Прослушивать мобильные звонки может каждый

Прослушивать мобильные звонки может каждый

Прослушивать мобильные звонки может каждый

Сегодня на конгрессе Chaos Computer Club двое исследователей продемонстрировали полноценную систему прослушивания зашифрованных вызовов и перехвата SMS-сообщений, которые отправляет или принимает мобильное устройство связи стандарта GSM. Для построения этой системы им понадобились несколько простейших телефонов суммарной стоимостью не более 60 долларов, ноутбук, программное обеспечение с открытым кодом и немного смекалки.

Раньше подобные возможности (по позиционированию и прослушиванию мобильных телефонов), как правило, имелись в распоряжении лишь сотрудников правоохранительных органов да тех особо богатых людей, которые могли позволить себе приобрести профессиональный сетевой анализатор за 50 тыс. долларов. Однако исследователи, играя на особенностях стандарта GSM и человеческом факторе, смогли создать систему, построить рабочую копию которой по плечу любому технически грамотному специалисту.

Для начала эксперты Карстен Ноль и Сильвен Мюно продемонстрировали аудитории, как можно использовать данные о местоположении абонента, которыми GSM-сети обмениваются между собой для обеспечения корректной маршрутизации звонков и SMS-сообщений, чтобы предварительно определить город или район, где в данный момент находится цель. Затем, согласно их схеме, шпион может приступить к точному позиционированию; для этого на телефон жертвы высылаются особые SMS-отправления - например, имитации поврежденных сообщений, которые не отображаются пользователю. Отслеживая путь таких посланий через промежуточные станции и обрабатывая ответные сигналы устройства, злоумышленник сможет более корректно определить местонахождение трубки.

В качестве устройств анализа и мониторинга использовались обычные, довольно примитивные GSM-телефоны. Эксперты заменили их прошивки на свое собственное программное обеспечение, которое позволило им извлекать необработанные данные из сетей связи и в режиме реального времени пересылать сигнал для его последующей обработки в портативный компьютер. При помощи такого самодельного сниффера исследователи смогли точно определить случайный идентификатор, который был присвоен телефону-цели при его регистрации в сети; соответственно, они обрели возможность вычленять из общего "океана" данных те потоки, которые предназначались именно для нужного им устройства.

После описанных двух этапов следует заключительная стадия - расшифровка передаваемой информации. Борьба с криптоалгоритмами обычно сложна и далеко не всегда заканчивается в пользу аналитика, однако в данном случае специалисты нашли способ успешно атаковать шифр. Дело в том, что сети GSM через определенные промежутки времени отправляют телефонам служебные сигналы того или иного рода, не несущие полезной нагрузки; "пустое место" в них заполняется некоторым набором байтов. Несколько лет назад новая редакция стандарта GSM обязала поставщиков услуг связи заполнять "пустоты" случайными байтами, однако и по сей день многие сети не соблюдают обновленный стандарт, так что набор байтов остается статическим.

В силу этого исследователи получили возможность с высокой степенью вероятности предсказывать исходное содержание зашифрованных служебных сигналов. Подключив к процессу анализа еще и чрезвычайно объемную базу предварительно рассчитанных ключей шифрования, они добились почти моментального нахождения секретного ключа: среднее время его обнаружения при помощи специальной программы составило 20 секунд. При этом многие операторы не утруждают себя запуском отдельных процедур шифрования для каждой отдельной сессии: экономя ресурсы, они используют один и тот же ключ для защиты сразу нескольких следующих друг за другом SMS-сообщений и телефонных звонков.

В ходе демонстрационного прогона специалистам понадобилось лишь несколько минут, чтобы настроить систему, засечь телефон-жертву, взломать шифр и прослушать разговор, параллельно записывая его в аудиофайл.

"То, с чем мы имеем дело сейчас, - это скверно защищенная инфраструктура двадцатилетней давности, посредством которой передаются значительные объемы конфиденциальной информации", - подытожил г-н Ноль. - "Хотелось бы, чтобы безопасность сетей сотовой связи развивалась и совершенствовалась; в настоящее время их защита столь же 'надежна', сколь и оборона подключенных к Интернету компьютеров в начале девяностых годов прошлого века".

Gizmodo

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

88% россиян забывают пароли: почему это нормально и что с этим делать

Ко Всемирному дню пароля, который отмечается 1 мая, эксперты напомнили, почему мы так часто забываем свои пароли — и как с этим справляться безопасно. По результатам опроса, большинство россиян хоть иногда, но сталкиваются с ситуацией, когда приходится восстанавливать доступ к своим аккаунтам.

У 16% это случается часто, у 37% — время от времени, у 35% — редко, но бывает. И это не только неудобно, но и потенциально опасно с точки зрения кибербезопасности.

Почему мы забываем пароли? Всё дело в особенностях памяти. Человеческий мозг запоминает лучше то, что связано с эмоциями, имеет личную значимость или повторяется часто. А вот случайные наборы символов, которые используются редко, мозг склонен «выкидывать» как ненужные. К тому же, забывание — это естественный процесс, который помогает регулировать эмоции и обновлять информацию.

Чтобы всё-таки защитить свои аккаунты и не сойти с ума от количества паролей, специалисты советуют:

  • Не хранить пароли на бумажках и в виде скриншотов;
  • Пользоваться менеджерами паролей — так достаточно будет запомнить всего один мастер-пароль;
  • Создавать надёжные, но запоминаемые комбинации, используя ассоциации, понятные только вам. Например, взять первую букву каждого слова из любимого стихотворения, перемешать заглавные и строчные буквы, добавить символ и важную для вас цифру;
  • Разделять пароль на логические части — так его будет проще держать в памяти;
  • Применять визуальные и аудиальные методы запоминания: «фотографировать» пароль в голове или проговаривать его вслух.

Кроме самих паролей, специалисты рекомендуют включать дополнительные меры безопасности: двухфакторную аутентификацию (например, код из СМС-сообщения) или использовать альтернативные способы входа, основанные на биометрии, одноразовых кодах или токенах. Последние становятся всё популярнее — не нужно ничего запоминать, а уровень защиты при этом высокий.

Возможно, будущее действительно за беспарольной авторизацией. Но пока она не стала повсеместной, стоит позаботиться хотя бы о том, чтобы придуманные пароли не превращались в головоломку — ни для вас, ни для вашей безопасности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru