Falla nelle SIM, a rischio 750 milioni di telefonini

Una vulnerabilità consente di prendere il controllo di un cellulare senza che il proprietario se ne accorga.



[ZEUS News - www.zeusnews.it - 22-07-2013]

M sim falla

C'è una falla, nelle SIM dei telefoni cellulari, che può consentire a chi la sfrutta di eseguire da remoto diverse operazioni sul telefonino, senza che il proprietario se ne accorga.

A scoprire la vulnerabilità, conducendo test per due anni su circa 1.000 telefoni in USA ed Europa, è stato il ricercatore tedesco Karsten Nohl, fondatore di Security Research Labs, il quale rivelerà i dettagli del proprio lavoro durante la prossima Black Hat Conference.

Il problema riguarda quelle SIM che si affidano al vecchio algoritmo di cifratura DES per crittografare i comandi OTA (come gli aggiornamenti software) ricevibili via SMS "silenziosi" (ossia non segnalati all'utente) e consegnati direttamente alla SIM.

Il povero DES ha colpa fino a un certo punto: è un algoritmo ormai superato e per lo più soppiantato da AES; il guaio è che troppe SIM ancora vi si affidano.

Si calcola che tra i 600 e i 750 milioni di SIM (circa una su otto) utilizzino DES e, per questo motivo, siano vulnerabili all'attacco scoperto da Nohl.

Sondaggio
Le promozioni estive o natalizie per i cellulari:
Sono in genere molto convenienti
Preferisco quelle per le chiamate
Preferisco quelle per i messaggi
Non le considero convenienti
Non le ho mai utilizzate

Mostra i risultati (1051 voti)
Leggi i commenti (2)

Per sfruttare la falla occorre inviare un SMS binario al dispositivo da colpire; nonostante il comando inviato in questo modo non venga eseguito se non adeguatamente firmato, il messaggio d'errore che la SIM in molti casi restituisce permette di risalire alla chiave DES a 56 bit utilizzata per crittografare questo tipo di comunicazioni.

A questo punto la porta è aperta: si può quindi inviare un SMS firmato nella maniera corretta e scaricare un'applet Java sulla SIM; in tal modo si possono inviare SMS, cambiare i numeri delle caselle vocali, richiedere la posizione del telefono e operare su diverse altre funzioni. Inoltre, se la macchina virtuale Java non è completamente sicura (come capita in molti casi) è possibile espandere il proprio raggio d'azione uscendo dalla sandbox in cui l'applet gira.

Nohl suggerisce tre sistemi per ridurre il pericolo: adoperare SIM migliori, dotate di sistemi di sicurezza più avanzati; avere su ogni dispositivo un firewall che sia in grado di bloccare gli SMS silenziosi provenienti da fonti non affidabili; un sistema di filtraggio degli SMS applicato a livello di rete, per impedire che soggetti non autorizzati si spaccino per qualcuno che non sono.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Come adattare la SIM a Micro-SIM

Commenti all'articolo (ultimi 5 di 22)


BŔ in realtÓ malware e keylogger esistono anche su osx e linux ma.. bisogna installarseli :D quindi a meno di installare di tutto e di pi¨ da fonti non ufficiali la vedo dura come ben spiegato da mda.
28-7-2013 14:57

Cosa tu non capire io spiegare augh! Ciao
25-7-2013 18:39

Ok, questa l'hai sparata, diciamo che fa ridere a patto che diamo per scontato che io l'abbia capita :lol: Comunque grazie per le informazioni. Leggi tutto
25-7-2013 18:34

@Maary79 Il sistema di difesa OS passiva hanno tutti i Linux (salvo qualche eccezione rarissima) mentre quella attiva esiste di serie su Suse e specie Fedora e loro distribuzioni derivate (non saprei su Ubunto) mentre sulle altre bisogna scaricare il demone :twisted: apposito (curato dalla SNA -L'agenzia per la Sicurezza Nazionale... Leggi tutto
25-7-2013 18:09

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Quanto spendi di elettricitÓ ogni mese?
Meno di 30 euro
Tra 30 e 50 euro
Tra 50 e 75 euro
Tra 75 e 100 euro
Tra 100 e 150 euro
Pi¨ di 150 euro

Mostra i risultati (2702 voti)
Ottobre 2020
Apple revoca i certificati, le stampanti HP non vanno più
Windows 10 elimina la schermata Sistema, un trucco la riporta in vita
L'app che “spoglia” le donne: garante privacy apre istruttoria
Gasolio addio, FS vuole i treni a idrogeno
Windows 10, guai a catena dopo l'ultimo aggiornamento
Windows 10, Pc riavviati a forza per installare le web app di Office
Quel motivetto che hai in testa? Se lo fischietti, Google lo indovina
YouTube pronta a far guerra ad Amazon
Le cipolle troppo sexy per Facebook
Smishing, i consigli per non cadere nel tranello
Arrestato per recensioni online negative di un albergo
Windows 10, arriva l'installazione personalizzata
Il sito che installa tutte le app essenziali per Windows 10
Covid-19, casi sottostimati per colpa di Excel
Il furto automatico del PIN della carta di credito
Tutti gli Arretrati


web metrics