'Positiebepaling mobieltje via gsm-masten is beveiligingsrisico'

Een onderzoeker heeft ontdekt dat het a-gps-systeem een beveiligingsrisico vormt voor smartphones. Positiebepaling met het systeem, dat werkt met gsm-masten, kan mogelijk misbruikt worden omdat de verbinding niet beveiligd is.

Tijdens de Black Hat-conferentie in Las Vegas stelde Ralf-Phillip Weinmann, die werkzaam is aan de universiteit van Luxemburg, dat onder andere Android-smartphones mogelijk vatbaar zijn voor een a-gps-hack. Het is echter mogelijk dat ook andere mobiele apparaten die mogelijkheden hebben voor lokatiebepaling via gsm-masten op deze wijze gehackt kunnen worden.

De beveiligingsonderzoeker legde uit dat bij positiebepaling met gsm-masten een onbeveiligde verbinding wordt opgezet om informatie te kunnen versturen naar smartphones. Kwaadwillenden zouden de verbinding kunnen onderscheppen via een man in the middle-aanval, om op deze manier hun eigen data naar het toestel te sturen. Daarvoor is het wel noodzakelijk dat een aanvaller controle over de verbinding van een gebruiker heeft, bijvoorbeeld door een gebruiker ertoe te verleiden verbinding te laten maken met zijn wifi-netwerk.

Volgens Weinmann gaat het om een serieus beveiligingsrisico, omdat mobiele apparaten hun applicatieprocessor gebruiken om binnenkomende informatie van gsm-masten te verwerken, in plaats van slechts de gps- of radio-chip. Hierdoor kunnen hackers in theorie met malware voor een crash op het apparaat zorgen, om deze vervolgens op afstand in zijn geheel over te nemen. Een dergelijke aanval kan voorkomen worden als smartphonefabrikanten maatregelen nemen, maar Weinmann claimt dat de benodigde technologie nog niet is geïmplementeerd.

Weinmann denkt dat het beveiligingsrisico in toekomstige mobiele apparaten wordt opgelost. De onderzoeker betoogt dat fabrikanten snel actie moeten ondernemen, omdat apparaten zoals smartphones en tablets steeds populairder worden bij ontwikkelaars van malware.

Reacties (28)

Zou het niet een idee zijn om alle privacy gevoelige data in een sandbox te gooien, waarbij de data door de apps, wel uitgelezen mag worden nadat er een app toestemming om vraagt (zoals Superuser voor android). Dus: A-Gps, gps, wifi (voornamelijk Skyhook toepassingen), en ook je browser puur in zijn eigen omgeving laten draaien met zeer stricte regels voor het het laten gebruiken van de data door toepassingen, met een duidelijke whitelist, en ook blacklist van de apps. Lijkt mij een stuk makkelijker dan dat apps 1 keer toegang vragen voor veelste veel rechten. Ik ben soms echt bijna aan het huilen als ik zie dat een live wallpaper app toegang wil hebben tot: Internetverbinding, PhoneCalls, Betaalde Services, Locatiebepaling etc.

@firedrunk Googles Locatie bepaling = Skyhook = Agps.

[Reactie gewijzigd door Biersteker op 28 juli 2012 17:04]

http://www.ted.com/talks/...ys_how_to_fool_a_gps.html

Ik snap dat het een risico is, maar het is toch geen accuut risico? Ik bedoel, voordat dit misbruikt kan worden dient er wel een bug in de code die de response van de masten verwerkt te zitten; bijvoorbeeld een buffer overflow of iets dergelijks. In dezelfde zin is een HTTP webserver die dus geen beveiligde verbinding accepteert toch ook een beveiligingsrisico?

Ik snap dat het een risico is, maar het is toch geen accuut risico?

Juist omdat de meesten zoals u redeneren, is het wel een accuut risico. Men vergeet het weer, en wat later als het mis is gegaan is 't dan van "waarom zijn we er niet tegen gewaarschuwd?" of 'waarom is er niks aan gedaan toen het probleem bekend werd?".

"Daarvoor is het wel noodzakelijk dat een aanvaller controle over de verbinding van een gebruiker heeft, bijvoorbeeld door een gebruiker ertoe te verleiden verbinding te laten maken met zijn wifi-netwerk."
Als je ziet hoeveel en hoevaak apps rechten nodig hebben om uberhaupt geïnstalleerd te kunnen worden, is het vrij eenvoudig dat het systeem in dien mate open kan staan dat een app dat zelf regelt dat een verbinding wordt gedeeld.

En maakt 't iets uit of iets een 'accuut' risico is of niet een accuut risico? Nee, niet veel - want in het tweede geval wordt men dus in slaap gesust en een week later weet men zich weinig meer te herinneren van de bug/ontwerpfout.

Ik bedoel, voordat dit misbruikt kan worden dient er wel een bug in de code die de response van de masten verwerkt te zitten; bijvoorbeeld een buffer overflow of iets dergelijks.

Waar lees je dat? Ik lees dat nergens. En dan nog... Hoe weet jij of en wanneer daar wel of niet een bug in zit?

