Proponha uma correção, faça uma sugestão
Corrigida vulnerabilidade que afectava 750 milhões de telefones
Depois de ter sido descoberta uma vulnerabilidade na encriptação dos cartões SIM, que permitia aos hackers terem acesso remoto a um telefone e afectava mais de 750 milhões de telefones com SIMs a utilizar a tecnologia visada, os operadores viram-se obrigados a pensar numa solução para contornar esta brecha na segurança dos seus clientes.
A solução para corrigir a vulnerabilidade foi usar a própria vulnerabilidade e injectar a correcção.
O criptografo Karsten Nohl da empresa germánica de segurança, a Security Research Labs, descobriu uma vulnerabilidade nos cartões SIM que permitia o acesso remoto ao telemóvel e o seu controlo. Isto após três anos a pesquisar como haveria de conseguir o acesso a estes cartões.
Nohl conseguiu finalmente o acesso aos cartões SIM explorando uma falha nas chaves de encriptação, conseguindo com isso enviar uma mensagem SMS oculta. Dessa forma remotamente poderia passar-se pelo legítimo proprietário do telefone em causa, fazer pagamentos e ter acesso a informação pessoal, tal como sabemos ser possível nos nossos smartfhones.
Existem várias tecnologias de segurança nestes cartões e as mais recentes não sofriam deste problemas, mas existem, contudo, milhões de utilizadores ainda dependentes de cartões com a tecnologia vulnerável.
Nohl agendou uma demonstração com o seu cartão SIM para a conferência de segurança informática, a Black Hat, em Las Vegas, na passada quarta feira. Mas... em vez de fazer tal demonstração, o investigador alemão anunciou sim que cinco companhias de comunicações tinham desenvolvido, de forma muito célere, uma solução para o problema e que este, à data, já tinha correcção. Deixara de haver assim o tal problema descoberto e que, à primeira vista, teria uma difícil forma de resolver!
Assim e porque a solução já existe, Nohl apenas mostrou parte do esquema que ele descobriu para "assaltar" os cartões SIM, mas recusou-se a divulgar as empresas de comunicação que haviam resolvido o problema e, de certa forma, tirado "o tapete" ao investigador.
O mais interessante nesta história é o processo que as empresas usaram. Em vez de substituírem milhões de cartões SIM, que resultaria em prejuízos avultados e numa logística inglória, eles tiraram partido da vulnerabilidade e injectaram sim, em vez de um vírus, a reparação para esta brecha.
Rescreveram então parte do sistema operativo do cartão e este deixou de permitir que a descoberta do investigador alemão conseguisse qualquer efeito prático de ataque. Esta acção recebeu, contudo, um elogio pela rapidez com que as operadoras se mexeram para resolver.
"They're adopting hacking methods to make it more secure," ... "Abusing the Java vulnerabilities to update the card is the neatest outcome of this.", disse Nohl no seu discurso na conferência.
Os problemas ainda não terminaram, segundo uma estimativa do investigador, este processo pode demorar até quatro anos, tendo em conta o número de clientes visados. Mas pelo menos existe já uma "cura" que foi muito bem pensada e que pode "fazer escola" no futuro para outros problemas do estilo.
Via | CNN
Este artigo tem mais de um ano
Loading ...
e o cartão actualiza sozinho, ou desligar e ligar?
E quem acreditou nessa história?
É óbvio que o cidadão recebeu uma indenização para não publicar a falha, para as empresas ganharem tempo e criarem a solução.
Como desculpa inventaram essa história.
Se realmente a falha tivesse sido corrigida, ele teria mostrado todo o esquema para a invasão.
Muito esperto, ele descobriu a falha e anunciou previamente que tornaria pública. Bem a tempo de receber as $$$propostas$$$ para não revelar o problema.
Não o recrimino. Se ele diz que recebeu o dinheiro para não contar o código, pode muito bem ser morto ou sequestrado. Entao diz que o problema não existe mais, ganha seu dinheiro e se mantém seguro.
E quem acreditou nessa história?
É óbvio que o cidadão recebeu uma indenização para não publicar a falha, para as empresas ganharem tempo e criarem a solução.
Como desculpa inventaram essa história.
Se realmente a falha tivesse sido corrigida, ele teria mostrado todo o esquema para a invasão.
Muito esperto, ele descobriu a falha e anunciou previamente que tornaria pública. Bem a tempo de receber as $$$propostas$$$ para não revelar o problema.
Não o recrimino. Se ele diz que recebeu o dinheiro para não contar o código, pode muito bem ser morto ou sequestrado. Entao diz que o problema não existe mais, ganha seu dinheiro e se mantém em segurança.
A ser verdade, e acredito que sim, foi muito bem jogado da parte das operadoras.
Karsten Nohl já publicou dezenas de falhas do protocolo GSM e tem papers/sites publicados a ensinar como se pode tirar partido delas.
Desta vez, com os SIM, simplesmente as operadoras mexeram-se e acho muito bem, seja qual for o método.
Foi em jogado de ambas as partes. Qualquer um de nós que tivesse descoberto alguma vulnerabilidade, tentaria rentabilizar o tempo perdido a descobri-la. É a lógica do mercado em que todos ganham.
“…nossos smartfhones.” Ou Smartphones? Lolll
vivemos num mundo de mentira e de meias verdades