מתקפת השבוע: שיחות קוליות באמצעות LTE (ReVoLTE)

מהמתרגם ו-TL;DR

1. TL; DR:

   נראה כי VoLTE התברר כמוגן אפילו יותר גרוע מלקוחות ה-Wi-Fi הראשונים עם WEP. חישוב שגוי ארכיטקטוני בלעדי המאפשר לך להקטין מעט את התעבורה ולשחזר את המפתח. תקיפה אפשרית אם אתה קרוב למתקשר והוא מבצע שיחות לעתים קרובות.

2. תודה על הטיפ ו-TL;DR קלוקונין

3. חוקרים יצרו אפליקציה כדי לקבוע אם הספק שלך פגיע, קרא עוד כאן. שתף את התוצאות בתגובות, VoLTE מושבת באזור שלי ב-Megafon.

על המחבר

מתיו גרין.

אני קריפטוגרף ופרופסור באוניברסיטת ג'ונס הופקינס. עיצבתי וניתחתי מערכות קריפטוגרפיות המשמשות ברשתות אלחוטיות, מערכות תשלום ופלטפורמות אבטחת תוכן דיגיטלי. במחקר שלי, אני בוחן דרכים שונות להשתמש בקריפטוגרפיה כדי לשפר את פרטיות המשתמש.

עבר זמן מאז שכתבתי פורמט פוסט "התקפת השבוע", וזה הרגיז אותי. לא בגלל שלא היו התקפות, אלא בעיקר בגלל שלא הייתה התקפה על משהו בשימוש נרחב מספיק כדי להוציא אותי מחסום הכותבים.

אבל היום נתקלתי התקפה מעניינת נקרא ReVoLTE עבור פרוטוקולים שאני מתלהב במיוחד מהפריצה, כלומר פרוטוקולי LTE של רשת סלולרית (קולית). אני נרגש מהפרוטוקולים הספציפיים האלה - ומהמתקפה החדשה הזו - כי זה נדיר מאוד לראות פרוטוקולים והטמעות של רשת סלולרית בפועל נפרצים. בעיקר בגלל שהסטנדרטים האלה פותחו בחדרים מלאי עשן ותועדו במסמכים של 12000 עמודים שלא כל חוקר יכול להתמודד איתם. יתרה מכך, יישום התקפות אלו מאלץ את החוקרים להשתמש בפרוטוקולי רדיו מורכבים.

לפיכך, פגיעויות קריפטוגרפיות חמורות עלולות להתפשט ברחבי העולם, אולי רק כדי לנצל אותן על ידי ממשלות, לפני שכל חוקר ישים לב. אבל מדי פעם יש יוצאים מן הכלל, והפיגוע של היום הוא אחד מהם.

מחברים התקפותתורמים: דיוויד רופרכט, קתרינה קולס, תורסטן הולץ וכריסטינה פפר מאוניברסיטת רוהר בוכום ואוניברסיטת ניו יורק אבו דאבי. זוהי התקפה מצוינת להתקין מחדש את המפתח בפרוטוקול הקולי שבו אתה כנראה כבר משתמש (בהנחה שאתה מדור ישן שעדיין מבצע שיחות טלפון באמצעות טלפון סלולרי).

ראשית, טיול היסטורי קצר.

מה הם LTE ו-VoLTE?

הבסיס לתקני הטלפוניה הסלולרית המודרניים שלנו הונח באירופה עוד בשנות ה-80 על ידי התקן מערכת גלובלית למובייל (מערכת גלובלית לתקשורת סלולרית). GSM היה תקן הטלפוניה הסלולרית הדיגיטלית הגדול הראשון, שהציג מספר תכונות מהפכניות, כגון השימוש הצפנה כדי להגן על שיחות הטלפון. GSM מוקדם תוכנן בעיקר לתקשורת קולית, אם כי כסף יכול להיות להעביר נתונים אחרים.

ככל שהעברת הנתונים הפכה חשובה יותר בתקשורת סלולרית, פותחו תקני Long Term Evolution (LTE) כדי לייעל סוג זה של תקשורת. LTE מבוסס על קבוצה של תקנים ישנים יותר כמו GSM, EDGE и HSPA ונועד להגביר את מהירות חילופי הנתונים. יש הרבה מיתוג ו מטעה על ידי ייעודים שגוייםאבל ה-TL;DR הוא ש-LTE היא מערכת העברת נתונים המשמשת כגשר בין פרוטוקולי נתוני מנות ישנים יותר וטכנולוגיות נתונים סלולריות עתידיות 5G.