In dezelfde zin is een HTTP webserver die dus geen beveiligde verbinding accepteert toch ook een beveiligingsrisico?[

Of dat zo is weet ik niet; maar wat maakt dat uit? Als iets anders onveilig is, wordt 't nog niet plots acceptabel om dit dan ook maar onveilig te laten zijn.

[Reactie gewijzigd door kimborntobewild op 28 juli 2012 17:40]

Ik bedoel meer dat het een risico, net zoals het een risico is om met de auto naar het werk te gaan. Natuurlijk kan er wat gebeuren.

Wat ik hier echter lees is dat het een risico is, puur omdat de verbinding onbeveiligd is.

Waar ik lees dat het een buffer overflow of iets dergelijks zou moeten zijn? Er staat dat de applicatieprocessor wordt gebruikt om de binnenkomende gegevens te verwerken. Het lijkt me echter dat de response op een positiebepalingsverzoek niet inhoud dat er een stuk code teruggestuurd wordt wat uitgevoerd dient te worden, maar gewoon een setje data met coordinaten, signaalsterkte, weet ik wat. Aangezien die data niet uitgevoerd wordt, maar geparsed, zul je een bug in de parser nodig hebben die remote code execution mogelijk maakt, en dergelijke bugs komen meestal voort uit buffer overflows.

Dit alles brengt het risico tot hetzelfde niveau als het risico van het bezoeken van een website met je smartphone: dat is ook een onbeveiligde verbinding. Het enige verschil is dat die verbinding wel beveiligd is van je telefoon tot aan de zendmast. Echter is het dan nog steeds mogelijk om een man-in-the-middle aanval uit te voeren door custom content te serveren.

Wat ik dus bedoel is dat het wel een risico is, natuurlijk, net zoals elke willekeurige activiteit op internet een risico is.

Maar misschien begrijp ik het artikel verkeerd. Het enige wat ik hier lees is dat omdat de verbinding niet beveiligd is, het een risico is. Ik zou graag willen zien hoe dit daadwerkelijk misbruikt kan worden, zonder dat een domme gebruiker nodig is, want als je uitgaat van een actie van een domme gebruiker is het een fluitje van een cent om de boel te hacken.

Als je ziet hoeveel en hoevaak apps rechten nodig hebben om uberhaupt geïnstalleerd te kunnen worden, is het vrij eenvoudig dat het systeem in dien mate open kan staan dat een app dat zelf regelt dat een verbinding wordt gedeeld.

Als een app de verbinding kan delen, is het lijkt mij ook niet meer nodig om het toestel te hacken via a-gps.

Als je ziet hoeveel en hoevaak apps rechten nodig hebben om uberhaupt geïnstalleerd te kunnen worden, is het vrij eenvoudig dat het systeem in dien mate open kan staan dat een app dat zelf regelt dat een verbinding wordt gedeeld.

Die app moet dan wel op een smartphone staan van iemand die in de buurt is (of wel eens komt) bij WIFI van de maker van die die app.

Zoals jij het beschrijft lijkt het net alsof het heel makkelijk is en heel vaak voor kan komen.

Je moet in jouw voorbeeld er dus niet alleen voor zorgen dat die app, of laten we het maar even malware noemen, op de smarthpone komt te staan. Je moet er ook voor zorgen dat die persoon vervolgens ook nog eens in de buurt van jouw WIFI komt.

Of dat zo is weet ik niet; maar wat maakt dat uit? Als iets anders onveilig is, wordt 't nog niet plots acceptabel om dit dan ook maar onveilig te laten zijn.

Internetten over HTTP is ook minder veilig dan HTTPS. Toch is het acceptabel dat 99,9% van de websites default via HTTP benaderbaar zijn.

Nu dat er alleen een risico is geconstateerd, blijkt niemand er zich om te bekommeren.
Komt er een bericht dat er daadwerkelijk gegevens zijn gestolen dan roept iedereen hier brand en vuur.

Dat ze maar snel met een alternatief komen die wel goed beveiligd is.

Mij vinden ze wel, bovenop ons appartementgebouw verhuren we een zendmast van Vodafone ))

Waar je ws niet mee connect vanwege het feit dat de ontvangst recht onder een GSM mast praktisch nul is.

En wie zegt dat jouw mobieltje verbinding maakt via die zendmast?

Leuk al die 'hacks'. Op zich goed dat die mensen zich er mee bezig houden, maar de kans dat iemand zoiets echt voor elkaar krijgt is natuurlijk miniem. Het gros van dit soort 'lekken' zijn puur theoretisch en alleen voor elkaar te krijgen in een lab omgeving waar je precies weet wanneer iemand iets doet.

Evengoed zal ook dit weer de awareness helpen te verhogen. Dat effect alleen al is denk ik meer waard dan dat we nu beschermd zijn voor een naderend Armageddon. Ik ken die security types, en omdat ze de hele dag ondergedompeld zijn in lekken en hacks zien ze overal een groot gevaar in.

Dit is niet zozeer een hack, als de schijnwerper op een nog niet eerder als zodanig aangemerkte "Aanvalsvector".

Hij zegt niet dat er nu al hacks mogelijk zijn, maar dat door de manier waarop dit geimplementeerd is, er mogelijk hacks voor zouden kunnen komen.

