Tijdens een sessie deze morgen vertelde Ralph Moonen van KPMG iets over WAP security.
Hij belichtte de zwakke punten in de manier waarop WAP over het algemeen gebruikt wordt. Zo liet hij onder andere zien dat je WAP telefoon gewoon over een TCP/IP stack beschikt, en dat je telefoon ook gewoon via internet bereikbaar is als je er mee inbelt bij een provider. Wat zijn volgens Ralph de zwakste punten bij WAP ? "De TCP/IP stacks zijn vaak zelf ontwikkeld, waardoor het aannemelijk is dat er fouten in zitten. Het lijkt er op dat men een minimale stack heeft geimplementeerd die alleen UDP en ICMP ondersteunt. Een ander zwak punt zijn de WAP portals en gateways. Als een onbevoegde kans ziet om toegang tot deze machines te krijgen zou hij alle WAP verkeer dat er doorheen gaat kunnen afluisteren. Ook de end-to-end authenticatie is in WAP niet goed geregeld."

De Motorola telefoon die gebruikt werd voor de demo gaf na een nmap -O poortscan overigens volledig de geest, het was niet meer mogelijk de telefoon zelfs maar aan te zetten.

Ralph's presentatie is hier te vinden.