Krađa podataka iz mobilnog

Na skorašnjem savetovanju u Amsterdamu, posvećenom računarskoj bezbednosti, istraživači su obelodanili da su osmislili način kako da preotmu podatke iz mobilnih telefona i one poslate ovim spravama. Napad se može iskoristiti za sakupljanje lozinki ili ubacivanje zlonamernih programčića (softver).

Mobilni telefoni postaju sve važniji u prenošenju podataka: osim za razgovaranje, sve se više koriste za osetljive delatnosti poput bežičnog plaćanja (mobile banking), pretraživanje na Internetu i preuzimanje igrica.

Novi vid upada oslanja sena protokol koji omogućava mobilnim operaterima da uređaju pruže odgovarajuće podešavanje za slanje podataka tekstualnom porukom, naglašavaju Roberto Gasira, Kristofaro Mune i Roberto Pičirilo iz italijanske „Mobilne bezbednosne laboratorije”. Oponašanjem ove tekstualne poruke napadač može napraviti sopstveno podešavanje za žrtvinu napravu. A to bi mu omogućilo da, na primer, preusmeri podatke poslate sa telefona preko servera koji to kontroliše.

Dotični stručnjaci kažu da bi tehnika trebalo da radi na svakom mobilnom telefonu koji podržava taj protokol, pod uslovom da nasrtljivac zna koju mrežu žrtva koristi i da mreža ne blokira ovu vrstu poruke. Nešto lukavstva je, ipak, potrebno da bi napad uspeo. Obično, da bi na daljinu prebacio podešavanja na uređaj, mobilni operater prvo će poslati tekstualnu poruku koja sadrži PIN (lični broj raspoznavanja) kôd. Operater će potom poslati poruku da izvrši rekonfiguraciju telefona. Da bi instalirao nova podešavanja, korisnik prvo mora uneti PIN.

Tako bi napadač morao da ubedi žrtvu da unese PIN i prihvati poslato zlonamerno podešavanje. Trojica Italijana, međutim, veruju da to ne bi trebalo da bude suviše teško. Zlonamernik bi mogao poslati tekstualnu poruku sa imena kao što je „provajder usluga” ili „konfiguracija poruke”, navodeći da su promene podešavanja na uređaju potrebne zbog greške na mreži. Za mnoge mobilne telefone, ističu oni, rezultati konfiguracije nisu korisniku prikazani, što žrtvi daje male šanse da primeti da nešto nije u redu.

Čim je sprava podešena tako da preusmerava podatke kroz napadačev server, to bi moglo otkriti korisnikove lozinke ili „kolačiće” (cookies). Italijanski istraživači tvrde da bi bilo moguće i to da nastrljivac dodaje neželjeni sadržaj, poput nepoželjenih reklama, na veb stranice koje korisnik pregleda na svojem telefonu. Kombinovanjem ove tehnike sa drugim slabostima mogao bi, čak, da upotrebi mobilni uređaj da se okomi na izvore (resurse) koje su inače zaštićeni u okviru prenosne mreže.

Dejvid Vagner, profesor informatike na Kalifornijskom univerzitetu u Berkliju koji je proučava bežičnu bezbednost, upozorava da se mora više poraditi na prepoznavanju uslova potrebnih da se iskoristi ova slabost i utvrđivanju koliko je pojava raširena. „U naučnom članku sam video nekoliko opomena koje su u mojoj glavi pobudile pitanja koliko bi ova ranjivost pogodila potrošače, čak i da li se može iskoristiti”, naglašava on. Naročito ostaje nejasno mogu li jedni mobilni provajderi da onemoguće lažne poruke ili da li bi drugi sprečili napadača u preusmeravanju saobraćaja na Internetu.

Istraživači iz Italije obznanjuju da bi mobilni operatori mogli preduprediti napad primenom odgovarajućih mera sigurnosti. Na primer, mogli bi vrebati tekstualne poruke koje pokazuju nagoveštaje konfiguracionog protokola i proveravati da li one potiču iz ovlašćenog izvora. Druge mere, poput pokazivanja korisniku kako mu je uređaj podešen ili praćenja saobraćaja na Internetu, takođe bi mogle pomoći.

Najvažnije je da se napad može izvesti na, zaista, velikom broju mobilnih mreža i telefona!