SIM : Subscriber Identity Module
Sécurité
SIM : Subscriber Identity Module. « Module d'identité de l'abonné », par analogie avec la carte d'adhérent qui prouve au club que l'on est bien membre : c'est elle, et non le téléphone, que l'opérateur reconnaît.
Une petite puce qui garde un secret : La carte contient une clé secrète partagée avec l'opérateur, qu'elle ne révèle jamais : elle s'en sert pour répondre aux défis du réseau et prouver l'identité de l'abonné. Les versions intégrées au téléphone (eSIM) jouent le même rôle sans carte à glisser.
Le numéro suit la carte : Appels et messages courts arrivent là où l'opérateur a rattaché le numéro. Obtenir une nouvelle carte pour ce numéro, c'est récupérer tout ce qui y est envoyé, codes de vérification compris.
La fraude à la carte SIM : Un attaquant qui convainc l'opérateur de transférer le numéro sur une carte à lui (réédition, portabilité) reçoit les codes de connexion et de réinitialisation envoyés par message court. Le téléphone de la victime, lui, perd simplement le réseau, ce qui passe souvent pour une panne banale.
Ce que cela change pour l'authentification : Un code reçu par message court vaut mieux que rien, mais il repose sur la solidité du guichet de l'opérateur autant que sur celle de la puce. Pour un compte sensible, une clé de sécurité ou une clé d'accès liée au site ne dépend d'aucun numéro de téléphone.
Ce qui arrive si on s'en passe
Sans module d'identité protégeant la clé de l'abonné, rien ne relierait de façon fiable une ligne à son titulaire : un appareil pourrait se faire passer pour un autre auprès du réseau et recevoir ses appels et messages. Le risque le plus courant aujourd'hui ne vise pas la puce mais le rattachement du numéro : si l'opérateur transfère la ligne sur une nouvelle carte sans vérification solide, l'attaquant reçoit les codes envoyés par message court et peut réinitialiser les comptes qui s'y fient, messagerie et banque comprises, pendant que la victime croit à une simple coupure de réseau.
Explication de la marmotte
Dans un téléphone portable, il y a une toute petite carte à puce, parfois même intégrée directement dans l'appareil. Elle sert de carte d'identité auprès de l'opérateur : c'est grâce à elle qu'il sait à qui appartient la ligne, qui doit recevoir les appels et les messages. Elle cache un secret qu'elle ne montre jamais. Le danger, c'est qu'un escroc réussisse à faire transférer le numéro sur une autre carte en se faisant passer pour le client : il reçoit alors les messages à sa place, y compris les codes envoyés par la banque.
Où ce terme est utilisé
- Accès hertziens, mobiles, satellites et small cells (4 occurrences)
- Authentifier les personnes et les services (1 occurrence)
- Comment organiser une astreinte cybersécurité durable (1 occurrence)
- La récupération de compte, maillon faible (1 occurrence)