Keadaan menyedihkan dengan keselamatan Internet satelit

Pada persidangan yang lalu Black Hat telah dibentangkan lapor, khusus untuk masalah keselamatan dalam sistem capaian Internet satelit. Pengarang laporan itu, menggunakan penerima DVB yang murah, menunjukkan kemungkinan memintas lalu lintas Internet yang dihantar melalui saluran komunikasi satelit.

Pelanggan boleh menyambung kepada pembekal satelit melalui saluran asimetri atau simetri. Dalam kes saluran tidak simetri, trafik keluar daripada pelanggan dihantar melalui pembekal darat dan diterima melalui satelit. Dalam pautan simetri, trafik keluar dan masuk melalui satelit. Paket yang dialamatkan kepada pelanggan dihantar dari satelit menggunakan penghantaran siaran yang merangkumi trafik daripada pelanggan yang berbeza, tanpa mengira lokasi geografi mereka. Tidak sukar untuk memintas trafik sedemikian, tetapi memintas trafik yang berasal dari pelanggan melalui satelit tidak begitu mudah.

Untuk menukar data antara satelit dan pembekal, penghantaran terfokus biasanya digunakan, yang memerlukan penyerang berada beberapa puluh kilometer dari infrastruktur penyedia, dan juga menggunakan julat frekuensi dan format pengekodan yang berbeza, analisis yang memerlukan peralatan pembekal yang mahal. . Tetapi walaupun pembekal menggunakan Ku-band biasa, sebagai peraturan, frekuensi untuk arah yang berbeza adalah berbeza, yang memerlukan penggunaan hidangan satelit kedua dan menyelesaikan masalah penyegerakan aliran untuk pemintasan di kedua-dua arah.

Diandaikan bahawa untuk mengatur pemintasan komunikasi satelit, peralatan khas diperlukan, yang menelan belanja puluhan ribu dolar, tetapi sebenarnya serangan sedemikian dilakukan menggunakan DVB-S biasa penala untuk televisyen satelit (TBS 6983/6903) dan antena parabola. Jumlah kos kit serangan adalah lebih kurang $300. Untuk menghalakan antena ke satelit, maklumat yang tersedia secara umum tentang lokasi satelit telah digunakan, dan untuk mengesan saluran komunikasi, aplikasi standard yang direka untuk mencari saluran TV satelit telah digunakan. Antena dihalakan ke satelit dan proses pengimbasan dimulakan Ku-band.

Saluran dikenal pasti dengan mengenal pasti puncak dalam spektrum frekuensi radio yang ketara terhadap bunyi latar belakang. Selepas mengenal pasti puncak, kad DVB telah dikonfigurasikan untuk mentafsir dan merekod isyarat sebagai siaran video digital biasa untuk televisyen satelit. Dengan bantuan pemintasan ujian, sifat trafik ditentukan dan data Internet diasingkan daripada televisyen digital (carian cetek digunakan dalam pembuangan yang dikeluarkan oleh kad DVB menggunakan topeng "HTTP", jika didapati, ia dianggap sebagai saluran dengan data Internet telah ditemui).

Kajian trafik menunjukkan bahawa semua penyedia Internet satelit yang dianalisis tidak menggunakan penyulitan secara lalai, yang membolehkan penyadapan trafik tanpa halangan. Perlu diperhatikan bahawa amaran tentang masalah keselamatan Internet satelit diterbitkan sepuluh tahun yang lalu, tetapi sejak itu keadaan tidak berubah, walaupun pengenalan kaedah penghantaran data baru. Peralihan kepada protokol GSE (Generic Stream Encapsulation) baharu untuk merangkum trafik Internet dan penggunaan sistem modulasi kompleks seperti modulasi amplitud 32 dimensi dan APSK (Phase Shift Keying) tidak menjadikan serangan lebih sukar, tetapi kos peralatan pemintasan kini telah menurun daripada $50000 sehingga $300.

