Ha a telefonszámot tudják, mindent tudnak
Nagy megdöbbenést okozott, hogy a CBS vasárnap esti, 60 Minutes című műsorában egy biztonsági szakértő élőben törte fel egy képviselő telefonját, és ehhez csupán a készülékhez tartozó telefonszámra volt szüksége. (A teljes adást a CBS honlapján lehet megnézni.)
A képviselő, Ted Lieu beleegyezésével a neves német biztonsági szakértő, Karsten Nohl, a Security Research Lab munkatársa kikapcsolt GPS-szel is követni tudta a tulajdonos mozgását, beleolvashatott a szöveges üzenetekbe és a névjegyzékbe, illetve rögzítette a telefonbeszélgetéseket. Lieu informatikusként végzett a Stanfordon, tagja a Kongresszus információtechnológiai bizottságának, de a hírek szerint őt is sokkolta a hekkelés.
A töréshez Nohl egy olyan hibát használt ki, amit már régóta ismernek; maga Nohl már évek óta sürgeti a javítását. A hiányosság igen komoly és mélyen beágyazott, ugyanis az 1975-ben kialakított SS7 (Signalling System No. 7) nemzetközi szabványban található. Az SS7-et gyakorlatilag az egész világ használja; több mint 800 telefontársaságnál alkalmazzák ezt hálózati kapcsolatfelvételre és forgalomirányításra.
De az SS7 csak annyira biztonságos, amennyire a legkevésbé megbízható felhasználója. Ha a leggyengébb láncszem hibázik, vagyis egy távközlési cégnél biztonsági hiányosság lép fel, akkor a többi nyolcszáz is megnyílik az ezen a résen belépő támadó számára.
A szolgáltatók is ismerik a hiányosságot, és sokan tervezik, hogy egy biztonságosabb protokollra állnak át – a Diameterre –, de az Ars Technicának nyilatkozó szakértő szerint az átállás a visszafelé kompatibilitás biztosítása miatt évekig eltarthat, így a sebezhetőség még egy darabig velünk marad. Addig is lehet védekezni ellene, például egy speciális tűzfallal, de ez se tökéletes megoldás.
A helyzetet bonyolítja, hogy a nemzetbiztonsági ügynökségeknek sem áll érdekében a protokollcsere, mivel kiváló eszköz a lehallgatáshoz, és ezt már régóta ki is használják.
Kövesse az Indexet Facebookon is!
Követem!