כמובן, ההיסטוריה אומרת לנו שברגע שיהיה מספיק רוחב פס (IP) זמין, מושגים כמו "קול" ו"נתונים" יתחילו להיטשטש. אותו הדבר חל על פרוטוקולים סלולריים מודרניים. כדי להפוך את המעבר הזה לחלק יותר, תקני LTE מגדירים Voice-over-LTE (VoLTE), שהוא תקן IP להעברת שיחות קוליות ישירות על מישור הנתונים של מערכת LTE, עוקף לחלוטין את החלק החיוג של הרשת הסלולרית. כמו בסטנדרט שיחות VoIP,ניתן לסיים שיחות VolTE על ידי מפעיל הסלולר ולהתחבר לרשת הטלפון הרגילה. או (כפי שנעשה נפוץ יותר ויותר) הם ניתן לנתב ישירות מלקוח סלולרי אחד לאחר, ואפילו בין ספקים שונים.

בדומה ל-VoIP רגיל, VoLTE מבוסס על שני פרוטוקולים פופולריים מבוססי IP: פרוטוקול תחילת הפעלה (פרוטוקול אתחול המושב - SIP) להגדרת שיחות ופרוטוקול הובלה בזמן אמת (פרוטוקול תחבורה בזמן אמת, שאמור להיקרא RTTP אך למעשה נקרא RTP) לעיבוד נתוני קול. VoLTE גם מוסיף כמה אופטימיזציות נוספות של רוחב הפס, כגון דחיסת כותרת.

אוקיי, מה זה קשור להצפנה?

LTE, כאילו GSM, יש סט סטנדרטי של פרוטוקולים קריפטוגרפיים להצפנת מנות כשהן מועברות באוויר. הם נועדו בעיקר להגן על הנתונים שלך בזמן שהם עוברים בין הטלפון (הנקרא ציוד המשתמש, או UE) לבין המגדל הסלולרי (או היכן שהספק שלך מחליט לסיים את החיבור). הסיבה לכך היא שספקי סלולר רואים במכשירי האזנה חיצוניים אויבים. ובכן, כמובן.

(עם זאת, העובדה שחיבורי VoLTE יכולים להתרחש ישירות בין לקוחות ברשתות ספקים שונות פירושה שלפרוטוקול VoLTE עצמו יש כמה פרוטוקולי הצפנה נוספים ואופציונליים שיכולים להתרחש בשכבות רשת גבוהות יותר. זה לא רלוונטי למאמר הנוכחי, למעט העובדה ש הם יכולים להרוס הכל (נדבר עליהם בקצרה בהמשך).

היסטורית, הצפנה ב-GSM הייתה נקודות תורפה רבות: רע צפנים, פרוטוקולים שבהם רק הטלפון אומת למגדל (כלומר, תוקף יכול להתחזות למגדל, וליצור "טריגון") וכולי. LTE תיקן רבים מהבאגים הברורים תוך שמירה על חלק גדול מאותו מבנה.

נתחיל בהצפנה עצמה. בהנחה שיצירת מפתח כבר התרחשה - ועל זה נדבר עוד דקה - אז כל חבילת נתונים מוצפנת באמצעות הצפנת זרמים באמצעות משהו שנקרא "EEA" (שבפועל ניתן ליישם באמצעות דברים כמו AES ). בעיקרו של דבר, מנגנון ההצפנה כאן הוא שק"לכלהלן:

אלגוריתם ההצפנה העיקרי עבור מנות VoLTE (מקור: ReVoLTE). EEA הוא צופן, "COUNT" הוא מונה של 32 סיביות, "BEARER" הוא מזהה הפעלה ייחודי המפריד בין חיבורי VoLTE לתעבורת אינטרנט רגילה. "DIRECTION" מציין לאיזה כיוון זורמת התנועה - מה-UE למגדל או להיפך.

מכיוון שניתן ליישם את אלגוריתם ההצפנה עצמו (EEA) באמצעות צופן חזק כמו AES, לא סביר שתהיה התקפה ישירה על הצופן עצמו כך קרה בימי GSM. עם זאת, ברור שגם עם צופן חזק, ערכת הצפנה זו היא דרך מצוינת לירות לעצמך ברגל.

בפרט: תקן LTE משתמש בצופן זרם (לא מאומת) עם מצב שיהיה פגיע ביותר אם נעשה אי פעם שימוש חוזר במונה - ובכניסות אחרות כמו "נושא" ו"כיוון". בעגה המודרנית, המונח למושג זה הוא "התקפת שימוש חוזר ללא שימוש", אבל הסיכונים הפוטנציאליים כאן אינם משהו מודרני. הם מפורסמים ועתיקים, עוד מימי הגלאם מטאל ואפילו דיסקו.

