Hoofdcategorieën

T-Mobile gaat ssh-hack iPhones onmogelijk maken

Door Arnoud Wokke, woensdag 4 november 2009 14:33, views: 15.202

T-Mobile gaat op korte termijn de ssh-hack, waarmee derden gejailbreakte iPhones met ssh op afstand over kunnen nemen, onmogelijk maken. Twee hackers kregen afgelopen dagen toegang tot de iPhones van tientallen T-Mobile-klanten.

Op welke manier T-Mobile de toegang tot ssh onmogelijk maakt, is nog onduidelijk. "We zijn hier achter de schermen druk mee bezig", zegt T-Mobile-woordvoerster Priscilla Tomasoa tegen Tweakers.net. "Nu is het overnemen van iPhones via ons netwerk nog mogelijk, maar op korte termijn moet dat niet meer kunnen." Op welke termijn dat gaat gebeuren is nog niet duidelijk, maar dat zal 'eerder een kwestie van weken dan van maanden' zijn, aldus Tomasoa.

Overigens sluit T-Mobile op voorhand al uit dat poort 22 dichtgezet zal worden. Dit zou volgens de provider mogelijk zakelijke klanten kunnen treffen die 'wel op correcte wijze gebruikmaken van die poort'. T-Mobile zegt niet verantwoordelijk te zijn voor gejailbreakte iPhones, omdat ze zonder jailbreak worden verkocht. "Het blijft de verantwoordelijkheid van onze klanten als ze hun iPhone kwetsbaar maken. Wij gaan hier iets aan doen, omdat we op die manier onze klanten kunnen beschermen."

Afgelopen weekeinde kraakte PureInifinity92 enkele tientallen iPhones via die poort 22 van het 3g-netwerk van T-Mobile. Via ssh kon hij zich toegang verschaffen tot alle bestanden op het toestel. Een andere hacker herhaalde dat trucje dinsdag. Hacker McFliatn noemde het sluiten van poort 22 als nadrukkelijke wens, omdat het op deze manier te makkelijk was om op iPhones in te breken."Natuurlijk leg ik het probleem niet bij T-Mobile. Dit is natuurlijk het probleem van de jailbreaker zelf, maar ik denk dat het makkelijker is om T-Mobile de boel dicht te laten gooien."

Ook PureInifinity92 vindt het een goede stap van T-Mobile. "Als het geen merkbare beperkingen oplevert en deze kwetsbaarheid buiten werking stelt, ben ik er zeker voorstander van", aldus de Hilversummer.

De kwetsbaarheid ontstaat als mensen hun iPhone jailbreaken en OpenSSH of een soortgelijke applicatie installeren, maar het rootpassword niet veranderen. Op die manier kan via ssh contact gemaakt worden met het toestel. Een hacker kan dan alle bestanden op de iPhone zien, bewerken, kopiëren en wissen. Bij de installatie van OpenSSH wordt er al op gewezen dat het veiliger is om het rootwachtwoord te veranderen.

Volgende 14:37
Vorige 14:08

Reacties

«  1  2  »

En wat doen buitenlandse mobiele aanbieders?

Sowieso is het eigenlijk de verantwoordelijkheid van de eigenaren van betreffende telefoons om die dicht te houden/goed te beveiligen. T-Mobile zou pas moeten ingrijpen als een gehackte telefoon een (te) zware belasting op het netwerk gaat leveren. Vergelijk bijvoorbeeld internetproviders die bij een open relay bepaalde gebruikers al dan niet gedeeltelijk afsluiten.

[Reactie gewijzigd door Arjan A op woensdag 4 november 2009 14:38]


waarschijnlijk niets, tenzij dit plan van T-mobile werkt.

Wat ze moeten doen. Niets. Het is hun zaak niet. Een autoconstructeur gaat toch ook niet vermijden dat auto's aangepast worden om harder te gaan (waardoor er meer mogelijkheden komen, maar ook VEEL meer kan misgaan).

With great power comes great responsibility. Iets wat mensen niet opnemen.

En SSH open hebben staan op je 'foon is nu eenmaal een grote verantwoordelijkheid.

uhm.... maar we vragen ISP's wel om mee te helpen met het neerhalen van botnets en het verminderen van SPAM. Da's ook hun zaak niet, maar die van de eindgebruiker - toch?

