Relatório livre ESG: gerenciamento de dados sem emenda com Avere FXT
Karsten Nohl, o pesquisador de segurança que invadiu cartões SIM com um único texto, disse a The Register que está consternado com resposta morna da indústria móvel para suas revelações - e revelou, pela primeira vez, exatamente como ele fez isso.
Nohl pensei expor as falhas na segurança SIM forçaria as empresas de telecomunicações para corrigi-los. Teoricamente, as duas falhas que têm trabalhado em conjunto para interceptar chamadas e ameaçam a segurança das aplicações NFC sem fio - como a pagar-a-onda e outros pagamentos sem contato.
O especialista alemão agora afirma que o mais grave das duas falhas foi deliberadamente ignorado por uma indústria que quer, supostamente, manter a porta dos fundos aberta para que possa silenciosamente lançar atualizações de software para aparelhos ... uma via de acesso aberta que não pode ser fechado até que seja tarde demais.
Nohl descobriu que poderia se infiltrar cartões SIM enviando um SMS especialmente formatadas, e encontrou uma falha que lhe permitiria sair do sandbox de segurança embutido 'os cartões. No entanto, ele ficou surpreso ao descobrir que, apesar de anunciar publicamente manchas e dando toda a impressão de cuidar, a indústria teve - de acordo com Nohl - na verdade nada fez para corrigir os problemas.
"Nós pensamos que a nossa história foi um dos hackers white-hat prevenir atividades criminais", disse Nohl El Reg, lamentando que "como não há crime, por isso nenhuma investigação". Apesar CNN relatando que sua própria falha tinha sido usado para distribuir uma correção, Nohl disse-nos que o bug JavaCard estava "aqui para ficar", e era tão "óbvio" que tem que ser "um backdoor, negligência, ou ambos".
Segurança por números
A primeira exploração, permitindo que um invasor instalar uma aplicação na área de armazenamento seguro de um cartão SIM, foi examinado nestas páginas antes , mas que representa apenas uma ameaça se o software injetado pode sair da caixa de areia JavaCard. Nohl afirmou que era possível, mas até agora não explicou exatamente como.
JavaCard é um sistema operacional, compartilhando apenas um nome e uma sintaxe com a linguagem Java. JavaCard licenciados obter uma implementação de referência da Oracle e, em seguida, adicionar o seu próprio código fonte secreta para diferenciar seus produtos, por isso não SIMs de todos os fabricantes tiveram essa falha - mas muitos o fizeram.
Java, mesmo a versão usada por JavaCard, é suposto ser "seguro memória" em que não há indicações de que se pode ler, ou escrever, locais arbitrários na memória. Cardlets (como aplicativos JavaCard são conhecidos) só podem referenciar as estruturas de dados que criam a si mesmos, e não há nenhum mecanismo de comunicações inter-cardlet.
O que Nohl descobriu foi que, fazendo referência a uma variável que referenciada uma variável que referenciada uma matriz que podia contornar os limites verificar que JavaCard deve executar. Criar uma matriz de 10 elementos, referenciá-lo de longe e abordar a localização XI, e memória garantido é seu para explorar - e reescrever - como quiser. Explorando esta para fins maliciosos é deixado como um exercício para o leitor.
Nohl diz que alertou Gemalto, maior fabricante de chip do mundo - que está entre os SIM-makers cujos cartões de expor a falha - sobre a existência do bug. Gemalto, Nohl alega, disse a ele que isso não importava - apenas aplicativos assinados poderia ser executado de modo a sua capacidade de romper o sandbox era irrelevante.
Mas o pesquisador ressalta que, em 2010 Gemalto foi capaz de atualizar cartões bancários no campo depois de um bug calendário quebrou milhões de cartões de alemães. Cartões de banco não são projetados para ser atualizado após ter sido emitido, e Nohl afirma que uma falha similar foi explorado em seguida.
The Register colocar ambas as alegações de Nohl a Gemalto, mas não tinha respondido no momento da publicação.
Padrão GSM
É a combinação de SMS exploit (para ganhar a chave de aplicativo) e JavaCard falha (para sair da caixa de areia), que torna a situação preocupante, juntamente com a afirmação de Nohl que os operadores de rede tornaram-se excessivamente dependente do padrão GSM e estão perdendo as habilidades necessário para proteger seus sistemas.
"As redes menores não sei mesmo o que os cartões SIM estão configurados para fazer", disse-nos. Ele afirmou que os EUA, operadora Sprint não está autenticando ou criptografar atualizações do SIM em tudo, e que tanto a Vodafone ea Telefonica ainda estão a emitir cartões SIM com a criptografia 56DES suficientemente seguro.
Pedimos Voda e Telefonica sobre as alegações de Nohl, mas só tinha uma resposta da Vodafone UK pelo tempo de publicação: a telco disse que (no Reino Unido, pelo menos) criptografia forte foi mandatada por "muitos, muitos, anos."
Este ainda é um grande ataque obscuro, exigindo um hacker familiarizado com o layout de memória (a máscara suave) do SIM, e um preparado para enviar as mensagens de vários SMS necessárias para quebrar a chave de atualização de software. No momento, o esforço provavelmente supera a recompensa, mas isso vai mudar cada vez mais como SIMs sediar bancário e aplicativos de fidelidade (bem como de redes sociais populares serviços como o Facebook Chat), tornando-se um alvo de hackers mais atraente.
Como Nohl colocou: "Competências são subdesenvolvidos porque os crimes são subdesenvolvidos ... crime é ainda mais convincente do que qualquer coisa."
Até que haja um crime grave com essa insegurança, as vulnerabilidades em nossos cartões SIM provavelmente permanecerá. ®
Nenhum comentário:
Postar um comentário