Напад на неделата: гласовни повици преку LTE (ReVoLTE)

Од преведувачот и TL;DR

1. TL; ДР:

   Се чини дека VoLTE се покажа дека е уште полошо заштитен од првите Wi-Fi клиенти со WEP. Исклучиво архитектонска погрешна пресметка која ви овозможува малку да го XOR на сообраќајот и да го вратите клучот. Можен е напад ако сте блиску до повикувачот и тој често се јавува.

2. Ви благодариме за советот и TL;DR Клуконин

3. Истражувачите направија апликација за да утврдат дали вашиот оператор е ранлив, прочитајте повеќе тука. Споделете ги резултатите во коментарите, VoLTE е оневозможен во мојот регион на Мегафон.

За авторот

Метју Грин.

Јас сум криптограф и професор на Универзитетот Џон Хопкинс. Дизајнирав и анализирав криптографски системи што се користат во безжични мрежи, платежни системи и платформи за безбедност на дигитална содржина. Во моето истражување, разгледувам различни начини на користење криптографија за подобрување на приватноста на корисниците.

Помина некое време откако напишав формат на пост „напад на неделата“, и ме вознемири. Не затоа што немаше напади, туку најмногу затоа што немаше напад на нешто што е доволно широко користено за да ме извади од писателскиот блок.

Но, денес наидов интересен напад наречен ReVoLTE за протоколи за кои сум особено возбуден поради хакирањето, имено протоколи за мобилна мрежа (глас преку) LTE. Возбуден сум поради овие конкретни протоколи - и овој нов напад - затоа што е многу ретко да се видат вистинските протоколи и имплементации на мобилната мрежа кои се хакирани. Главно затоа што овие стандарди беа развиени во простории исполнети со чад и документирани во документи од 12000 страници со кои не може да се справи секој истражувач. Покрај тоа, спроведувањето на овие напади ги принудува истражувачите да користат сложени радио протоколи.

Така, сериозните криптографски пропусти би можеле да се шират низ целиот свет, можеби само за да бидат искористени од владите, пред некој истражувач да забележи. Но, одвреме-навреме има исклучоци, а еден од нив е и денешниот напад.

Автори нападиСоработници: Дејвид Рупрехт, Катарина Колс, Торстен Холц и Кристина Попер од Универзитетот Рур во Бохум и Универзитетот во Њујорк во Абу Даби. Ова е одличен напад за повторно инсталирање на клучот во гласовниот протокол што веројатно веќе го користите (под претпоставка дека сте од постара генерација која сè уште прави телефонски повици користејќи мобилен телефон).

За почеток, кратка историска екскурзија.

Што се LTE и VoLTE?

Основата на нашите современи стандарди за мобилна телефонија беше поставена во Европа уште во 80-тите години според стандардот Глобален систем за мобилни телефони (Глобален систем за мобилни комуникации). GSM беше првиот голем стандард за дигитална мобилна телефонија, кој воведе голем број револуционерни карактеристики, како што е употребата шифрирање за заштита на телефонските повици. Раниот GSM беше дизајниран првенствено за гласовни комуникации, иако парите можеа да бидат пренесува други податоци.

Како што преносот на податоци стана поважен во мобилната комуникација, стандардите за долгорочна еволуција (LTE) беа развиени за да се насочи овој тип на комуникација. LTE се базира на група постари стандарди како што е GSM, EDGE и HSPA и е дизајниран да ја зголеми брзината на размена на податоци. Има многу брендирање и доведува во заблуда со неточни ознакино TL;DR е дека LTE е систем за пренос на податоци кој служи како мост помеѓу постарите протоколи за пакетни податоци и идните технологии за мобилни податоци 5G.

Се разбира, историјата ни кажува дека штом ќе има доволно (IP) пропусен опсег на располагање, концептите како „глас“ и „податоци“ ќе почнат да се заматуваат. Истото важи и за современите мобилни протоколи. За да се направи оваа транзиција помазна, LTE стандардите дефинираат Voice-over-LTE (VoLTE), кој е IP стандард за пренесување гласовни повици директно преку податочната рамнина на системот LTE, заобиколувајќи го целосно делот за dial-up од мобилната мрежа. Како и кај стандардните VoIP повици,Повиците на VoLTE може да се прекинат од мобилниот оператор и да се поврзат на редовната телефонска мрежа. Или (како што станува се повообичаено) тие може да се рутира директно од еден мобилен клиент до друг, па дури и помеѓу различни провајдери.

Како и стандардниот VoIP, VoLTE се базира на два популарни протоколи базирани на IP: Протокол за иницирање сесија (Протокол за иницијација на сесија – SIP) за поставување повици и протокол за транспорт во реално време (Протокол за транспорт во реално време, кој треба да се нарекува RTTP, но всушност се нарекува RTP) за обработка на гласовни податоци. VoLTE, исто така, додава некои дополнителни оптимизации на пропусниот опсег, како што е компресија на заглавието.

