Artikel top billede

Hul i SIM-kort: Hackere kan kontrollere din mobiltelefon

To sårbarheder gør det muligt at overvåge, aflytte og svindle med dit mobilabonnement, hvis du har en bestemt type SIM-kort.

Hvert ottende SIM-kort i verden kan hackes via to forskellige kritiske sårbarheder, det påviser et hold tyske forskere.

Holdet har knækket den SIM-kort kryptering, der skal forhindre, at dit mobil-abonnement kan overtages af personer, som gennem det nye hack eksempelvis kan aflytte dine samtaler og programmere SIM-kortet til at sende smser til diverse betalingsservices.

"Det drejer sig om forskellige typer af SIM-kort, der enten indeholder sårbarheden eller ej," siger Karsten Nohl, der er forsker ved Security Research Labs i Tyskland, til mediet Forbes.

Ifølge Karsten Nohl drejer det sig om kort, der benytter sig af krypteringsstandarden Data Encryption Standard (DES), som IBM oprindeligt lavede i 1970'erne. DES-standarden er i øvrigt siden er blevet videreudviklet af den amerikanske sikkerhedstjeneste NSA (National Security Agency).

Sårbarhed gør det muligt at aflytte telefonen
Forskerne har gennemtestet i alt 1.000 tilfældige kort for to sårbarheder, der gør det muligt at overtage styringen med det vitale kort, der i princippet fungerer som en mini-computer med eget operativsystem og pre-installeret software.

For at kunne udnytte begge sårbarheder kræves det, at SIM-kortet benytter sig af krypteringsstandarden DES.

Den første sårbarhed kan udnyttes ved at afsende en såkaldt Over-The-Air (OTA) binærbesked til SIM-kortet, herefter får forskerne en besked tilbage om, at der ikke kommunikeres med korrekt krypteringsnøgle.

De data, som kortet sender tilbage til forskerne, kan opsamles, og derefter bruges til at bryde og derved finde den korrekte krypteringsnøgle på omkring ét minut. På den måde har forskerne opnået adgang til at kommunikere med SIM-kortet, som ellers kun teleudbyderen har adgang til.

Efter krypteringsnøglen er opsnappet, kan forskeren, Karsten Nohl, nu downloade virus til SIM-kortet, der kan sende sms'er til en betalingsgateway, således at ejeren af kortet ville blive opkrævet penge fra en given betalingsudbyder, som hackere selv kunne sætte op og tjene penge på.

Derudover vil det også være muligt for forskerne at aflytte og videresende samtaler, samt indsamle lokationsdata uden at den pågældende forbruger kan opdage det.

OTA bruges i dag blandt andet af teleudbyderne til at ændre gængse indstillinger, som eksempelvis tilladelse af udenlandstelefoni.

Dårlig programmering åbner endnu en dør til dit SIM-kort

Dårlig programmering åbner endnu en dør til dit SIM-kort

Den anden sårbarhed forskerne har opdaget eksisterer i det såkaldte Java Card-program, der fungerer på telefonen.

Programmet kører i en såkaldt sandbox, der skal sørge for, at programmet ikke kan kompromitteres, hvis SIM-kortet hackes.

"Denne sandbox-mekanisme er i stykker på de mest udbredte SIM-kort," siger Karsten Nohl til Forbes.

Ifølge forskerne kan kort, der er leveret med den nyeste krypteringsstandard, 3DES, dog ikke kompromitteres.

Forsker: Hackerne har nok ikke sårbarheden endnu
Selvom forskerne har påvist sårbarhederne, så maner Karsten Nohl alligevel til ro.

Han vurderer, at forskerne er de eneste, der endnu kan udnytte de to huller, og at producenterne vil sørge for at få lukket dem forholdsvis hurtigt.

Derudover vurderer han, at andre hackere skal bruge omkring et halvt år på at være i stand til at udnytte sårbarhederne.

Ifølge Forbes vil Karsten Nohl præsentere sårbarhederne den 31. juli til den årlige sikkerhedskonference Black Hat i Las Vegas.

Læs også:

Mobil-producenter strides om dit næste SIM-kort

Nu skal du have et helt nyt SIM-kort i din mobil




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
IT Relation A/S
Outsourcing, hosting, decentral drift, servicedesk, konsulentydelser, salg og udleje af handelsvarer, udvikling af software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Styrk effektivitet og bundlinje i ét hug

Fleksibilitet, valgfrihed og bæredygtighed er nogle af de områder, som vægtes særligt højt, især blandt de yngre generationer, når de skal vælge eller blive på en arbejdsplads. På eventet kan du få konkrete løsningsforslag til, hvordan du med en fleksibel IT-strategi og det frie IT-valg, kan give medarbejderne medbestemmelse omkring valg af digitalt arbejdsudstyr og samtidig være mere miljøbevidste i deres valg.

06. juni 2023 | Læs mere


Kom godt i gang og få det fulde udbytte med Dynamics 365 FO

Overvejelser, forberedelser og implementering. CGI's eksperter stiller skarp på Microsoft Dynamics 365 FO og merværdien ved samspillet med Azure og Power Platform.

06. juni 2023 | Læs mere


Cybersecurity Excellence Day 2023

Sikkerhed er et vidt begreb, og antallet af produkter og services nærmest eksploderer i takt med, at trusselsbilledet bliver stadig mere mudret og faretruende. På årets Cybersecurity Excellence Day kommer vi hele vejen rundt, så du får et solidt grundlag for at skelne mellem de aktuelt mest værdifulde teknologier fra buzzwords og ny vin på gamle flasker.

07. juni 2023 | Læs mere