Artikel top billede

Hul i SIM-kort: Hackere kan kontrollere din mobiltelefon

To sårbarheder gør det muligt at overvåge, aflytte og svindle med dit mobilabonnement, hvis du har en bestemt type SIM-kort.

Hvert ottende SIM-kort i verden kan hackes via to forskellige kritiske sårbarheder, det påviser et hold tyske forskere.

Holdet har knækket den SIM-kort kryptering, der skal forhindre, at dit mobil-abonnement kan overtages af personer, som gennem det nye hack eksempelvis kan aflytte dine samtaler og programmere SIM-kortet til at sende smser til diverse betalingsservices.

"Det drejer sig om forskellige typer af SIM-kort, der enten indeholder sårbarheden eller ej," siger Karsten Nohl, der er forsker ved Security Research Labs i Tyskland, til mediet Forbes.

Ifølge Karsten Nohl drejer det sig om kort, der benytter sig af krypteringsstandarden Data Encryption Standard (DES), som IBM oprindeligt lavede i 1970'erne. DES-standarden er i øvrigt siden er blevet videreudviklet af den amerikanske sikkerhedstjeneste NSA (National Security Agency).

Sårbarhed gør det muligt at aflytte telefonen
Forskerne har gennemtestet i alt 1.000 tilfældige kort for to sårbarheder, der gør det muligt at overtage styringen med det vitale kort, der i princippet fungerer som en mini-computer med eget operativsystem og pre-installeret software.

For at kunne udnytte begge sårbarheder kræves det, at SIM-kortet benytter sig af krypteringsstandarden DES.

Den første sårbarhed kan udnyttes ved at afsende en såkaldt Over-The-Air (OTA) binærbesked til SIM-kortet, herefter får forskerne en besked tilbage om, at der ikke kommunikeres med korrekt krypteringsnøgle.

De data, som kortet sender tilbage til forskerne, kan opsamles, og derefter bruges til at bryde og derved finde den korrekte krypteringsnøgle på omkring ét minut. På den måde har forskerne opnået adgang til at kommunikere med SIM-kortet, som ellers kun teleudbyderen har adgang til.

Efter krypteringsnøglen er opsnappet, kan forskeren, Karsten Nohl, nu downloade virus til SIM-kortet, der kan sende sms'er til en betalingsgateway, således at ejeren af kortet ville blive opkrævet penge fra en given betalingsudbyder, som hackere selv kunne sætte op og tjene penge på.

Derudover vil det også være muligt for forskerne at aflytte og videresende samtaler, samt indsamle lokationsdata uden at den pågældende forbruger kan opdage det.

OTA bruges i dag blandt andet af teleudbyderne til at ændre gængse indstillinger, som eksempelvis tilladelse af udenlandstelefoni.

Dårlig programmering åbner endnu en dør til dit SIM-kort

Dårlig programmering åbner endnu en dør til dit SIM-kort

Den anden sårbarhed forskerne har opdaget eksisterer i det såkaldte Java Card-program, der fungerer på telefonen.

Programmet kører i en såkaldt sandbox, der skal sørge for, at programmet ikke kan kompromitteres, hvis SIM-kortet hackes.

"Denne sandbox-mekanisme er i stykker på de mest udbredte SIM-kort," siger Karsten Nohl til Forbes.

Ifølge forskerne kan kort, der er leveret med den nyeste krypteringsstandard, 3DES, dog ikke kompromitteres.

Forsker: Hackerne har nok ikke sårbarheden endnu
Selvom forskerne har påvist sårbarhederne, så maner Karsten Nohl alligevel til ro.

Han vurderer, at forskerne er de eneste, der endnu kan udnytte de to huller, og at producenterne vil sørge for at få lukket dem forholdsvis hurtigt.

Derudover vurderer han, at andre hackere skal bruge omkring et halvt år på at være i stand til at udnytte sårbarhederne.

Ifølge Forbes vil Karsten Nohl præsentere sårbarhederne den 31. juli til den årlige sikkerhedskonference Black Hat i Las Vegas.

Læs også:

Mobil-producenter strides om dit næste SIM-kort

Nu skal du have et helt nyt SIM-kort i din mobil




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Despec Denmark A/S
Distributør af forbrugsstoffer, printere, it-tilbehør, mobility-tilbehør, ergonomiske produkter, kontor-maskiner og -tilbehør.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Sådan bruger du aktivt AI til at styrke din cybersikkerhedsindsats

Kan AI styrke din cybersikkerhed og forebygge f.eks. ransomwareangreb? Ja – og endda særdeles effektivt! På denne konference kan du blive klogere på, hvordan du i praksis anvender AI til at styrke dit sikkerhedsniveau – og gøre cyberbeskyttelsen mere fleksibel.

27. november 2024 | Læs mere


Styrk din virksomhed med relevant, pålidelig og ansvarlig AI integration med SAP

Kom og få indsigt i, hvordan du bruger AI til at transformere og effektivisere dine arbejdsgange. Vi kigger nærmere på AI-assistenten Joule, der vil revolutionere måden, brugerne interagere med SAP’s forretningssystemer. Og så får du konkret viden om, hvordan du kommer i gang med at bruge AI til at booste din forretningsudvikling.

03. december 2024 | Læs mere


Fyr op under vækst med dataanalyse, AI og innovation

Hvor langt er den datadrevne virksomhed nået i praksis? Det kan du høre om fra virksomheder, som har foretaget transformationen. Du kommer også til at høre, hvordan de anvender AI i processen, hvilke mål de har nået, hvordan de har høstet gevinsterne og hvilke nyskabelser, der er på vej i horisonten.

04. december 2024 | Læs mere