méthode singapourienne, qui masque uniquement la seconde moitié de chaque nom, est étonnamment faible. Comme les noms de famille thaïlandais sont souvent uniques à une seule famille, et parce que la première moitié d'un nom est souvent suffisante pour identifier une personne, le masque laisse le nom effectivement visible dans plus de la moitié des cas. Les chercheurs ont constaté que pour une large partie de la population, le nom masqué est suffisamment unique pour qu'une personne puisse encore identifier l'individu. Plus important encore, ils ont montré que ce type de masquage n'arrête pas un attaquant déterminé qui possède déjà un nom candidat à tester. Si un attaquant soupçonne qu'un nom appartient à un numéro d'identité spécifique, il peut simplement vérifier si la version masquée correspond à son hypothèse, rendant la protection de l'affichage inutile contre une attaque ciblée.
Les chercheurs se sont ensuite rendus auprès des banques elles-mêmes pour voir ce qui se passe réellement en Thaïlande. Ils ont utilisé leurs propres comptes bancaires et téléphones portables pour tester le système à travers sept banques différentes, incluant des institutions étatiques, privées, étrangères et islamiques. Dans chaque cas, sans exception, les applications affichaient le nom complet et non masqué du titulaire du compte. Il n'y avait aucune rédaction, aucun masquage de lettres, et aucune variation entre les différentes banques. Cela a confirmé que le système est uniforme dans tout le pays et que les protections de la vie privée actuelles sont inexistantes. Les chercheurs ont également observé que le système ne ralentissait pas ou ne les arrêtait pas lorsqu'ils demandaient à plusieurs reprises le même nom, ce qui suggère qu'il n'existe pas de limites strictes sur le nombre de fois qu'une personne peut rechercher un numéro d'identité sur une courte période.
La conclusion fondamentale de ce travail est que le danger ne réside pas dans l'affichage du nom, mais dans la capacité de poser la question. Les chercheurs soutiennent que le simple fait de masquer le nom sur l'écran est la mauvaise solution car cela n'arrête pas le processus de confirmation sous-jacent. Si un attaquant possède une liste de numéros divulgués, le système de paiement agit comme une machine qui confirme quels numéros sont réels et qui en est le propriétaire. Les chercheurs suggèrent que la solution doit être de contrôler les questions, et non les réponses. Cela signifie que le système devrait limiter le nombre de fois qu'un utilisateur peut rechercher différents numéros par jour, ou signaler les schémas de recherche inhabituels. Ils soulignent qu'il ne s'agit pas d'un bug logiciel qui peut être corrigé, mais d'une caractéristique de conception du système de paiement qui sert un usage utile pour les utilisateurs honnêtes tout en créant un risque pour la vie privée. L'étude conclut que pour que les systèmes de paiement instantané soient sécurisés, les opérateurs doivent mettre en œuvre des limites strictes sur la fréquence à laquelle ces recherches peuvent être effectuées, garantissant que le système reste un outil de confirmation pour un destinataire connu plutôt qu'un annuaire pour la découverte d'inconnus.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.