התקפות על שימוש חוזר לא פעם במצב CTR היו קיימות גם כאשר Poison נודע

למען ההגינות, תקני LTE אומרים, "נא לא לעשות שימוש חוזר במונים האלה." אבל תקני LTE הם באורך של כ-7000 עמודים, ובכל מקרה, זה כמו להתחנן לילדים לא לשחק עם אקדח. הם יהיו בהכרח, ודברים איומים יקרו. האקדח היורה במקרה זה הוא התקפת שימוש חוזר בזרם מפתח, שבה שתי הודעות סודיות שונות XOR אותם בתים של זרם מפתח. ידוע שזה יש השפעה הרסנית מאוד על סודיות התקשורת.

מה זה ReVoLTE?

מתקפת ReVoLTE מוכיחה שבפועל, עיצוב ההצפנה המאוד פגיע הזה מנוצל לרעה על ידי חומרה בעולם האמיתי. באופן ספציפי, המחברים מנתחים שיחות VoLTE אמיתיות שנעשו באמצעות ציוד מסחרי ומראים שהם יכולים להשתמש במשהו שנקרא "התקפת מפתח מחדש". (קרדיט רב על מציאת הבעיה הזו מגיע ל רייס ולו (Raza & Lu), שהיו הראשונים שהצביעו על הפגיעות הפוטנציאלית. אבל מחקר ReVoLTE הופך אותו למתקפה מעשית).

תן לי להראות לך בקצרה את מהות המתקפה, למרות שאתה צריך להסתכל ו מקור המסמך.

אפשר להניח שברגע ש-LTE יוצר חיבור לנתוני מנות, המשימה של Voice over LTE הופכת רק לעניין של ניתוב מנות קול על החיבור הזה יחד עם כל שאר התעבורה שלך. במילים אחרות, VoLTE יהיה מושג שקיים רק אחרי רמה 2 [דגמי OSI - משוער.]. זה לא לגמרי נכון.

למעשה, שכבת הקישור LTE מציגה את המושג "נושא". נושאים הם מזהי הפעלה נפרדים המפרידים בין סוגים שונים של תעבורת מנות. תעבורת אינטרנט רגילה (טוויטר וסנאפצ'ט שלך) עוברת דרך נושאת אחת. איתות SIP עבור VoIP עובר דרך אחרת, ומנות תעבורה קוליות מעובדות דרך שליש. אני לא בקיא מאוד במנגנוני רדיו LTE ובניתוב רשתות, אבל אני מאמין שזה נעשה כך מכיוון שרשתות LTE רוצות לאכוף מנגנוני QoS (איכות השירות) כך שזרמי מנות שונים יעובדו ברמות עדיפות שונות: כלומר. שלך מדרגה שנייה חיבורי TCP לפייסבוק עשויים להיות בעלי עדיפות נמוכה יותר מהשיחות הקוליות שלך בזמן אמת.

בדרך כלל זו לא בעיה, אבל ההשלכות הן כדלקמן. מפתחות להצפנת LTE נוצרים בנפרד בכל פעם ש"נושא" חדש מותקן. בעיקרון, זה אמור לקרות שוב בכל פעם שאתה מבצע שיחת טלפון חדשה. פעולה זו תגרום לשימוש במפתח הצפנה שונה עבור כל שיחה, מה שיבטל את האפשרות של שימוש חוזר באותו מפתח כדי להצפין שתי קבוצות שונות של מנות שיחות קוליות. ואכן, תקן LTE אומר משהו כמו "עליך להשתמש במפתח אחר בכל פעם שאתה מתקין נושא חדש כדי לטפל בשיחת טלפון חדשה." אבל זה לא אומר שזה באמת קורה.

למעשה, ביישומים מהחיים האמיתיים, שתי שיחות שונות המתרחשות בסמיכות זמנית קרובה ישתמשו באותו מפתח - למרות העובדה שנושאים חדשים בעלי אותו שם מוגדרים ביניהם. השינוי המעשי היחיד שמתרחש בין שיחות אלו הוא שמונה ההצפנה מאופס לאפס. בספרות קוראים לזה לפעמים מתקפת התקנה מחדש של מפתח. אפשר לטעון שזו בעצם טעות יישום, למרות שבמקרה זה נראה שהסיכונים נובעים במידה רבה מהתקן עצמו.