Добро, каква врска има ова со шифрирањето?

LTE, како GSM, има стандарден сет на криптографски протоколи за шифрирање на пакети додека се пренесуваат преку воздух. Тие главно се дизајнирани да ги заштитат вашите податоци додека се движат помеѓу телефонот (наречен корисничка опрема или UE) и мобилната кула (или каде и да одлучи вашиот провајдер да ја прекине врската). Тоа е затоа што мобилните провајдери ги гледаат надворешните уреди за прислушување како непријатели. Па, се разбира.

(Сепак, фактот што VoLTE конекциите може да се појават директно помеѓу клиентите на различни мрежи на провајдерите значи дека самиот VoLTE протокол има некои дополнителни и опционални протоколи за шифрирање кои можат да се појават на повисоките мрежни слоеви. Ова не е релевантно за тековната статија, освен фактот дека можат да уништат сè (за нив накратко ќе зборуваме следно).

Историски гледано, шифрирањето во GSM било многу слаби точки: лошо шифри, протоколи во кои само телефонот бил автентификуван на кулата (што значи дека напаѓачот може да ја имитира кулата, генерирајќи "Стрингреј") и така натаму. LTE коригираше многу од очигледните грешки додека одржуваше голем дел од истата структура.

Да почнеме со самото шифрирање. Претпоставувајќи дека создавањето на клучот веќе се случило - и ќе разговараме за тоа за една минута - тогаш секој пакет податоци се шифрира со помош на шифрирање на поток користејќи нешто наречено „EEA“ (што во пракса може да се имплементира со користење на работи како AES ). Во суштина, механизмот за шифрирање овде е CTRкако што е подолу:

Главниот алгоритам за шифрирање за VoLTE пакети (извор: ReVoLTE). EEA е шифра, „COUNT“ е 32-битен бројач, „BEARER“ е уникатен идентификатор на сесии што ги одделува VoLTE конекциите од редовниот интернет сообраќај. „DIRECTION“ означува во која насока се одвива сообраќајот - од UE до кулата или обратно.

Бидејќи самиот алгоритам за шифрирање (EEA) може да се имплементира со помош на силна шифра како AES, малку е веројатно дека ќе има директен напад на самата шифра како овој се случи во деновите на GSM. Сепак, јасно е дека дури и со силна шифра, оваа шема за шифрирање е одличен начин да си пукате во нога.

Конкретно: LTE стандардот користи (неавтентификувана) шифра за проследување со режим кој ќе биде исклучително ранлив ако бројачот - и другите влезови како што се „носител“ и „насочување“ - се користат повторно. Во современиот јазик, терминот за овој концепт е „напад без повторна употреба“, но потенцијалните ризици овде не се нешто модерно. Тие се познати и антички, кои датираат од времето на глам метал, па дури и диско.

Нападите на ненадејна повторна употреба во режимот CTR постоеја дури и кога Poison стана познат

Да бидеме фер, стандардите за LTE велат: „Ве молиме, немојте повторно да ги користите овие броила“. Но, LTE стандардите се долги околу 7000 страници и во секој случај, тоа е како да ги молиш децата да не си играат со пиштол. Тие неизбежно ќе го направат тоа и ќе се случат страшни работи. Пиштолот за пукање во овој случај е напад за повторна употреба на тастатурата, во кој две различни доверливи пораки XOR ги испраќаат истите бајти на тастатурата. Познато е дека ова има многу деструктивно влијание врз доверливоста на комуникациите.

Што е ReVoLTE?

Нападот ReVoLTE покажува дека, во пракса, овој многу ранлив дизајн за шифрирање се злоупотребува од реалниот хардвер. Поточно, авторите ги анализираат вистинските VoLTE повици направени со помош на комерцијална опрема и покажуваат дека можат да користат нешто што се нарекува „напад за повторно инсталирање на клучот“. (Голема заслуга за наоѓањето на овој проблем оди на Рејсе и Лу (Раза и Лу), кои први ја истакнаа потенцијалната ранливост. Но, истражувањето на ReVoLTE го претвора во практичен напад).

Дозволете ми да ви ја покажам накратко суштината на нападот, иако треба да погледнете и изворен документ.

Може да се претпостави дека штом LTE воспостави пакет дата конекција, задачата на глас преку LTE станува само прашање на рутирање на гласовни пакети преку таа врска заедно со целиот останат ваш сообраќај. Со други зборови, VoLTE ќе биде концепт што постои само одново 2-ро ниво [OSI модели - прибл.]. Ова не е сосема точно.

