Apple a changé son format de remplissage automatique des SMS pour un nouveau format sécurisé afin de bloquer les attaques de phishing. iOS et macOS prennent en charge une fonctionnalité qui permet aux codes d’authentification à deux facteurs envoyés par SMS d’être automatiquement renseignés dans les champs des applications et des navigateurs.
Cette fonctionnalité analyserait le code d’authentification à deux facteurs d’un SMS, mais il était abusé par des attaques de phishing. De faux liens pourraient amener les gens à remplir automatiquement un code d’authentification à deux facteurs au mauvais endroit, ce qui pourrait fournir un accès aux données privées aux pirates.
Le nouveau format d’Apple pour bloquer les attaques de phishing par SMS à remplissage automatique
Comme noté par Macworld, voici le changement dans le Formats SMS. L’ancien ressemblait à ceci :
Votre code d’identification Apple est 123456. Ne le partagez avec personne.
Le nouveau format ressemble à ceci :
Votre code d’identification Apple est : 123456. Ne le partagez avec personne. @apple.com #123456 %apple.com
Le nouveau format SMS mentionne spécifiquement le domaine des sites Web où le code d’authentification à deux facteurs peut être utilisé, de sorte qu’un faux site Web de phishing ne peut pas recevoir un code destiné à un site Web réel. Le code est également répété après le domaine, avec un hashtag cette fois. Si le site Web utilise une iframe, l’URL source de l’iframe est mentionnée après un symbole %.
Comme annoncé en août 2020, la spécification suggère d’utiliser @ pour les URL iframe, mais Apple a opté pour le signe %, probablement pour le différencier du domaine.
Il Il est important de noter que ce changement est une proposition d’Apple et n’a pas encore été implémenté dans iOS 15 et macOS 12.3. S’il est mis en œuvre, il protégera contre les attaques de phishing, mais il est important de se rappeler que le SMS n’est toujours pas un support sécurisé.
Il est recommandé de toujours opter pour les générateurs de code 2FA, qui sont disponibles via de nombreux tiers. applications de fête, et même intégré dans le propre gestionnaire de mots de passe d’Apple dans iOS et macOS maintenant.