בפועל, מתקפה זו גורמת לשימוש חוזר בזרם מפתח, שבו התוקף יכול להשיג את החבילות המוצפנות $inline$C_1 = M_1 oplus KS$inline$ ו-$inline$C_2 = M_2 oplus KS$inline$, מה שמאפשר חישוב של $inline$ C_1 oplus C_2 = M_1 oplus M_2$inline$. אפילו יותר טוב, אם תוקף מכיר אחד מ-$inline$M_1$inline$ או $inline$M_2$inline$, אז הוא יכול לשחזר את השני באופן מיידי. זה נותן לו תמריץ חזק גלה אחד משני הרכיבים הלא מוצפנים.

זה מביא אותנו לתרחיש התקיפה השלם והיעיל ביותר. קחו בחשבון תוקף שיכול ליירט תעבורת רדיו בין טלפון יעד למגדל סלולרי, ושאיכשהו מתמזל מזלו להקליט שתי שיחות שונות, כשהשנייה מתרחשת מיד אחרי הראשונה. עכשיו תארו לעצמכם שהוא יכול איכשהו לנחש את התוכן הלא מוצפן של אחת השיחות. עם כאלה שלווה התוקף שלנו יכול לפענח במלואו את השיחה הראשונה באמצעות XOR פשוט בין שתי קבוצות המנות.

כמובן שלמזל אין שום קשר לזה. מכיוון שטלפונים נועדו לקבל שיחות, תוקף שיוכל לשמוע את השיחה הראשונה יוכל ליזום שיחה שנייה בדיוק ברגע שבו הראשונה מסתיימת. שיחה שנייה זו, אם נעשה שימוש חוזר באותו מפתח הצפנה עם איפוס המונה לאפס, תאפשר לשחזר את הנתונים הלא מוצפנים. יתרה מכך, מכיוון שהתוקף שלנו למעשה שולט בנתונים במהלך השיחה השנייה, הוא יכול לשחזר את תוכן השיחה הראשונה - הודות להרבה מיושמים ספציפיים דברים קטנים, משחק בצד שלו.

הנה תמונה של תוכנית התקיפה הכללית שלקוחה ממנה מסמך מקורי:

סקירת התקפה מ מסמך ReVoLTE. סכימה זו מניחה ששתי שיחות שונות מתבצעות באמצעות אותו מקש. התוקף שולט ברחרח הפסיבי (משמאל למעלה), וכן בטלפון שני, שבאמצעותו הוא יכול לבצע שיחה שנייה לטלפון של הקורבן.

אז האם ההתקפה באמת עובדת?

מצד אחד, זו באמת השאלה העיקרית למאמר על ReVoLTE. כל הרעיונות שלעיל מצוינים בתיאוריה, אבל הם משאירים הרבה שאלות. כמו:

1. האם ניתן (לחוקרים אקדמיים) ליירט חיבור VoLTE בפועל?
2. האם מערכות LTE אמיתיות אכן מפתחות מחדש?
3. האם אתה באמת יכול ליזום שיחה שנייה במהירות ובאמינות מספיק כדי שהטלפון והמגדל יעשו שימוש חוזר במפתח?
4. גם אם מערכות מפתחות מחדש, האם אתה באמת יכול לדעת את התוכן הלא מוצפן של השיחה השנייה - בהתחשב בכך שדברים כמו קודקים והמרת קידוד יכולים לשנות לחלוטין את התוכן (ביט אחר ביט) של אותה שיחה שנייה, גם אם יש לך גישה ל"סיביות "בא מהטלפון המתקפה שלך?

עבודתה של ReVoLTE עונה בחיוב על חלק מהשאלות הללו. המחברים משתמשים בסניפר זרם רדיו מסחרי הניתן להגדרה מחדש של תוכנה בשם משקוף אוויר ליירט שיחת VoLTE מהצד של ה-downlink. (אני חושב שעצם ההתמודדות עם התוכנה וקבלת מושג גס על איך היא עובדת לקח חודשים מהחיים של הסטודנטים העניים לתואר שני - מה שאופייני לסוג זה של מחקר אקדמי).

החוקרים גילו שכדי ששימוש חוזר במפתח יעבוד, השיחה השנייה צריכה להתרחש מהר מספיק אחרי שהראשונה הסתיימה, אבל לא מהר מדי - כעשר שניות עבור המפעילים שאיתם התנסו. למרבה המזל, זה לא משנה אם המשתמש עונה לשיחה תוך זמן זה - ה"צלצול" כלומר. חיבור ה-SIP עצמו מאלץ את המפעיל לעשות שימוש חוזר באותו מפתח.