Всушност, слојот за врска LTE го воведува концептот на „носител“. Носители се посебни идентификатори на сесии кои одвојуваат различни типови на пакет сообраќај. Редовниот интернет сообраќај (вашиот Твитер и Snapchat) оди преку еден носител. SIP сигнализацијата за VoIP поминува низ друга, а пакетите со гласовниот сообраќај се обработуваат преку трет. Не сум многу запознаен со LTE радио и механизмите за рутирање на мрежата, но верувам дека тоа е направено на овој начин затоа што LTE мрежите сакаат да ги наметнат механизмите QoS (квалитет на услугата) така што различните пакети преноси се обработуваат на различни нивоа на приоритет: т.е. твое второстепена TCP-врските со Facebook може да имаат помал приоритет од вашите гласовни повици во реално време.

Ова генерално не е проблем, но последиците се како што следува. Копчињата за LTE шифрирање се креираат посебно секој пат кога ќе се инсталира нов „носител“. Во основа, ова треба да се повторува секој пат кога ќе остварите нов телефонски повик. Ова ќе резултира со користење на различен клуч за шифрирање за секој повик, со што ќе се елиминира можноста за повторно користење на истиот клуч за шифрирање на два различни групи пакети за гласовни повици. Навистина, стандардот LTE вели нешто како „треба да користите различен клуч секој пат кога ќе инсталирате нов носител за да се справите со нов телефонски повик“. Но, тоа не значи дека тоа навистина се случува.

Всушност, во реалните имплементации, два различни повици што се случуваат во непосредна временска близина ќе го користат истиот клуч - и покрај фактот што меѓу нив се конфигурирани нови носители со исто име. Единствената практична промена што се случува помеѓу овие повици е тоа што бројачот за шифрирање се ресетира на нула. Во литературата ова понекогаш се нарекува напад за повторно инсталирање на клучот. Може да се тврди дека ова е во суштина грешка во имплементацијата, иако во овој случај ризиците се чини дека во голема мера произлегуваат од самиот стандард.

Во пракса, овој напад резултира со повторна употреба на протокот на клучот, каде што напаѓачот може да ги добие шифрираните пакети $inline$C_1 = M_1 oplus KS$inline$ и $inline$C_2 = M_2 oplus KS$inline$, овозможувајќи пресметување на $inline$ C_1 oplus C_2 = M_1 oplus M_2$inline$. Уште подобро, ако напаѓачот знае еден од $inline$M_1$inline$ или $inline$M_2$inline$, тогаш тој може веднаш да го врати другиот. Ова му дава силен поттик дознајте една од двете нешифрирани компоненти.

Ова нè доведува до целосно и најефективно сценарио за напад. Размислете за напаѓач кој може да го пресретне радио сообраќајот помеѓу целниот телефон и мобилната кула, и кој на некој начин ќе има доволно среќа да сними два различни повици, а вториот се случува веднаш по првиот. Сега замислете дека може некако да ја погоди нешифрираната содржина на еден од повиците. Со такви смирение нашиот напаѓач може целосно да го дешифрира првиот повик користејќи едноставен XOR помеѓу двете групи пакети.

Се разбира, среќата нема никаква врска со тоа. Бидејќи телефоните се дизајнирани да примаат повици, напаѓачот кој може да го слушне првиот повик ќе може да иницира втор повик точно во моментот кога првиот ќе заврши. Овој втор повик, доколку истиот клуч за шифрирање се користи повторно со ресетирање на бројачот на нула, ќе овозможи враќање на нешифрираните податоци. Освен тоа, бидејќи нашиот напаѓач всушност ги контролира податоците за време на вториот повик, тој може да ја врати содржината на првиот повик - благодарение на многу специјално имплементирани мали нешта, играјќи на негова страна.

Еве слика од генералниот план за напад преземена од оригинален документ:

Преглед на напад од ReVoLTE документ. Оваа шема претпоставува дека два различни повици се направени со користење на истиот клуч. Напаѓачот го контролира пасивниот трагач (горе лево), како и втор телефон, со кој може да оствари втор повик до телефонот на жртвата.

Значи, дали нападот навистина функционира?

Од една страна, ова е навистина главното прашање за написот за ReVoLTE. Сите горенаведени идеи се одлични теоретски, но оставаат многу прашања. Како:

1. Дали е можно (за академски истражувачи) да се пресретне VoLTE врска?
2. Дали вистинските LTE-системи всушност се преклучуваат?
3. Дали навистина можете да иницирате втор повик доволно брзо и сигурно за телефонот и кулата повторно да го користат клучот?
4. Дури и ако системите повторно се клучат, дали всушност можете да ја знаете нешифрираната содржина на вториот повик - со оглед на тоа што работите како кодеци и транскодирање можат целосно да ја променат (бит-по-бит) содржината на тој втор повик, дури и ако имате пристап до „битовите „Доаѓате од вашиот телефон за напад?