More on topic - het merendeel van de jail-broken (?) iPhone-eigenaren zal geschrokken zijn door alle ophef en een root password hebben gezet. Wellicht verstandig dat de maker van de applicatie die er na de jailbreak is opgezet wordt aangesproken op z'n installatieprocedure? Hij is degene die via een waarschuwing aan de gebruiker het root password had kunnen laten wijzigen, of root access via SSH had kunnen voorkomen (dat laatste is overigens altijd verstandig)

uhm.... maar we vragen ISP's wel om mee te helpen met het neerhalen van botnets en het verminderen van SPAM. Da's ook hun zaak niet, maar die van de eindgebruiker - toch?
Dat kan wel zijn maar niet alleen de eindgebruiker ondervind hinder dit soort dingen. Die SPAM zal toch over hun netwerken gaan, zinloos bandbreedte verstoken... Als de provider dit kan voorkomen kan het een hoop geld besparen....

of root access via SSH had kunnen voorkomen (dat laatste is overigens altijd verstandig)
Ik dacht dat root access op ssh default uit staat.

Dat maakt de 'slachtoffers' van deze hack alleen maar sulliger - dan hebben ze dus willens en wetens SSH voor root open gezet zonder het default password te wijzigen?

De Openssh daemons die met de verschillende Linux distributies meekomen zetten vaak root access uit - ik vermoed dat de schrijver van de applicatie voor de iPhone dat hier is vergeten

Lang niet altijd. Als je een ssh server draait in Debian/Ubuntu dan kun je als root inloggen via ssh (bij Ubuntu heeft dat ook geen zin, dat account staat uitgeschakeld; het wordt pas een probleem als mensen het root account weer inschakelen). Op iets als FreeBSD is het echter weer wel standaard uitgeschakeld. De meeste mensen die met ssh bezig gaan checken eerst de config en doen de nodige aanpassingen (bijv. root login uitschakelen).

nee. je moet het echt zelf uitzetten. dit moet ik op debian machines doen, en dat moest ik met mijn iphone ook doen. en dat terwijl het wachtwoord wijzigen zo makelijk is (passwd intikken en je bent er al).

als mensen ssh installeren staat ssh open, voor de enige gebruiker die er is (root).

nee hoor, er is ook een gebruiker met de naam mobile

More on topic - het merendeel van de jail-broken (?) iPhone-eigenaren zal geschrokken zijn door alle ophef en een root password hebben gezet. Wellicht verstandig dat de maker van de applicatie die er na de jailbreak is opgezet wordt aangesproken op z'n installatieprocedure? Hij is degene die via een waarschuwing aan de gebruiker het root password had kunnen laten wijzigen, of root access via SSH had kunnen voorkomen (dat laatste is overigens altijd verstandig)
Het is juist de onwetende jailbreaker (non-tweakers types) die dit juist niet zal doen. Dit is vooral bekend bij Tweakend Nederland, mensen zonder gerichte IT/ICT gerelateerde interessen zal dit niet opgemerkt zijn, dit zijn vooral mensen die de iPhone heben laten "unlocken" of jailbreaken bij de phone boer op de markt .... 'kan me zo voorstellen dat dergelijke praktisanten nog lekker met hun alpine wachtwoord zitten.

Niets. Het is hun zaak niet.
Behalve dat het hun klanten zijn die aan de lijn gaan hangen met de klantenservice. Ik snap de positie wel, maar het is een luxehouding die een kwaliteitsprovider zich niet kan veroorloven.

Verwar vooral niet hoe de wereld zou moeten werken met hoe de wereld werkt.

Je kan niet de hele wereld beveiligen tegen idioten. En dit hoort 100% zeker niet in de handen van t-mobile te liggen. Als t-mobile er iets aan gaat doen zonder poort 22 te blokkeren ben ik bang dat de verkeer gaan analyseren, iets wat ik juist met SSH wil verhinderen. Dit zie ik meer als een soort man-in-the-middle (t-mobile) attack.

ik snap niet waarom t-mobile moeite neemt om dit aan te pakken.

met andere woorden lijkt het mij dat jailbreaken dan wel is toegestaan.(met garantie claimen)

Want? Dat ze een probleem aanpakken dat via hun netwerk loopt, betekent niet meteen dat ze er ook verantwoordelijkheid voor nemen. Ik denk dat ze dit eerder doen om zich in te dekken op voorhand tegen eventuele claims.

Die claims worden zo afgewimpeld.
T-mobile is niet verantwoordelijk voor gejailbreakte IPhones.
Dit is puur een coulance actie.

