Nový software "Kraken" je vyřazen

Technologie (globální systém pro mobilní komunikace), kterou využívá většina mobilních telefonů na světě, se podrobí kontrole na konferenci o bezpečnosti Black Hat v příštím týdnu a co vědci v oblasti bezpečnosti musíme říci, že není hezké.

V pátek otevřené zdrojové úsilí vyvinout software pro vyloučení GSM, který uvolnil software, který praská algoritmus šifrování A5 / 1 používaný některými sítěmi GSM. Tento software, nazvaný Kraken, využívá nové, velmi účinné šrafovací šifrovací tabulky, které mu umožňují překonat šifrování A5 / 1 mnohem rychleji než předtím.

Software je klíčovým krokem k odposlechu při mobilních hovorech po sítích GSM. Vzhledem k tomu, že sítě GSM jsou páteří 3G, poskytují útočníkům také cestu do nové generace mobilních telefonů.

[

] V prosinci skupina vydala soubor šifrovacích tabulek určených k urychlení náročného procesu rozbití šifrování A5 / 1, ale softwarová součást byla neúplná. Nyní je software hotový a tabulky jsou mnohem efektivnější než před sedmi měsíci. "Rychlost, jak rychle byste mohli zavolat, je pravděpodobně mnohem lepší než kdykoli předtím," řekl Frank Stevenson, vývojář s bezpečnostním projektem A5 / 1. "Víme, že to dokážeme během několika minut, je otázka, můžeme to udělat za pár vteřin?"

Protože software se stává více leštěným, bude mobilní odposlech GSM praktický. "Náš útok je tak snadný a cena útoku je tak výrazně snížena, že je nyní skutečné nebezpečí rozsáhlého přesměrování hovorů," říká Stevenson.

Stevenson a jeho spoluzakladatelé neudělali společně všechny komponenty, které by někdo musel poslouchat ve volání - to by bylo v některých zemích nezákonné. Někdo musí ještě rozvíjet zařízení pro poslech rádiových služeb potřebných k získání přístupu k GSM signálu, ale tento typ technologie je na dosah. Stevenson se domnívá, že by to mohlo být provedeno pomocí levných mobilních telefonů a upravené verze softwaru s názvem OsmocomBB. Hackeři mohou také použít dražší zařízení Universal Software Radio Peripheral (USRP) ve spojení s jiným programem Airprobe.

Vedoucí projektu A5 / 1 Security Karsten Nohl bude diskutovat o hardwarových a softwarových nastaveních svých nástrojů na trhání konference příštího týdne.

V loňském roce se podle údajů Asociace GSM přibližně 3,5 miliardy GSM telefonů používá. Ne všechny tyto telefony jsou v sítích, které používají šifrování A5 / 1 - někteří používají bezpečnější algoritmus A5 / 3; ostatní používají žádné šifrování - ale značný procentní podíl je

V USA provozují AT & T i T-Mobile sítě GSM.

Obchodní skupina, která zastupuje operátory a výrobce zařízení GSM, asociace GSM v minulosti je to tak zajímavé, že útoky typu A5 / 1 jsou zajímavé, ale útoky jsou v reálném světě extrémně obtížné. Hlídání mobilních telefonů je nelegální v mnoha zemích, včetně USA. Asociace GSM nereagovala na zprávy, které si k tomuto příběhu vyžádaly komentář.

Vývojáři projektu říkají, že cílem jejich práce je ukázat, jak snadné by bylo skutečně to, / 51 - něco, co říkají, že šedé tržní komerční výrobky již dělají. Podle Stevensona je mnoho těchto bezpečnostních problémů vyřešeno v technologiích nové generace mobilních sítí, jako jsou 3G a LTE (Long Term Evolution).

Nicméně i 3G telefony mohou být ohroženy, protože se mohou vrátit do režimu GSM, síť není k dispozici. "Můžete se rozhodnout pracovat pouze v režimu 3G, ale pak budete mít velmi omezené pokrytí," řekl Stevenson. "GSM se stalo Achilovou patou 3G zabezpečení."

Mezitím další návštěvník Black Hat, Chris Paget plánuje ukázat úplně jiný způsob, jak zachytit GSM volání. Vytvoří falešnou buněčnou věž, která se maskuje jako legitimní síť GSM.

Podle Pageta, pomocí open-source nástrojů a USRP rádia US $ 1500, může sestavit svou falešnou věž nazvanou IMSI (International Mobile Subscriber Identity) chytač. V kontrolovaném experimentu nastaví na Black Hat a vyzve členy publika, aby spojili své mobilní telefony. Poté, co se telefon připojil, Pagetova věž řekne, aby upustila šifrování a poskytla mu způsob, jak poslouchat hovory.

"Myslím, že se na GSM kryptografické slabosti příliš soustředilo," řekl. "Lidé potřebují uznat, že kryptografické slabiny nejsou nejhorší slabiny v GSM."

Robert McMillan pokrývá počítačovou bezpečnost a obecnou technologii, která přináší novinky pro IDG News Service. Sledujte Robert na Twitteru @bobmcmillan. Robertova e-mailová adresa je [email protected]