Vodafone afluisterhack al twee jaar bekend
Het beveiligingsprobleem waardoor alle Britse Vodafone-klanten waren af te luisteren, is al twee jaar bekend, aldus een anoniem Nederlands lid van het hackerscollectief THC tegenover Security.nl. Deze week werd bekend dat kwaadwillenden op vrij eenvoudige wijze Vodafone's Sure Signal / Femto apparatuur tot afluisterapparaat kunnen ombouwen. The Hacker's Choice (THC) wist de apparatuur te reverse engineeren, waardoor het mogelijk is om met de Femto Cell gesprekken af te luisteren.
De Femto is namelijk via de internetverbinding van de thuisgebruiker verbonden met het Vodafone netwerk. Deze toegang wordt gebruikt om de geheime sleutel van de Vodafone-klant te achterhalen die de Femto gebruikt. Het tweede probleem dat de hackers ontdekten, was dat Vodafone de Femto toegang tot het kernnetwerk geeft, waar vertrouwelijke klantgegevens zijn opgeslagen.
Een aanvaller met administratortoegang kan de geheime sleutel van alle Britse Vodafone-abonnees opvragen. Daarmee is het mogelijk om telefoongesprekken af te luisteren of op kosten van het slachtoffer anderen te bellen.
Waarschuwing
Het hackerscollectief ontdekte het probleem twee jaar geleden en waarschuwde Vodafone eind 2009. Daarmee kreeg Vodafone ruimschoots de tijd om de gegeven problemen op te lossen, aldus het THC-lid. Gedeeltelijk werden de problemen ook opgelost. "THC meent dat ruim anderhalf jaar wachten ruim binnen de normen voor 'responsible disclosure' valt."
Volgens de hacker bestaat er in Nederland weinig risico op misbruik, daar alleen Vodafone UK abonnees risico lopen. "In Engeland kan een gebruiker die binnen vijftig meter van de gehackte Femto telefoneert, worden afgeluisterd. Met de afgeluisterde gegevens zijn ook andere aanvallen uit te voeren. THC heeft alleen gesprekken afgeluisterd van zichzelf, dus er is geen misbruik gepleegd voor zover wij weten."
Wachtwoord
Vodafone gebruikte als root-wachtwoord "newsys", dat in de nieuwe firmware is aangepast. "Dat had natuurlijk direct gekund. Ook is in de nieuwe firmware de UART seriële poort uitgezet. Dus de toegang tot de Femto had met simpele maatregelen moeilijker kunnen worden gemaakt. Maar er zijn sindsdien door andere groepen andere manieren gevonden om ook in de Femto te komen dus deze pleister op de wonden is niet heel effectief", zo laat het THC-lid weten.
Volgens hem is het onderliggende probleem, namelijk dat ook niet-geregistreerde toestellen via de Femto kunnen bellen, nog niet opgelost door Vodafone. "Iemand met een oude fimrwareversie, die de update weet tegen te houden, of die het versienummer naar Vodafone kan spoofen, kan hier nog steeds misbruik van maken."
Nederland
Soortgelijke systemen als Vodafone in Engeland gebruikt, zijn niet op de Nederlandse consumentenmarkt te vinden, maar worden wel door zakelijke klanten in Nederland gebruikt. Die hardware heeft THC niet onderzocht.
In een reactie liet Vodafone weten dat eindgebruikers van de Femto geen risico lopen. Iets wat klopt volgens het THC-lid, maar wat ook niet het punt was. Inmiddels heeft het hackerscollectief op het eigen blog hierop gereageerd.
Afluisteren
De hack doet het ergste over de beveiliging van onze mobiele infrastructuur vermoeden. Toch zijn er geen simpele hacks bekend die de beveiliging doorbreken, zo laat het THC-lid weten. "Maar voor een technisch onderlegd persoon is het afluisteren van 2G (oftewel GSM) gesprekken tegenwoordig goed te doen. Zie het werk van Karsten Nohl. 3G is een heel stuk lastiger door het gebruik van betere encryptie. De Femto hack is de eerste publieke 3G-hack."
Wat betreft de toekomst zullen onderzoekers tijdens de komende DEFCon en Blackhat conferenties meer zwakheden in Femto's onthullen.
- als je geïnteresseerd bent in dit onderwerp, dan is dit een soort van basiskennis. Verder onderdeel van een uitspraak die het THC lid deed tijdens een interview, geen bronvermelding nodig, dus waarom zou een linkje dan nodig zijn?
- voor degenen die zich dan afvragen wie Nohl is, of wat voor onderzoek hij heeft gedaan op dit gebied: http://lmgtfy.com/.
Security.nl geeft zelf aan (zie http://security.nl/page/1/Over_ons.html dat de doelgroep
"IT-managers, systeembeheerders, beveiligingsprofessionals en iedereen met interesse in het laatste nieuws over beveiliging en privacy." is.
Dat betekent ook dat verondersteld wordt dat je enige moeite doet voordat je dit soort vragen neerzet. Voer alleen 'Karsten Nohl' of 'Karsten Nohl gsm' in bij Google, en dan zie je de nodige nieuwsartikelen die precies dat vertellen, wat jij nu vraagt.
Klinkt misschien verzuurd :), maargoed, ik moest het even kwijt, en wens je overigens graag nog een fijne dag!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Met jou als Chief Information Security Officer werken we samen aan het inrichten van een digitale leer-, werk- en onderzoeksomgeving en investeren in digitalisering. De beveiliging van alle daarbij gebruikte middelen en informatie én het zorgen voor bewustzijn bij alle partijen is hierbij een belangrijke pijler. Daar kom jij in beeld.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.