Artikel top billede

Hul i SIM-kort: Hackere kan kontrollere din mobiltelefon

To sårbarheder gør det muligt at overvåge, aflytte og svindle med dit mobilabonnement, hvis du har en bestemt type SIM-kort.

Hvert ottende SIM-kort i verden kan hackes via to forskellige kritiske sårbarheder, det påviser et hold tyske forskere.

Holdet har knækket den SIM-kort kryptering, der skal forhindre, at dit mobil-abonnement kan overtages af personer, som gennem det nye hack eksempelvis kan aflytte dine samtaler og programmere SIM-kortet til at sende smser til diverse betalingsservices.

"Det drejer sig om forskellige typer af SIM-kort, der enten indeholder sårbarheden eller ej," siger Karsten Nohl, der er forsker ved Security Research Labs i Tyskland, til mediet Forbes.

Ifølge Karsten Nohl drejer det sig om kort, der benytter sig af krypteringsstandarden Data Encryption Standard (DES), som IBM oprindeligt lavede i 1970'erne. DES-standarden er i øvrigt siden er blevet videreudviklet af den amerikanske sikkerhedstjeneste NSA (National Security Agency).

Sårbarhed gør det muligt at aflytte telefonen
Forskerne har gennemtestet i alt 1.000 tilfældige kort for to sårbarheder, der gør det muligt at overtage styringen med det vitale kort, der i princippet fungerer som en mini-computer med eget operativsystem og pre-installeret software.

For at kunne udnytte begge sårbarheder kræves det, at SIM-kortet benytter sig af krypteringsstandarden DES.

Den første sårbarhed kan udnyttes ved at afsende en såkaldt Over-The-Air (OTA) binærbesked til SIM-kortet, herefter får forskerne en besked tilbage om, at der ikke kommunikeres med korrekt krypteringsnøgle.

De data, som kortet sender tilbage til forskerne, kan opsamles, og derefter bruges til at bryde og derved finde den korrekte krypteringsnøgle på omkring ét minut. På den måde har forskerne opnået adgang til at kommunikere med SIM-kortet, som ellers kun teleudbyderen har adgang til.

Efter krypteringsnøglen er opsnappet, kan forskeren, Karsten Nohl, nu downloade virus til SIM-kortet, der kan sende sms'er til en betalingsgateway, således at ejeren af kortet ville blive opkrævet penge fra en given betalingsudbyder, som hackere selv kunne sætte op og tjene penge på.

Derudover vil det også være muligt for forskerne at aflytte og videresende samtaler, samt indsamle lokationsdata uden at den pågældende forbruger kan opdage det.

OTA bruges i dag blandt andet af teleudbyderne til at ændre gængse indstillinger, som eksempelvis tilladelse af udenlandstelefoni.

Dårlig programmering åbner endnu en dør til dit SIM-kort

Dårlig programmering åbner endnu en dør til dit SIM-kort

Den anden sårbarhed forskerne har opdaget eksisterer i det såkaldte Java Card-program, der fungerer på telefonen.

Programmet kører i en såkaldt sandbox, der skal sørge for, at programmet ikke kan kompromitteres, hvis SIM-kortet hackes.

"Denne sandbox-mekanisme er i stykker på de mest udbredte SIM-kort," siger Karsten Nohl til Forbes.

Ifølge forskerne kan kort, der er leveret med den nyeste krypteringsstandard, 3DES, dog ikke kompromitteres.

Forsker: Hackerne har nok ikke sårbarheden endnu
Selvom forskerne har påvist sårbarhederne, så maner Karsten Nohl alligevel til ro.

Han vurderer, at forskerne er de eneste, der endnu kan udnytte de to huller, og at producenterne vil sørge for at få lukket dem forholdsvis hurtigt.

Derudover vurderer han, at andre hackere skal bruge omkring et halvt år på at være i stand til at udnytte sårbarhederne.

Ifølge Forbes vil Karsten Nohl præsentere sårbarhederne den 31. juli til den årlige sikkerhedskonference Black Hat i Las Vegas.

Læs også:

Mobil-producenter strides om dit næste SIM-kort

Nu skal du have et helt nyt SIM-kort i din mobil




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Fellowmind Denmark II ApS
Salg, udvikling, implementering og servicering af software til ERP

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Strategisk IT-sikkerhedsdag 2022 - identificer, beskyt og forsvar

IT-sikkerhedstruslerne mod virksomhederne er i takt med tiden blevet større og værre, fordi virksomhederne er mere end nogensinde før afhængige af data og IT. Det stiller krav til de IT-ansvarlige, der konstant skal tage bestik af det skiftende trusselniveau. Det kræver blandt andet, at it-sikkerhed bliver sat på den strategiske dagsorden i virksomhederne – men hvordan?

25. januar 2022 | Læs mere


Hjemmearbejdets påvirkning på trivsel, helbred og arbejdsmiljø

Fremtidens arbejdsplads er hybrid, det er der ingen tvivl om. Men hvad fører det egentlig med sig? Og hvordan omstiller du og din arbejdsplads sig til det? Det kan du blive klogere på, på denne digitale konference.

02. februar 2022 | Læs mere


GDPR - persondatabeskyttelse i praksis

Håndteringen af persondata og GDPR er for længst blevet hverdag hos de danske organisationer, men derfor er det til stadighed vigtigt og altafgørende, at den løbende overholdelse af GDPR er på plads. Vær med og hør, hvordan du ved hjælp af processuelle greb, værktøjer og systemer kan sikre dette.

08. februar 2022 | Læs mere