Работата на ReVoLTE потврдно одговара на некои од овие прашања. Авторите користат комерцијален софтверски реконфигуриран радио трагач наречен Воздушен простор за пресретнување на VoLTE повик од страната на долната врска. (Мислам дека само запознавањето со софтверот и добивањето груба идеја за тоа како функционира, им одземаа месеци на животот на сиромашните дипломирани студенти - што е типично за овој вид на академско истражување).

Истражувачите откриле дека за да функционира повторната употреба на клучот, вториот повик морал да се случи доволно брзо по завршувањето на првиот, но не премногу брзо - околу десет секунди за операторите со кои експериментирале. За среќа, не е важно дали корисникот ќе одговори на повикот во ова време - „прстенот“ т.е. Самата SIP конекција го принудува операторот повторно да го користи истиот клуч.

Така, многу од најлошите проблеми се вртат околу проблемот (4) - примање делови од нешифрираната содржина на повикот инициран од напаѓач. Тоа е затоа што може многу да се случи со вашата содржина додека патува од телефонот на напаѓачот до телефонот на жртвата преку мобилната мрежа. На пример, такви валкани трикови како што е повторно кодирање на кодиран аудио поток, кој го остава звукот ист, но целосно ја менува неговата бинарна репрезентација. LTE мрежите користат и RTP компресија на заглавието, што може значително да промени голем дел од RTP пакетот.

Конечно, пакетите испратени од напаѓачот треба да бидат приближно во согласност со пакетите испратени при првиот телефонски повик. Ова може да биде проблематично бидејќи менувањето на тишината за време на телефонски повик резултира со пократки пораки (наречена бучава за удобност) кои можеби не се вклопуваат добро со оригиналниот повик.

Дел „напад во реалниот свет“ Вреди да се прочита во детали. Тој се однесува на многу од горенаведените прашања - особено, авторите открија дека некои кодеци не се повторно кодирани и дека приближно 89% од бинарната репрезентација на целниот повик може да се врати. Ова важи за најмалку два европски оператори кои беа тестирани.

Ова е изненадувачки висока стапка на успех, и искрено многу повисока отколку што очекував кога почнав да работам на овој документ.

Значи, што можеме да направиме за да го поправиме?

Непосредниот одговор на ова прашање е многу едноставен: бидејќи суштината на ранливоста е клучен напад за повторна употреба (повторна инсталација), едноставно поправете го проблемот. Проверете дали се добива нов клуч за секој телефонски повик и никогаш не дозволувајте бројачот на пакети да го врати бројачот на нула користејќи го истото копче. Проблемот е решен!

Или можеби не. Ова ќе бара надградба на многу опрема и, искрено кажано, таквата поправка сама по себе не е суперсигурна. Би било убаво доколку стандардите можат да најдат посигурен начин за имплементација на нивните режими на шифрирање што по дифолт не е катастрофално ранлив на такви проблеми со повторната употреба на клучните.

Една можна опција е да се користи режими на шифрирање во кои злоупотребата на нонс не води до катастрофални последици. Ова може да биде премногу скапо за некои сегашни хардвери, но секако е област за која дизајнерите треба да размислуваат во иднина, особено кога стандардите за 5G ќе го преземат светот.

Оваа нова студија го покренува и општото прашање зошто истите проклети напади постојано се појавуваат во еден стандард по друг, од кои многу користат многу слични дизајни и протоколи. Кога ќе се соочите со проблемот со повторно инсталирање на истиот клуч на повеќе широко користени протоколи како WPA2, зарем не мислите дека можеби е време да ги направите вашите спецификации и процедурите за тестирање поцврсти? Престанете да ги третирате имплементаторите на стандарди како внимателни партнери кои внимаваат на вашите предупредувања. Однесувајте се кон нив како (ненамерни) противници кои неизбежно ќе ги сфатат работите погрешно.

Или, алтернативно, можеме да го направиме она што компаниите како Facebook и Apple сè повеќе го прават: да направиме шифрирање на гласовни повици да се случи на повисоко ниво на мрежниот куп на OSI, без да се потпираме на производителите на мобилна опрема. Можеме дури и да притискаме за шифрирање од крај до крај на гласовните повици, како што прави WhatsApp со Signal и FaceTime, под претпоставка дека владата на САД само ќе престане не сопат. Тогаш (со исклучок на некои метаподатоци) многу од овие проблеми едноставно ќе исчезнат. Ова решение е особено релевантно во свет каде дури и владите не се сигурни дали им веруваат на нивните добавувачи на опрема.

Или едноставно можеме да го направиме она што нашите деца веќе го направиле: престанете да одговарате на тие досадни гласовни повици.

Извор: www.habr.com