Ok, t-mobile is niet verantwoordelijk, dat klopt.
Maar t-mobile heeft wel baat bij een goed imago rondom de iphone, en eventuele opvolgers, ze is de enige officiele leverancier in NL, en neemt er daarom tóch verantwoordelijkheid voor..... heeft niks met coulance te maken, gaat om geld.

Ik vraag me wel af hoe ze het gaan doen.... een acces list oid die je via het web kan bewerken?

[Reactie gewijzigd door Thijs_ehv op woensdag 4 november 2009 15:19]


Dit is uiteraard puur uit eigen belang (weinig, zeer weinig bedrijven doen iets om andere redenen).

Een reden die ik kan bedenken is dat t-mobile niet graag heeft dat de volgende "hacker" op al hun jailbroken iphones inlogt en er spam drones van maakt. Of 't als 'hub' gebruikt om de volgende hack (een wel spannende hack, bijv. bij een bank) te lanceren. In beide gevallen wordt t-mobile er op aangekeken.

Het heeft voor t-mobile dus wel degelijk zin om dit soort open shell accounts niet van een t-mobile IP adres te voorzien.

Ik zou het persoonlijk eigenlijk erg vervelend vinden als mijn mobiele provider poort 22 dicht zet. Ik gebruik die poort dagelijks voor legitieme redenen (inloggen op remote systemen), zoals T-Mobile ook al zegt. En ja, ook vanaf mijn telefoon.

Dat gebruikers hun handsets niet goed beveiligen (door ze zelf te hacken!) is wat mij betreft ook geen reden om dan maar normale diensten onmogelijk te gaan maken. Dan kan je ook wel poort 80 gaan blokkeren omdat niet iedereen anti-spyware software heeft geinstalleerd.

Eventueel zouden ze wel poort 22 naar de telefoon toe kunnen blokkeren (en wel toestaan van de telefoon af naar Internet), zo wordt het namelijk in de meeste gevallen gebruikt. Maar toch lijkt het me nog steeds geen zaak voor de provider.

[Reactie gewijzigd door GekkePrutser op woensdag 4 november 2009 14:40]


Uiteraard zou het dan gaan om de inkomende poort 22, voorkomen dat de telefoon niet naar een willekeurige poort 22 naar buiten toe zou kunnen komen is volstrekt nutteloos ;)
Maar dat is dus precies wat T-Mobile niet gaat doen, ben wel benieuwd wat dan wel overigens.

T-Mobile sluit uit dat poort 22 geblokkeerd wordt, dus dat gaat niet gebeuren.

Zou lekker zijn, poort 22 voor inkomend verkeer blokkeren: doordat een paar onwetende sukkels SSH op hun iPhone niet beveiligen, zouden alle servers die binnen het T-Mobile netwerk draaien ineens niet meer via SSH (op de standaard poort) te bereiken zijn?

Naar buiten toe SSH'en is helemaal het probleem niet.

Ben net als CyBeRSPiN wel benieuwd welke oplossing ze dan wel gaan gebruiken.

[Reactie gewijzigd door Herko_ter_Horst op woensdag 4 november 2009 14:49]


zouden alle servers die binnen het T-Mobile netwerk draaien ineens niet meer via SSH (op de standaard poort) te bereiken zijn
Neem aan dat ze gereserveerde ranges hebben voor mobiele telefoontjes en voor hun eigen servers. Op een firewall kun je zonder moeite regels die alleen op de mobiele telefoons betrekking hebben.

Ook zouden ze technisch gesproken iets kunnen bouwen waarbij je (bij wijze van spreken) met je telefoon "POORT 22 AAN" sms't, zodat vanaf die SIM wel poort 22 bereikbaar is.

Maar dat gezegd hebbende, ik ben ook benieuwd naar hoe ze onderscheid gaan maken tussen malicious en legitiem verkeer. Lijkt me juist met SSH dat dat niet kan!

Simpel, T-Mobile scant zelf de devices die verbinding maken op hun netwerk. Kunnen ze vervolgens succesvol inloggen dan gooien ze de SSH poort voor die gebruiker dicht. Periodiek zou dan kunnen worden gecontroleerd of het inloggen niet meer mogelijk is. Zo ja, dan wordt de poort weer gedeblokkeerd. Dat kan volledig automatisch.

Dan proberen ze in te loggen op devices die niet van hen zijn, dat noemen we computervredebreuk of hacken, en dat is strafbaar.

