Artikel top billede

Hul i SIM-kort: Hackere kan kontrollere din mobiltelefon

To sårbarheder gør det muligt at overvåge, aflytte og svindle med dit mobilabonnement, hvis du har en bestemt type SIM-kort.

Hvert ottende SIM-kort i verden kan hackes via to forskellige kritiske sårbarheder, det påviser et hold tyske forskere.

Holdet har knækket den SIM-kort kryptering, der skal forhindre, at dit mobil-abonnement kan overtages af personer, som gennem det nye hack eksempelvis kan aflytte dine samtaler og programmere SIM-kortet til at sende smser til diverse betalingsservices.

"Det drejer sig om forskellige typer af SIM-kort, der enten indeholder sårbarheden eller ej," siger Karsten Nohl, der er forsker ved Security Research Labs i Tyskland, til mediet Forbes.

Ifølge Karsten Nohl drejer det sig om kort, der benytter sig af krypteringsstandarden Data Encryption Standard (DES), som IBM oprindeligt lavede i 1970'erne. DES-standarden er i øvrigt siden er blevet videreudviklet af den amerikanske sikkerhedstjeneste NSA (National Security Agency).

Sårbarhed gør det muligt at aflytte telefonen
Forskerne har gennemtestet i alt 1.000 tilfældige kort for to sårbarheder, der gør det muligt at overtage styringen med det vitale kort, der i princippet fungerer som en mini-computer med eget operativsystem og pre-installeret software.

For at kunne udnytte begge sårbarheder kræves det, at SIM-kortet benytter sig af krypteringsstandarden DES.

Den første sårbarhed kan udnyttes ved at afsende en såkaldt Over-The-Air (OTA) binærbesked til SIM-kortet, herefter får forskerne en besked tilbage om, at der ikke kommunikeres med korrekt krypteringsnøgle.

De data, som kortet sender tilbage til forskerne, kan opsamles, og derefter bruges til at bryde og derved finde den korrekte krypteringsnøgle på omkring ét minut. På den måde har forskerne opnået adgang til at kommunikere med SIM-kortet, som ellers kun teleudbyderen har adgang til.

Efter krypteringsnøglen er opsnappet, kan forskeren, Karsten Nohl, nu downloade virus til SIM-kortet, der kan sende sms'er til en betalingsgateway, således at ejeren af kortet ville blive opkrævet penge fra en given betalingsudbyder, som hackere selv kunne sætte op og tjene penge på.

Derudover vil det også være muligt for forskerne at aflytte og videresende samtaler, samt indsamle lokationsdata uden at den pågældende forbruger kan opdage det.

OTA bruges i dag blandt andet af teleudbyderne til at ændre gængse indstillinger, som eksempelvis tilladelse af udenlandstelefoni.

Dårlig programmering åbner endnu en dør til dit SIM-kort

Dårlig programmering åbner endnu en dør til dit SIM-kort

Den anden sårbarhed forskerne har opdaget eksisterer i det såkaldte Java Card-program, der fungerer på telefonen.

Programmet kører i en såkaldt sandbox, der skal sørge for, at programmet ikke kan kompromitteres, hvis SIM-kortet hackes.

"Denne sandbox-mekanisme er i stykker på de mest udbredte SIM-kort," siger Karsten Nohl til Forbes.

Ifølge forskerne kan kort, der er leveret med den nyeste krypteringsstandard, 3DES, dog ikke kompromitteres.

Forsker: Hackerne har nok ikke sårbarheden endnu
Selvom forskerne har påvist sårbarhederne, så maner Karsten Nohl alligevel til ro.

Han vurderer, at forskerne er de eneste, der endnu kan udnytte de to huller, og at producenterne vil sørge for at få lukket dem forholdsvis hurtigt.

Derudover vurderer han, at andre hackere skal bruge omkring et halvt år på at være i stand til at udnytte sårbarhederne.

Ifølge Forbes vil Karsten Nohl præsentere sårbarhederne den 31. juli til den årlige sikkerhedskonference Black Hat i Las Vegas.

Læs også:

Mobil-producenter strides om dit næste SIM-kort

Nu skal du have et helt nyt SIM-kort i din mobil




IT-JOB
Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Despec Denmark A/S
Distributør af forbrugsstoffer, printere, it-tilbehør, mobility-tilbehør, ergonomiske produkter, kontor-maskiner og -tilbehør.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Cyber Threats 2024: Sådan arbejder de it-kriminelle – og sådan beskytter du dig

De cyberkriminelle har udviklet sig betydeligt, arbejder professionelt, fleksibelt og udnytter hinandens specifikke kompetencer – omtrent som en velsmurt koncern med klar ansvarsfordeling – og har ofte en klar politisk eller kommerciel motivation. Det stiller også nye krav til din tilgang til cybersikkerhed, og på Cyber Threats 2024 får du viden, som gør dig i stand til bedre at prioritere, planlægge og eksekvere en tidssvarende cybersikkerhedsstrategi.

06. november 2024 | Læs mere


Cyber Threats 2024: Sådan arbejder de it-kriminelle – og sådan beskytter du dig

De cyberkriminelle har udviklet sig betydeligt, arbejder professionelt, fleksibelt og udnytter hinandens specifikke kompetencer – omtrent som en velsmurt koncern med klar ansvarsfordeling – og har ofte en klar politisk eller kommerciel motivation. Det stiller også nye krav til din tilgang til cybersikkerhed, og på Cyber Threats 2024 får du viden, som gør dig i stand til bedre at prioritere, planlægge og eksekvere en tidssvarende cybersikkerhedsstrategi.

12. november 2024 | Læs mere


Fremtidens digitale kraftværk: Tag styringen med dit ERP-system

I dag ligger moderne ERP-platforme i skyen og opdateres adskillige gange årligt. Samtidig får man nærmest pr. automatik adgang til en omfattende portefølje af integrationer, add-ons, 3. partsmoduler, BI og avancerede funktioner til AI/ML-understøttelse af forretningsprocesser. På denne dag går vi derfor i dybden med, hvad det betyder for din virksomhed. Uanset om I har migreret til en cloudbaseret platform eller planlægger at gøre det indenfor en overskuelig fremtid.

13. november 2024 | Læs mere