Aercom.by - Новости безопасности в Беларуси и СНГ

21 сентября 2017 г., четверг

Отраслевые мероприятия (Беларусь)

8 сентября, 2017

Видео учебно-практического семинара – «Построение интегрированных систем безопасности на основе оборудования и программного обеспечения TRASSIR, SIGUR (ранее «Сфинкс»)»

10 августа, 2017

Образовательный проект для специалистов по безопасности

20 июня, 2017

IDC DAY MINSK 2017: Infrastructure Efficiency, Cloud, Virtualization & IT Security Roadshow

24 мая, 2017

В первый день «Центр безопасности. 2017» более 1000 специалистов посетили выставку-форум

23 мая, 2017

Памятка посетителям и участникам выставки-форума «Центр безопасности 2017»

22 мая, 2017

Выставка-форум «Центр безопасности. 2017»: технологии, диалог, бизнес

Отраслевые мероприятия (зарубежные)

5 сентября, 2017

Охрана периметра – от камер видеонаблюдения до противотаранных барьеров Полищука

22 августа, 2017

Участники выставки Securika St. Petersburg рассказывают о продукции, которую представят на выставке

7 июня, 2017

Итоги форума «CISO FORUM 2017: Суровые будни CISO»

13 февраля, 2017

«Нетрис» стал Генеральным спонсором конференции «Возможности облачных технологий и Интернета вещей для бизнеса»

9 декабря, 2016

Форум директоров по информационной безопасности

23 ноября, 2016

23 ноября открывается Форум All-over-IP 2016: присоединяйтесь к лидерам!

Каталог предприятий

Видео

Журнал "Технологии
безопасности"

Найдена уязвимость в SIM-картах. Под угрозой миллионы мобильников
23 июля, 2013

Продемонстрированный немецкими специалистами метод позволяет взламывать SIM-карты и устанавливать на них Java-апплеты, открывающие широкий простор для действий злоумышленников.

Исследователи из немецкой лаборатории Security Research Labs продемонстрировали способ установки в SIM-карту мобильного телефона вредоносного кода. Метод основан на уязвимости в SIM-карте. Специалисты утверждают, что под угрозой находятся миллионы владельцев мобильных аппаратов.

Взлом осуществляется с помощью технологии Over-the-air (OTA), которая позволяет устанавливать на телефон программное обеспечение «по воздуху», то есть через сети сотовой и беспроводной связи. Данная технология, в том числе, позволяет устанавливать Java-апплеты в SIM-карту.

Команды OTA представляют собой закодированные SMS-сообщения, при этом для шифрования сообщений используется устаревший стандарт DES (Data Encryption Standard), разработанный в 70-х годах.

Для того чтобы взломать SIM-карту, на первом этапе необходимо получить ключ шифрования DES. Делается это следующим образом: атакующий посредством OTA отправляет на мобильный телефон SMS-сообщение с произвольным бинарным кодом. Телефон, получив неправильную команду, в ответ отправляет аналогичное бинарное сообщение об ошибке, в котором содержится ключ шифрования. Далее с помощью радужных таблиц данный 56-битный ключ расшифровывается на обычном персональном компьютере за 2 минуты.

На втором этапе атакующий снова отправляет на телефон SMS-сообщение с бинарным кодом, которое, благодаря раскрытию ключа шифрования, имеет подлинный вид и принимается телефоном. Данное сообщение содержит в себе Java-апплет, который успешно устанавливается на SIM-карту. Такой апплет может без согласия и ведома пользователя отправлять SMS-сообщения, изменять номера голосовых ящиков, передавать информацию для определения местоположения телефона и пр.


Проблема в том, что для шифрования системных сообщений используется стандарт 70-х годов

Помимо прочего, Java-апплет может передавать платежные данные пользователя, которые в некоторых случаях хранятся на SIM-картах, добавляют исследователи в своем блоге. «Перед хакерами открывается масса возможностей для совершения преступлений», — считают эксперты.

Существует несколько методов защиты от описанной выше атаки. Например, можно использовать более современные стандарты шифрования, такие как AES, или установить в телефон брандмауэр, который защитит пользователя от SMS-сообщений из неизвестных источников.

Исследователи лаборатории Security Research Labs планируют представить описанный выше метод взлома SIM-карт на конференции BlackHat 31 июля и 3 августа на хакерском фестивале OHM.

Добавим, что это не первый случай, когда уязвимость находят в базовых технологиях сотовой связи. В 2011 г. эксперты этой же немецкой лаборатории уже предупреждали о том, что в операторы используют достаточно простые механизмы защиты, что открывает широкий просто для действий злоумышленников. В 2010 г. специалист по информационной безопасности Крис Пейджет (Chris Paget) продемонстрировал, как любой желающий может перехватывать телефонные звонки, используя оборудование за $1,5 тыс.

Источник: safe.cnews.ru

Оставить комментарий

Заметьте: Включена проверка комментариев. Нет смысла повторно отправлять комментарий.