Obsah:
Cez víkend sa objavili správy o zneužívaní, ktoré ovplyvňuje milióny používateľov telefónov. Použité šifrovanie má zjavne chybu, ktorá umožňuje hackerovi klonovať šifrovacie poverenia karty SIM (S ubscriber I dentity M odule), čo im potenciálne umožňuje naklonovať vašu kartu SIM a získať informácie, ako sú informácie o vašom pláne a platbách, alebo identifikovať vás v sieti.
Znie to strašidelne a je to pre 500 miliónov postihnutých SIM kariet vo voľnej prírode. Ale ako každé dobré bezpečnostné zdesenie, ktoré stojí za to, že je to soľ, je toho v príbehu oveľa viac, ako sme počuli. Preklikajte sa a budeme o tom trochu hovoriť.
Zdroj: Laboratóriá bezpečnostného výskumu
Ako to funguje
Útočník môže poslať príkaz, ktorý vyzerá veľmi podobne ako príkaz, ktorý odošle váš operátor, aby oznámil vášmu telefónu, že je pripravená bezdrôtová aktualizácia. Tento príkaz je neplatný, pretože útočník nemá správny šifrovací kľúč. Váš telefón potom pošle späť chybovú správu, ktorá je podpísaná správnym šifrovacím kľúčom. Akonáhle má potenciálny hacker správny podpisový kľúč, môže použiť nejaký softvér na rozlúsknutie kľúča a mať vlastnú kópiu. Pomocou tohto platného kľúča je možné odoslať novú správu o OTA, ktorú váš telefón stiahne, pretože kľúč je platný. Táto OTA môže byť aplikácia, ktorá načíta všetky údaje z vašej SIM karty a umožní útočníkovi ich naklonovať.
Pomocou tejto klonovanej kópie vašej karty SIM sa potom môžu autentifikovať ako vy v sieti operátora. Znie to desivo, však?
Čo nevieme
S tým všetkým je jeden veľký škaredý problém. Šifrovacia metóda, ktorú je možné zlomiť, DES-56, bola pôvodne rozbitá v roku 1998 v EFF. V súčasnosti by už nikto nemal používať známu metódu šifrovania s prerušeným prístupom. Z existujúcich siedmich miliárd plus kariet SIM je postihnutých približne 500 miliónov.
500 miliónov všetkého je veľa, ale v porovnaní so 7 miliardami (ab) je to malá časť. Všetky správy o tejto chybe vynechávajú najdôležitejšie informácie - kto môže byť týmto zneužitím ovplyvnený?
Ľudia, ktorí znovu objavili trhlinu DES-56, ktorú vedie Karsten Nohl, vedecký pracovník v laboratóriách bezpečnostného výskumu v Berlíne, na konci júla na veľtrhu Black Hat vo Vegas prednesú veľkú prednášku. Dovtedy nemáme podrobnosti. Keď sa niekto rozhodne informovať nás, budeme vás informovať viac.
Medzitým odložte cínovú fóliu. Všetky podrobnosti poznáme asi o týždeň.
