To milliarder mobiltelefoner bruger en teknologi, der gør telefonerne utrolig sårbare for hackere. Det er nemlig muligt for hackere at sende falske softwareopdateringer ud til både Android- og iPhone-enheder og på den måde boltre sig frit på brugernes telefoner. Det skriver Toms Guide.
Sårbarheden blev præsenteret af to sikkerhedsforskere på Blackhat konferencen i Las Vegas. Der er ikke tale om et decideret sikkerhedshul, men en udbredt dårlig implementering af protokollen Open Mobile Alliance Device Managerment (OMA-DM).
OMA-DM bliver brugt af teleudbydere til at opdatere brugernes telefoner på deres netværk. Mange der køber telefoner med abonnement får nemlig ikke softwareopdateringer fra Google eller Apple, men fra netværksudbyderen. Og i de tilfælde bliver OMA-DM-protokollen anvendt til at sende opdateringer ud.
Udbyderne sender opdateringerne ud med en signatur, som er en kombination af en unik ID på målets mobiltelefon og et hemmeligt kendetegn eller token i daglig tale. Men mange udbydere bruger den samme hemmelige token til alle opdateringer, og det er her kæden hopper af.
For hvis en hacker sammenligner opdateringer sendt ud til to telefoner kan hackeren nemt sortere den unikke ID fra. Tilbage står hackeren så med den nu knap så hemmelige token. Nu kan hackeren selv signere software og sende ud til telefonerne.
På den måde kan hackere skaffe sig adgang til private data, eller simpelthen lytte med på telefonopkald.
Sårbarheden begrænser sig ikke kun til mobiltelefoner. Mange biler bruger samme opdateringsmetode og hackere kan med samme metode sende falske opdateringer ud til biler.
Leave a Reply