Maar aan de andere kant, zullen er echt veel mensen zijn die op hun telefoon/danwel via tethering een SSH server draaien op een mobiel internet abonnement?
Niet dat ik voorstander ben om de poort dicht te zetten, liever zo open mogelijk natuurlijk, voor de mensen die het wel echt gebruiken.
Uitgaand verkeer blokkeren is imho al helemaal not-done.

Dan gebruik je toch gewoon een andere poort voor SSH.. in zo'n geval ben je er wel zeker van dat de gebruiker zou moeten weten waar die mee bezig is...

Des al niet te min is poort 22 dichtgooien geen optie wegens het zakelijk gebruik van de 3G infrastructuur. Hoewel T-Mobile toh zou moeten weten welke SIM kaarten dat zijn en daarmee kunnen onderscheiden wie wel of niet poort 22 mag gebruiken.

Lezen voor je post. Ze geven zelf al aan dat poort 22 dichtgooien uitgesloten is.

Ik vraag me af of het mogelijk blijft voor iPhone klanten die wel hun root password hebben gewijzigd om SSH over het T-mobile netwerk te gebruiken.

Het lijkt me toch jammer dat vanwege een groep mensen die het weer niet begrijpt andere mensen beperkingen krijgen in hun serviceniveau.

Goed punt, dat zou echt stom zijn, ze zouden met kunnen scannen bijvoorbeeld en mensen waarschuwen... anders benadeel je inderdaad veel mensen.

Ze zeggen van niet ^^ MAAR doen ze het wel ben ik meteen weg :) (niet dat ik poort 22 gebruik)

Ik denk dat T-Mobile de gevolgen van een dergelijke kraak voor wil zijn.
Het kan zomaar zijn dat een dergelijke iPhone op een bepaalde manier misbruikt wordt, waardoor de 3g-verbinding van die telefoon de hele tijd gebruikt wordt. Dat zorgt natuurlijk voor belasting op je netwerk die je liever niet wil.

Ik denk dat t-mobile helemaal niks doet en er niks aan kan doen de enige die er wat aan kan doen is apple, zelfgemaakte t-mobile troep zal niet toegelaten worden door apple.

succes t-mobile......

Dit wordt op netwerk niveau geregeld dan, dus daar kan tmobile zeker wel wat aan doen.

Hoezo zou Apple de enige zijn die er wat aan kan doen? Het gaat om gejailbraikte (wat dus buiten de Apple software om is) telefoons, waarop dan software wordt geinstalleerd die ook weer buiten Apple om gemaakt is.

En dan moet Apple er wat aan doen? Nah.

Het is heel netjes van tmobile dat ze er naar willen kijken, maar zelfs hun zijn verre van verplicht dit te doen. De telefoons waar de 'hack' op mogelijk is (als in, waar de mensen niet snugger genoeg waren om het default password te verwijderen, nadat ze hem gejailbraikt hebben en een ssh-server hebben geinstalleerd, de eigenaren daarvan, die moeten beter de handleiding lezen, er wordt duidelijk aangegeven dat het standaard wachtwoord gewijzigd moet worden.

Echt te bizar, je moet naast jailbreaken ook openssh installeren wil je vatbaar zijn, als je dat installeert en je houd het standaard paswoord ben je gewoon enorm dom en verdien je het.

Blaming the victim!

Arjan Dasselaar heeft daar een goeie column over geschreven:
http://www.nu.nl/column-z...im-onveilig-internet.html

Niet terecht in dit geval, je kunt het wel degelijk de gebruiker kwalijk nemen dat hij geen voorzorgsmaatregelen treft. Zodra je bewust de software van je telefoon gaat aanpassen mag je daar ook de consequenties voor dragen...
Als je nu nog niet weet dat er een gevaar is van 'hackers' op het internet ben je gewoon te dom om op internet te mogen in mijn ogen, en is het vreemd dat je je telefoon jailbreakt.

Als het nou een hack was op een 'normale' iPhone had je gelijk, dan kun je het mensen niet kwalijk nemen. Nu echter wel.

