Video: Kostka (puff stitch) - ako uhackovat (November 2024)
Nemecký vedec zistil, že na prevzatie kontroly nad zariadením je možné využiť chybu v šifrovacej technológii, ktorú používajú niektoré SIM karty v mobilných zariadeniach.
Táto zraniteľnosť by umožnila útočníkom poslať spoofed textové správy, aby získali 56-bitový štandard šifrovania údajov (DES), ktorý používa SIM karta cieľového telefónu. Karsten Nohl, zakladateľ berlínskych bezpečnostných výskumných laboratórií, informoval New York Times a Forbes. S kľúčom v ruke by útočníci mohli nainštalovať škodlivý softvér a vykonávať ďalšie škodlivé operácie na zariadení. Viac informácií bude odhalených počas jeho prezentácie na konferencii Black Hat v Las Vegas koncom tohto mesiaca.
Približne polovica SIM kariet, ktoré sa dnes používajú, sa stále spolieha na staršie šifrovanie DES, než na novšie a bezpečnejšie Triple-DES, odhaduje Nohl. Počas dvojročného obdobia Nohl testoval 1 000 SIM kariet v Európe a Severnej Amerike a zistil, že štvrtina z nich bola zraniteľná voči útokom. Veril, že touto chybou môže byť postihnutých až 750 miliónov telefónov.
„Dajte mi nejaké telefónne číslo a je tu určitá šanca, že o pár minút neskôr budem schopný diaľkovo ovládať túto kartu SIM a dokonca si z nej urobiť kópiu, “ povedal Nohl Forbesovi.
Popis útoku
Dopravcovia môžu odosielať textové správy na účely fakturácie a na potvrdenie mobilných transakcií. Zariadenia sa spoliehajú na digitálne podpisy, aby overili, či je odosielateľ správou. Nohl rozoslal falošné správy predstierajúce, že pochádzajú od mobilného operátora obsahujúceho falošný podpis. V troch štvrtinách správ odosielaných do mobilných telefónov pomocou DES slúchadlo správne označilo falošný podpis a ukončilo komunikáciu. V štvrtine prípadov však prenosná jednotka poslala chybovú správu späť a zašifrovala svoj digitálny podpis. Nohl dokázal odvodiť digitálny kľúč SIM z tohto podpisu, informoval Forbes.
„Rôzne zásielky SIM kariet majú alebo nemajú, “ povedal Nohl Forbesovi. „Je to veľmi náhodné, “ povedal.
Vďaka kľúču SIM v ruke môže spoločnosť Nohl poslať ďalšiu textovú správu s cieľom nainštalovať softvér do cieľového telefónu, aby vykonala širokú škálu škodlivých aktivít, vrátane odosielania textových správ na prémiové čísla, odpočúvania hovorov, presmerovania prichádzajúcich hovorov na iné čísla, alebo dokonca vykonávajú podvody s platobnými systémami, podľa spoločnosti Forbes. Nohl tvrdil, že samotný útok mu trvalo len pár minút, kým ho vykonal z počítača.
"Môžeme na vás špehovať. Poznáme vaše šifrovacie kľúče na volania. Dokážeme čítať vaše SMS. Viac ako len špehovanie, dokážeme ukradnúť dáta zo SIM karty, vašu mobilnú identitu a účtovať poplatky na váš účet, " povedal Nohl. York Times.
Opraviť prebieha?
Nohl túto chybu už odhalil v GSM Association, mobilnej priemyselnej skupine so sídlom v Londýne. Spoločnosť GSMA už oznámila prevádzkovateľom siete a predajcom SIM karty, ktorých by to mohlo ovplyvniť. „Menšina SIMS vytvorená proti starším štandardom by mohla byť zraniteľná, “ povedal hovorca skupiny The New York Times.
Medzinárodná telekomunikačná únia, skupina OSN, povedala agentúre Reuters, že výskum bol „veľmi významný“ a že skupina bude informovať telekomunikačné regulačné orgány a ďalšie vládne agentúry v takmer 200 krajinách. ITU osloví aj mobilné spoločnosti, akademikov a ďalších odborníkov v odbore.
S informáciami o zraniteľnosti, ktoré sú teraz verejné, budú kybernetickí zločinci pravdepodobne trvať najmenej šesť mesiacov, kým budú trhliny prelomené, Nohl povedal. Poskytovateľom a zvyškom bezdrôtových operátorov to poskytne čas na implementáciu opráv.
Nohl povedal, že priemysel by mal používať lepšiu technológiu filtrovania na blokovanie spoofed správ a na postupné vyraďovanie SIM kariet pomocou DES. Spotrebitelia, ktorí používajú SIM karty staršie ako tri roky, by mali od svojich operátorov požadovať nové karty (pravdepodobne používajú triple-DES), odporúča Nohl.
