Vulnerabilitatile cartelelor SIM sunt usor de remediat, sustin cercetatorii

[Matt]

Problemele grave de securitate care afecteaza milioane de cartele SIM ar trebui sa poata fi usor remediate de catre operatori, potrivit cercetatorului de securitate german care a identificat aceste probleme.

Karsten Nohl, din cadrul Security Research Labs a expus la inceputul acestei saptamani un rezumat al unei cercetari efectuate, potrivit careia milioane de cartele SIM folosesc, probabil, un sistem de criptare invechit, din anii 1970, pentru a autentifica actualizarile software over-the-air (OTA).

Nohl a constatat ca este usor de pacalit anumite tipuri de cartele SIM, pentru a divulga cheia de criptare 56-bit DES (Data Encryption Standard), care poate fi decriptata utilizand un computer obisnuit. Nohl a descoperit ca, prin transmiterea unei actualizari false OTA pe telefoane, unele dintre cartelele SIM au trimis inapoi un cod de eroare, continand aceasta cheie.

Apoi, pe dispozitiv poate fi trimis spyware care sa acceseze datele critice ale telefonului prin intermediul Java Virtual Machine al cartelei, un cadru software prezent pe aproape fiecare dintre cartelele SIM vandute in intreaga lume.

Nohl a explicat intr-un interviu ca 500 milioane de telefoane, indiferent de marca, ar putea fi vulnerabile.Insa problema criptarii slabe si returnarea codului de eroare cu o cheie slaba se pot remedia prin aceeasi modalitate prin care pot fi exploatate: prin intermediul unei actualizari OTA.

Cartelele SIM vin intr-o mare varietate de configuratii. Operatorii vor transmite operatorilor specificatii pentru cartelele SIM, care sa fie utilizate pe retelele lor. Multe cartele SIM contin vechi configuratii si o tehnologie invechita, cum ar fi DES, care dateaza de mai mult de un deceniu, a explicat Nohl.

Pentru unele cartele SIM s-ar putea opri criptarea DES si activa Triple DES, o forma mai sigura de criptare care este utilizata in prezent.

Utilizatorii nici macar nu vor sti ca telefoanele lor sunt actualizate, avand in vedere faptul ca operatorii trimit frecvent actualizari, folosind coduri speciale SMS pentru a modifica, spre exemplu, setarile roaming, a precizat Nohl. O actualizare OTA poate, astfel, sa conduca la rezolvarea problemei telefoanelor care returneaza mesajul de eroare.

Operatorii pot, de asemenea, sa creeze o cheie de ajustare pentru centrele lor SMS, care proceseaza toate mesajele SMS.

Din moment ce atat de multi operatori sunt afectati, Nohl a declarat ca laboratorul sau a contactat grupul GSM Association, transmitandu-i detalii cu privire la cercetare.

Nohl va oferi o prezentar completa a cercetarii efectuate, la data de 31 iulie, in cadrul conferintei de securitate Black Hat.

Sursa : Computerworld - IT news, features, blogs, tech reviews, career advice