לפיכך, רבות מהבעיות הגרועות ביותר סובבות סביב בעיה (4) - קבלת סיביות מהתוכן הלא מוצפן של שיחה שיזם תוקף. הסיבה לכך היא שהרבה יכול לקרות לתוכן שלך בזמן שהוא עובר מהטלפון של התוקף לטלפון של הקורבן דרך הרשת הסלולרית. לדוגמה, טריקים מלוכלכים כמו קידוד מחדש של זרם אודיו מקודד, שמשאיר את הצליל זהה, אבל משנה לחלוטין את הייצוג הבינארי שלו. רשתות LTE משתמשות גם בדחיסת כותרת RTP, שיכולה לשנות באופן משמעותי חלק גדול מחבילת ה-RTP.

לבסוף, החבילות שנשלחות על ידי התוקף צריכות להיות בערך בקנה אחד עם החבילות שנשלחו במהלך שיחת הטלפון הראשונה. זה יכול להיות בעייתי מכיוון ששינוי השתיקה במהלך שיחת טלפון מביא להודעות קצרות יותר (המכונה גם רעש נוחות) שאולי לא יתאימו לשיחה המקורית.

סעיף "מתקפה בעולם האמיתי" שווה לקרוא בפירוט. הוא מטפל ברבות מהנושאים שלעיל - במיוחד, המחברים גילו שחלק מהקודקים אינם מקודדים מחדש, וכי ניתן לשחזר כ-89% מהייצוג הבינארי של שיחת היעד. זה נכון לגבי לפחות שני מפעילים אירופאים שנבדקו.

מדובר בשיעור הצלחה גבוה באופן מפתיע, ולמען האמת הרבה יותר ממה שציפיתי כשהתחלתי לעבוד על המסמך הזה.

אז מה אנחנו יכולים לעשות כדי לתקן את זה?

התשובה המיידית לשאלה זו היא פשוטה מאוד: מכיוון שמהות הפגיעות היא התקפת שימוש חוזר (התקנה מחדש), פשוט תקן את הבעיה. ודא שמקבלים מפתח חדש עבור כל שיחת טלפון, ולעולם אל תאפשר למונה המנות לאפס את המונה בחזרה לאפס באמצעות אותו מקש. הבעיה נפתרה!

או שלא. זה ידרוש שדרוג ציוד רב, ולמען האמת, תיקון כזה כשלעצמו אינו סופר אמין. זה יהיה נחמד אם תקנים יוכלו למצוא דרך מאובטחת יותר ליישם את מצבי ההצפנה שלהם, שאינה כברירת מחדל פגיעה קטסטרופלית לבעיות שימוש חוזר במפתחות כאלה.

אפשרות אפשרית אחת היא להשתמש מצבי הצפנה שבהם שימוש לרעה ב-nonce אינו מוביל לתוצאות קטסטרופליות. זה אולי יקר מדי עבור חלק מהחומרה הנוכחית, אבל זה בהחלט תחום שמעצבים צריכים לחשוב עליו בעתיד, במיוחד כשתקני 5G עומדים להשתלט על העולם.

מחקר חדש זה מעלה גם את השאלה הכללית מדוע אותן התקפות ארורות ממשיכות לצוץ בתקן אחד אחרי השני, שרבים מהם משתמשים בעיצובים ובפרוטוקולים דומים מאוד. כאשר אתה מתמודד עם הבעיה של התקנה מחדש של אותו מפתח על פני פרוטוקולים רבים בשימוש נרחב כמו WPA2, האם אתה לא חושב שהגיע הזמן להפוך את המפרטים ונהלי הבדיקה שלך לחזקים יותר? הפסיקו להתייחס למיישמי התקנים כשותפים מתחשבים שקשובים לאזהרות שלכם. התייחס אליהם כמו יריבים (לא מכוונים) שבאופן בלתי נמנע הולכים לטעות בדברים.

או, לחילופין, אנחנו יכולים לעשות מה שחברות כמו פייסבוק ואפל עושות יותר ויותר: לגרום להצפנת שיחות קוליות להתרחש ברמה גבוהה יותר של מחסנית הרשת של OSI, מבלי להסתמך על יצרני ציוד סלולרי. נוכל אפילו לדחוף להצפנה מקצה לקצה של שיחות קוליות, כמו ש-WhatsApp עושה עם Signal ו-FaceTime, בהנחה שממשלת ארה"ב פשוט תפסיק להכשיל אותנו. ואז (למעט כמה מטא נתונים) רבות מהבעיות הללו פשוט ייעלמו. פתרון זה רלוונטי במיוחד בעולם שבו אפילו ממשלות לא בטוחות אם הן סומכות על ספקי הציוד שלהן.

או שאנחנו יכולים פשוט לעשות מה שהילדים שלנו כבר עשו: להפסיק לענות לשיחות הקוליות המעצבנות האלה.

מקור: www.habr.com