Kelemahan ketara apabila menghantar data melalui saluran komunikasi satelit ialah kelewatan yang sangat besar dalam penghantaran paket (~700 ms), iaitu berpuluh kali ganda lebih besar daripada kelewatan semasa menghantar paket melalui saluran komunikasi darat. Ciri ini mempunyai dua kesan negatif yang ketara terhadap keselamatan: kekurangan penggunaan VPN yang meluas dan kekurangan perlindungan terhadap penipuan (penggantian paket). Adalah diperhatikan bahawa penggunaan VPN memperlahankan penghantaran sebanyak kira-kira 90%, yang, dengan mengambil kira kelewatan besar itu sendiri, menjadikan VPN hampir tidak boleh digunakan dengan saluran satelit.

Kerentanan terhadap penipuan dijelaskan oleh fakta bahawa penyerang boleh mendengar sepenuhnya trafik yang datang kepada mangsa, yang memungkinkan untuk menentukan nombor turutan dalam paket TCP yang mengenal pasti sambungan. Apabila menghantar paket palsu melalui saluran darat, ia hampir dijamin akan tiba sebelum paket sebenar dihantar melalui saluran satelit dengan kelewatan yang lama dan tambahan pula melalui pembekal transit.

Sasaran paling mudah untuk serangan ke atas pengguna rangkaian satelit ialah trafik DNS, HTTP tidak disulitkan dan e-mel, yang biasanya digunakan oleh pelanggan yang tidak disulitkan. Untuk DNS, adalah mudah untuk mengatur penghantaran respons DNS rekaan yang memautkan domain ke pelayan penyerang (penyerang boleh menghasilkan respons rekaan serta-merta selepas mendengar permintaan dalam trafik, manakala permintaan sebenar masih mesti melalui perkhidmatan penyedia trafik satelit). Analisis trafik e-mel membolehkan anda memintas maklumat sulit, sebagai contoh, anda boleh memulakan proses pemulihan kata laluan di tapak web dan mengintip trafik mesej yang dihantar melalui e-mel dengan kod pengesahan untuk operasi.

Semasa percubaan, kira-kira 4 TB data yang dihantar oleh 18 satelit telah dipintas. Konfigurasi yang digunakan dalam situasi tertentu tidak memberikan pemintasan sambungan yang boleh dipercayai kerana nisbah isyarat-ke-bunyi yang tinggi dan penerimaan paket yang tidak lengkap, tetapi maklumat yang dikumpul adalah mencukupi untuk berkompromi. Beberapa contoh perkara yang ditemui dalam data yang dipintas:

• Maklumat navigasi dan data avionik lain yang dihantar ke pesawat telah dipintas. Maklumat ini bukan sahaja dihantar tanpa penyulitan, tetapi juga dalam saluran yang sama dengan trafik rangkaian on-board umum, di mana penumpang menghantar mel dan menyemak imbas laman web.
• Kuki sesi pentadbir penjana angin di selatan Perancis, yang menyambung kepada sistem kawalan tanpa penyulitan, telah dipintas.
• Pertukaran maklumat mengenai masalah teknikal pada kapal tangki minyak Mesir telah dipintas. Sebagai tambahan kepada maklumat bahawa kapal itu tidak akan dapat pergi ke laut selama kira-kira sebulan, maklumat diterima mengenai nama dan nombor pasport jurutera yang bertanggungjawab untuk menyelesaikan masalah itu.
• Kapal persiaran itu menghantar maklumat sensitif tentang rangkaian tempatan berasaskan Windowsnya, termasuk data sambungan yang disimpan dalam LDAP.
• Peguam Sepanyol menghantar surat kepada pelanggan dengan butiran kes yang akan datang.
• Semasa pemintasan lalu lintas ke kapal layar seorang jutawan Yunani, kata laluan pemulihan akaun yang dihantar melalui e-mel dalam perkhidmatan Microsoft telah dipintas.

Sumber: opennet.ru