Мобилни телефони – защита от хакерите няма

Експерти твърдят, че са открили сериозен пропуск в сигурността на мобилните телефони

Италиански специалисти доказват, че мобилните телефони също могат да бъдат хаквани и от тях да бъде извличана ценна лична информация. Снимка: Текнолъджи Ривю

По време на конференцията за компютърна сигурност Бляк Хет Юръп, проведена в Амстердам тази година, група изследователи заявиха, че са открили начин да прихванат и отклонят данните, които се предават от един мобилен телефон на друг. Това означава, че над потребителите на мобилни устройства е надвиснал риска да бъдат откраднати важни данни като паролите им или да бъдат заразени със злонамерен код.

Мобилните телефони все повече се използват в преноса на всякакъв род данни, и отдавна не служат единствено за гласови разговори. Хората ровят в Интернет с тях и работата им нерядко включва чувствителни към риск операции, като например онлайн банкиране.

Изследователите по сигурност на мобилните устройства Роберто Гасира, Кристофаро Муне, и Роберто Пичирило, служители в италианската консултантска фирма Мобайл секюрити лаб, обясняват как точно може да се осъществи хакерската атака. Проникването става през софтуерен протокол, с който мобилните оператори  контролират настройките на апарата за изпращане на данни към други устройства, чрез текстово съобщение. Хакерите могат да изпратят фалшиво съобщение, с което да получат достъп през протокола и да манипулират настройките както решат. Оттам нататък те могат да насочат данните от телефона към техен сървър. Според цитираните експерти всеки мобилен телефон, който поддържа този протокол, е потенциална жертва на такава атака, стига хакерът да знае към коя мрежа е включен телефонът и мрежата да не блокира неговото съобщение.

За да проработи атаката, обаче, хакерът първо трябва да се опита да излъже потребителя на мобилното устройство. При смяната на настройките, мобилният оператор обикновено изпраща есемес, който съдържа ПИН код. Следва втори есемес, с който се извършва промяната на настройките. За да потвърди инсталацията на новите настройки, потребителят трябва да въведе ПИН кода.

Следователно, хакерът ще трябва първо да убеди жертвата да въведе ПИН код, за да се инсталират настройките, които той ще използва за да проникне в данните на телефона. Според Гариса, Муне и Пичирило това не би било особено препятствие. Хакерът може да изпрати текстово съобщение от име като „оператор на мобилната мрежа“ или „конфигурация на устройството“ и да представи нещата все едно са необходими промени в настройките заради някакъв проблем с мрежата. Те също напомнят, че при много мобилни устройства потребителят няма достъп да види резултатите от новите настройки и дори няма да как да се усъмни, че нещо не е наред.

След като веднъж телефона е бил конфигуриран да изпраща данни към хакерския сървър, достъпът до информацията в него вече е пълен и хакерите могат да видят такива неща като данни за логин или кукитата (cookies), за сайтовете, които потребителят посещава. Според изследователите дори ще е възможно така да се вмъкват спам реклами при зареждането на уеб страници или да се натрапва някакво друго нежелано съдържание. Ако се използва тази уязвимост заедно с други „дупки“ в сигурността, хакерите ще могат да получат достъп до ресурси в цялата мрежа на мобилния оператор, които по принцип са защитени.

Дейвид Лагнър, асистент по компютърни науки в Университета в Калифорния, Бъркли, който изучава сигурността при безжичните мрежи, отбелязва, че все още не е направено достатъчно, за да се разбере при какви условия може да се експлоатира уязвимостта и колко голям е мащабът на опасността. „В доклада се натъкнах на някои въпросителни дали тази уязвимост би могла да наистина да засегне потребителите, дори и да бъде използвана“, казва Лагнър. Според него не бива да забравяме, че операторите разполагат с възможността да блокират измамните есемеси или да прекратят атаката в момента на пренасочване на трафика. Не бива толкова да се подценяват и самите потребители – повечето от тях вероятно не биха се хванали на лъжливото текстово съобщение. „Достатъчно е само едно от изброените необходими условия да не е покрито и атаката ще бъде безуспешна“, твърди Лагнър.

Според изследователите, по силите на мобилните оператори е да предотвратят такъв род атаки, ако предприемат необходимите мерки за сигурност. Например, те могат да следят текстовите съобщения за белези като съдържание на протокол за конфигурация или да извършват проверка на правомощията за промяна на конфигурацията на този, който е изпратил текстовото съобщение. И други мерки може да са от полза, като например потребителите да могат да виждат какво точно е променено в телефоните им или пък постоянно наблюдение на интернет трафика, напускащ пределите на мрежата на мобилния оператор.

Според Муне атаката „може да бъде осъществена върху голям брой мрежи и устройства“, а екипът му успешно я е изпробвал върху често използвани мобилни устройства, включени към по-големите европейски мрежи. Въпреки че изследователите не работят съвместно с никой от мобилните оператори, за да разрешат този пропуск в сигурността, те заявяват, че вече са алармирали за проблема и са готови да се отзоват, ако бъдат потърсени.

По материали на Текнолъджи ривю

Здраве, Наука & Tex
Коментарите под статиите са спрени от 2014 г., заради противоречиви решения на Европейския съд, който в един случай присъди отговорност за тях на стопаните на сайта, после излезе с противоположно становище. В e-vestnik.bg нямаме капацитет да следим и коментари на читатели. Обект сме на съдебни претенции заради статии, имали сме по няколко дела с искове за по 50-100 хил. лева. Заради което приемаме дарения за сайта (виж тук повече), чиито единствени приходи са от рекламни банери.