In feite is alles een aanvalsvector. Als iemand maar lang genoeg op iets gaat zitten, vindt je altijd wel iets. De vraag is alleen hoe reëel het is dat het ooit voorkomt. Dat probeer ik aan te geven. Als je met zo'n beveiligingsman praat, durf je haast niet meer op internet te komen. Niets is veilig (volgens hen dan). Dat is in zekere zin ook wel zo, maar de straten in Amsterdam zijn ook gevaarlijk... En toch ben ik nog nooit aangevallen of vermoord (duh!). Ik bedoel maar.

Ik gebruik nooit A-GPS (voor zover ik weet) want het is takke traag... En google's eigen location service gebruikt het volgens mij ook niet, dus ik vraag me af in hoeverre je hier vatbaar voor bent, tenzij een app het specifiek gebruikt?

Naar mijn weten wordt a-gps automatisch ingeschakeld als een applicatie om de positie van de gebruiker vraagt,
Met A-gps word het maken van een fix op basis van satellieten bevorderd namelijk

Mijn voorgaande en huidige telefoon stond A-GPS standaard aan, maar kon je die in het menu uitzetten.

Dat is dus op Symbian en Android mogelijk.
Nadeel is dat je fix iets langer duurt, nou dan maar even wachten op de fix.

Klopt, maar location services proberen dit ook te gebruiken. Dat om een beter resultaat te geven, zo weet bijvoorbeeld de weer applicatie op je telefoon waar je ongeveer bent binnen een behoorlijk snelle tijd. A-GPS is wat dat betreft ideaal want het vreet nauwelijks extra stroom, echt verwaarloosbaar, in tegenstelling tot GPS zelf.

Als je GPS gebruikt op je telefoon (inderdaad niet als je alleen wifi-positiebepaling gebruikt) en je hebt snel een fix gebruik je A-GPS. Als je met puur GPS een locatie wil bepalen kan het gerust een hele minuut duren om je eerste fix te krijgen.

En dan heb je nog van die kleuters die piepen dat de km-heffing slecht is voor privacy. De overheid kan al jaren zien waar je bent, maar niemand die er ook maar even aan denkt om zijn/haar mobieltje weg te doen.

De bonus nu: er is een nog makkelijkere "BigBrother" opgestaan!

Voor het gemak gooi je auto's op één hoop met mobiele telefoon / internetabonnementen.

Figuren die echt wat te verbergen hebben, zorgen voor een gsm die niet op hun naam staat. Bij een auto kan dat ook, maar is toch wat lastiger.

Een anoniem, wegwerp simkaartje kost bijna niets, een goedkope auto is wat duurder, en lastiger aan te komen zonder fiscaal/financieel spoor achter te laten.

De overheid kan lang niet altijd zien waar je bent. En al helemaal niet als je geen eigen auto en/of mobiele telefoon hebt. Valt dus reuze mee.

Kwaadwillenden zouden de verbinding kunnen onderscheppen via een man in the middle-aanval, om op deze manier hun eigen data naar het toestel te sturen.

Als ik het goed begrijp moet de hacker dus een antenne nadoen en kan dan communiceren met een smartphone via dat onbeveiligde protocol voor positiebepaling. En als hij pech heeft moet hij een bestaande antenne tijdelijk elimineren en overnemen omdat alle antennes zichzelf waarschijnlijk wel moeten identificeren op het netwerk.

Volgens Weinmann gaat het om een serieus beveiligingsrisico, omdat mobiele apparaten hun applicatieprocessor gebruikt om binnenkomende informatie van gsm-masten te verwerken, in plaats van slechts de gps- of radio-chip. Hierdoor kunnen hackers in theorie met malware voor een crash op het apparaat zorgen, om deze vervolgens op afstand in zijn geheel over te nemen.

Dus dat protocol is blijkbaar niet bestand tegen flooden of er zit een andere fout in die de boel kan doen ontsporen. Het lijkt me nogal stug dat je met alleen maar locatiedata de processor kan lamleggen. Zoiezo zou die ook gelijk door moeten hebben dat er iets aan de hand is als er een "zendmast" ineens overmatig gps data begint te bulken. Een ontwerpfoutje?

Het hoeft niet eens perse flooding te zijn, het kan ook iets zijn als onmogelijke data.

Stel de coordinaten worden aangeleverd in een single precision float, en de parser kan niet omgaan met getallen die buiten het verwachtte bereik vallen dan kan dat rare dingen doen.
De overflow, out of range of type mismatch error kan dan veel verder op in het systeem naar boven komen, waar de developer ervan uit is gegaan dat de intermediate data die zijn routine krijgt ook feitelijk bruikbare informatie is.

je kan al zien op welke gsm mast een mobiel is ingelogd zolang deze is aangemeld op een netwerk. als je dit elke 30 sec doet voor 5 min heb je aardig een idee waar deze zit.
in stedelijke gebieden werkt het natuurlijk beter omdat je dan vaker hopt van mast naar mast.

Hiermee kan je als kinderlokker dus promoveren tot kindernavigator? Of begrijp ik dat verkeerd?