Op moment dat jij een fiets koopt waarvan je had kunnen vermoeden dat het niet in de haak zit (voor een tientje een e-bike kopen op een straathoek) maakt dat van jou gewoon iemand die mee doet aan heling. De rechter ziet jou dan ook niet als slachtoffer maar als dader en zal je er ook gewoon voor straffen. Datzelfde gaat ook voor dit ssh verhaal op. Er wordt overal te pas en te onpas gewaarschuwd, gebruld, geroepen, etc. dat je moet uitkijken, dat je het niet altijd aan moet laten en dat je vooral ook de standaard wachtwoorden moet veranderen. Als je dat allemaal maar in de wind slaat dan krijg je dus de situatie van wat men hier ten onrechte de "ssh-hack" noemen. De gebruiker is misschien "slachtoffer" van z'n eigen acties maar dat heet gewoon eigen verantwoordelijkheid. Je mag hier pas van slachtoffer spreken als het gelijk is aan het voorbeeld van Jack de Vries zoals in die column staat: met een brute force attack achter het root password komen om zodoende de telefoon in beheer te krijgen.

[Reactie gewijzigd door ppl op woensdag 4 november 2009 15:31]


Leuk stuk, ben het niet eens met de eindconclusie. Online veiligheid is en blijft je eigen verantwoordelijkheid. Jij bent verantwoordelijk voor je OS, jij bent verantwoordelijk voor je applicaties. Zoals het hoort.

Digitale criminaliteit oplossen, doe dat maar eens efficient zonder de zogenoemde 'online privacy' te schenden. er zal gescand, gelogd, gemonitored moeten worden... wanneer je dader zich in het buitenland bevindt heb je al een probleem,
Men doet in dit artikel net of digitale criminaliteit oplossen 'zomaar ff kan' wat bullshit is natuurlijk.

Hier doet t-mobile goed aan ondanks dat ik poort 22 niet gebruik was ik zonder pardon overgestapt naar een concurrent als ze de poort dicht hadden gezet :) Gewoon om het feit dat ik benadeelt moet worden door een paar apen die niet willen lezen wat je moet doen met jailbreaken (en na het jailbreaken vooral) :)

[Reactie gewijzigd door watercoolertje op woensdag 4 november 2009 14:51]


Bij andere providers staan de binnenkomende poorten al dicht!

Je will zowiezo niet dat iemand verkeer op je GSM kan creeren zonder dat je zelf de IP verbinding opstart.

Ik zou liever zien dat t-mobile die gast aanklaagde, hacken voor de sport wordt blijkbaar nogal getolereerd, maar een iphone onklaar maken en dan vragen om geld over te maken op paypal is in mijn woordenboek gewoon afpersing.

Als ik het had gedaan had ik een soortgelijks gedaan. Alleen dan met een link naar een neppe paypal pagina waar je een melding te zien krijgt dat je eens goed moet nadenken over waar je mee bezig bent. je SSH open laten staan zodat iedereen overal bij komt, en als je dan gehacked bent, ook nog eens naar paypal gaat om te betalen om alles weer goed te zetten. en daarbij een mail adres waar je naar moet mailen voor de handleiding om je telefoon weer goed te zetten.

Inderdaad , dit IS afpersing.
Die 17-jarige mag wat mij betreft vrijuit gaan met een fikse waarschuwing, was zelf ook geen lievertje op die leeftijd dus kan me heel goed voorstellen dat hij de verleiding niet kon weerstaan.
De leeftijd van de andere ""hacker"" ken ik niet, als dit gewoon een volwassene betreft stel ik voor dat T-Mobile de gemaakte kosten om dit probleem op te lossen bij hem neerlegt (gaan ze nooit rondkrijgen, maar goed, een beetje angst kweken kan geen kwaad)

Het is bezopen dat T-Mobile mensen gaat inzetten en geld gaat uitgeven voor jailbreakende pubers die hun toestel via SSH open zetten. Dat zouden ze beter kunnen inzetten voor andere doeleinden zoals het verlenen van de dienstverlening.

Je weet dat je je eigen telefoon aan het hacken bent. Ga dan niet zielig doen om het feit dat je toestel gehacked wordt. Had je er niet aan moeten beginnen.

Als iemand met een HTC Hero of een Windows Mobile telefoon een dergelijk iets zou overkomen zou je dit gezeur van die 13-jarige stumpers niet horen.
«  1  2  »
Inlog formulier

Je moet inloggen om te kunnen reageren.

Reactie formulier
Volgende 14:37
Vorige 14:08
VNU Media logo Hosted by True

© 1998 - 2009 Tweakers.net - Alle rechten voorbehouden - Uw Privacy - Algemene Voorwaarden

Uitgever van: