To milliarder mobiltelefoner bruger en teknologi, der gør telefonerne utrolig sårbare for hackere. Det er nemlig muligt for hackere at sende falske softwareopdateringer ud til både Android- og iPhone-enheder og på den måde boltre sig frit på brugernes telefoner. Det skriver Toms Guide.
Sårbarheden blev præsenteret af to sikkerhedsforskere på Blackhat-konferencen i Las Vegas. Der er ikke tale om et decideret sikkerhedshul, men en udbredt dårlig implementering af protokollen Open Mobile Alliance Device Managerment (OMA-DM).
OMA-DM bliver brugt af teleudbydere til at opdatere brugernes telefoner på deres netværk. Mange, der køber telefoner med abonnement, får nemlig ikke softwareopdateringer fra Google eller Apple, men fra netværksudbyderen. Og i de tilfælde bliver OMA-DM-protokollen anvendt til at sende opdateringer ud.
Udbyderne sender opdateringerne ud med en signatur, som er en kombination af en unik id på målets mobiltelefon og et hemmeligt kendetegn eller token i daglig tale. Men mange udbydere bruger den samme hemmelige token til alle opdateringer, og det er her, kæden hopper af.
For hvis en hacker sammenligner opdateringer sendt ud til to telefoner, kan hackeren nemt sortere den unikke id fra. Tilbage står hackeren så med den nu knap så hemmelige token. Nu kan hackeren selv signere software og sende ud til telefonerne.
På den måde kan hackere skaffe sig adgang til private data eller simpelthen lytte med på telefonopkald.
Sårbarheden begrænser sig ikke kun til mobiltelefoner. Mange biler bruger samme opdateringsmetode, og hackere kan med samme metode sende falske opdateringer ud til biler.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
