IT-viikossa oli artikkeli siitä, miten moderni matkapuhelin (ehkä on täsmällisempää todeta: älypuhelin) on kaapattavissa täysin haltuun yhdellä ainoalla tekstiviestillä. Kyse on useita, käytännössä miltei kaikkia älypuhelimen käyttöjärjestelmiä ja malleja koskevasta, perustavaa laatua olevasta haavoittuvuudesta, jota ei ilmeisesti oikein edes voi helposti korjata ja jolta käyttäjä ei voi mitenkään suojautua.Koko puhelin voidaan siis täydellisesti kaapata etäältä ja laittaa tekemään oikeastaan aivan mitä tahansa. Esimerkiksi tallentamaan ja lähettämään näppäinpainallukset, nauhoittamaan puhelut, tai lähettämään kyseistä hyökkäystekstiviestiä kaikkiin sen puhelinmuistiossa oleviin matkapuhelinnumeroihin. Vastaanottajat eivät välttämättä edes huomaa, että puhelin on kaapattu. Varsin pelottavaa.
Mikäli pahantekijä lähettäisi tätä aukkoa hyödyntävän tekstiviestimadon matkaan, kaikki maailman älypuhelimet voisivat olla muutamassa tunnissa kaapattuja, koska mato leviäisi puhelimesta toiseen tekstiviestien välityksellä. Tai puhelimet voisivat kohta olla tuhottuja käyttökelvottomiksi. Tai aivan mitä vain. Mato leviäisi eteenpäin minkään estämättä tai pysäyttämättä ja saastuttaisi käytännössä kaikki älypuhelimet. Ainoastaan madon leviämistä voisi rajoittaa se, että tekstiviestikeskukset ylikuormittuisivat ympäri maailmaa. Hyvin, hyvin pelottavaa.
Surkuhupaisaa on, että kyseinen haavoittuvuus on ollut jo tiedossa 2 vuotta, eikä sitä ole viitsitty paikata.
Edellisestä tuleekin mieleeni, että onkohan paranoidista ajatella, että kyseessä on todellisuudessa taitavasti piiloitettu takaportti viranomaisia tai tiedustelupalveluita varten? Vai onko kyseessä aivan täysi sattuma? Juuri tämäntyyppinen tietoturva-aukko mahdollistaa matkapuhelimen ja sitä kautta koko sen lähiympäristönkin erinomaisen vakoilun hyvin helposti ja vaivattomasti, ilman, että käyttäjäparka voi suojautua oikeastaan mitenkään tai välttämättä edes huomaa mitään. Entä paljonko kyseistä haavoittuvuutta käytetään tällä hetkellä hyväksi? Emme voi tietää, mutta pahaa pelkään, että...
Olen itse kirjoittanut matkapuhelinten tietoturvauhkista aiemminkin blogissani, mm. täällä, sekä kotisivuillani mm. täällä.
Itse ymmärsin, että kyse on asetusviestistä eli tekstiviestin muodossa tulevasta erikoisviestistä. Asetusviestejä ei kuitenkaan käsittääkseni "ajeta" ennen kuin käyttäjä hyväksyy asetusten tallentamisen. Tämä lienee se syy, miksi valmistajat eivät pidä aukkoa kriittisenä eli käyttäjien ei pidä tallentaa epämääräisestä lähteestä tulevia tai ylipäätään mitään asetuksia, joita he eivät itse ole tilanneet (kuten esim. MMS-asetukset).
VastaaPoistaAukko siis on merkittävä, mutta jos käsitykseni on oikea, on väärin sanoa, että käyttäjä ei voi mitenkään siltä suojautua.
Käsittääkseni ainakin Symbianissa ko palveluviesti edellyttää käyttäjän hyväksymistä, joten onkohan tuo leviäminen vain teoreettinen uhka.
VastaaPoista"Tai puhelimet voisivat kohta olla tuhottuja käyttökelvottomiksi. Tai aivan mitä vain."
VastaaPoistaYksikään mato ei tuosta vain tuhoa puhelinta käyttökelvottomaksi.
"Mikäli pahantekijä lähettäisi tätä aukkoa hyödyntävän tekstiviestimadon matkaan, kaikki maailman älypuhelimet voisivat olla muutamassa tunnissa kaapattuja, koska mato leviäisi puhelimesta toiseen tekstiviestien välityksellä."
VastaaPoistaEi nyt sentään kaikkia älypuhelimia ihan tuosta vain voi kaapata pelkästään lähettämällä tekstiviesti. Useimmat älypuhelimet eivät avaa viestiä automaattisesti vaan varoittavat käyttäjää aivan selkeästi viestin vaarallisuudesta. Ongelma koskee lähinnä joitakin Windows-puhelimia.
Toki, jos viestin lähettäjäksi on väärennetty esim. vastaanottavan henkilön oma pankki, niin monet tietoteknisesti tyhmemmät ihmiset avaisivat sen varoituksista huolimatta.
"Surkuhupaisaa on, että kyseinen haavoittuvuus on ollut jo tiedossa 2 vuotta, eikä sitä ole viitsitty paikata."
Mitenkäs sen voisi paikata, kun haavoittuvuus koskee protokollaa? Täytyisi suunnitella kokonaan uus protokolla, jonka yhteensopivuus muiden olemassa olevien tekniikoiden kanssa on vähintäänkin epävarmaa.
Naurettavaa tosin, että vasta hiljattain saatiin valmiiksi erillinen ohjelma, joka estää hyökkäyksen kyseistä aukkoa hyödyntämällä.
> Asetusviestejä ei
VastaaPoista> kuitenkaan käsittääkseni
> "ajeta" ennen kuin
> käyttäjä hyväksyy
> asetusten tallentamisen.
Ilmeisesti joissain Symbianin puhelimissa näin on, Windowsin puhelimet puolestaan toimivat ilmeisesti toisin.
> Yksikään mato ei tuosta
> vain tuhoa puhelinta
> käyttökelvottomaksi.
Kyllä voi älypuhelimen tuhota aivan siinä missä tietokoneenkin.
Noihin IT-Seiskan juttuihin kannattaa suhtautua suurella varauksella. Kannattaa vähintään kaivaa se alkuperäinen lähde esille. Sitä ei (tietenkään) ole linkitetty IT-Seiskan uutiseen.
VastaaPoista