Mobile Security - Angriffsszenarien auf mobile Dienste: Wie (un-)sicher sind iphone, Android, Blackberry & Co.?

Transkript

1 Mobile Security - Angriffsszenarien auf mobile Dienste: Wie (un-)sicher sind iphone, Android, Blackberry & Co.? Marco Di Filippo Compass Security AG marco.difilippo@csnc.ch [12. Deutscher IT-Sicherheitskongress Mai 2011] Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax team@csnc.ch

2 Übrigens: Heute müssen Sie Ihr Telefon nicht ausschalten. Ich empfehle jedoch den Stumm- Modus ;-) Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

3 Hinweis: In unserer Studie sind wir von einem Angreifer ausgegangen, der eine max. Investition von 50 EUR tätigt, um mobile Teilnehmer zu kompromittieren. Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

4 Agenda Inhalt und Herangehensweise Angriffsmöglichkeiten im mobilen Netzwerk Missbrauch des Soundlogos [Early Media] Identifikationsfälschung mittels ID-Spoofing Call-ID-Spoofing SMS-ID-Spoofing SIM-Schnittstelle als Angriffsvektor Angriffsszenarien mittels Malware Slide 4

5 Das Mobile Netzwerk Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

6 Allgemein Mobile Geräte: kritisch und oft vergessene Kinder... Mobile Geräte arbeiten oft ohne schützende Mechanismen. Sie werden viel transportiert und sind einfach zu bewegen. Sie kommunizieren mit fremden Netzen über unsichere Verfahren. Die Benutzer haben oft uneingeschränkte Rechte. Können einfach entwendet, geklaut oder zerstört werden... Werden im Sicherheitskonzept oft vergessen oder bewusst nicht berücksichtigt. Slide 6

7 Mobile Network Architecture Ansatzpunkte möglicher Manipulationen Slide 7

8 Mobile Phone Interfaces Schnittstellen für den Malware-Zugang! Bluetooth GSM Anwendungen (Apps) Updates Internetseiten LAN / WAN / WLAN/UMTS Slide 8

9 Missbrauch des Soundlogos [Early Media] Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

10 Early Media Der Early Media Stream Übermittelt bereits während des Rufaufbaus Audioinformationen Eigentlich für individuelle Freizeichen und Ansagen wie Kein Anschluss unter dieser Nummer, Teilnehmer ist vorübergehend nicht erreichbar und Preisansagen gedacht Erfolgt vor dem Verbindungsaufbau und ist daher kostenfrei Slide 10

11 Early Media Nutzung von Chanspy und Whisper unter Asterisk Ursprünglich zu Schulungszwecken im Callcenter entwickelt Umgehung von Vorratsdatenspeicherung Mikrofone von Teilnehmern sind schon während der Rufphase geöffnet Erfolgt vor dem Verbindungsaufbau und ist daher kostenfrei INVITE 183 Session Progress Early Media Chanspy Whisper Early Media Timeout/ Cancel Slide 11

12 EarlyMediaStream Gespräche belauschen während des Freitons Infos Ring Freiton Rufaufbau Slide 12

13 LiveDemo Lauschangriff [Early Media] + Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax team@csnc.ch

14 Please Call Me [ xxxx] Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

15 Selbsttest [ xxxx] 1. Call (Record) 2. Call (Play Back) Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

16 Identifikationsfälschung [Call-ID-Spoofing] Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

17 Call-ID-Spoofing Weshalb ein Angriff mittels gefälschter Rufnummer? Oft dient die Rufnummer (CLIP) als Identifikationsmerkmal des Anrufers (z.b. bei Telefongesprächen, Fernzugängen, Anwendungen etc.) Zugriffsbeschränkungen mittels Rufnummernidentifizierung können umgangen, bzw. beim Social-Engineering unterstützend eingesetzt werden. Matching der Rufnummern in EU-Endgeräten erfolgt nur bis zur max. 7. Stelle Slide 17

18 Call-ID-Spoofing Anbieter kommerzieller Call-ID-Spoofing-Dienste Slide 18

19 Call-ID-Spoofing Werkzeuge zum Call-ID-Spoofing Telefonanschluss mit Dienstmerkmal CLIP -no screeningoder SIP-Gateway ins PSTN (z.b. Softphone (z.b. Slide 19

20 LiveDemo [Call-ID-Spoofing] + Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax team@csnc.ch

21 Call-ID-Spoofing (MITM-Angriff) Call-ID ID-Spoofing Spoofing-Angriff Eingehender Anruf: Paris Hilton Freiton Slide 21

22 Der umgekehrte Fall ist anonym gleich anonym Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

23 Call-ID- Identifikation Werkzeuge zur Call-ID-Identifikation Anbindung als VoIP-Provider ans PSTN oder Vermittlungsstelle/Gateway mit Fehlinterpretierung des Presentation indicator (z.b. Betamax GmbH & Co KG/Köln oder KeyCollect SA/Zürich) Hinweis: Presentation indicator: mit diesem Wert kann man festlegen, ob die eigene Rufnummer beim B-Tln. angezeigt wird oder nicht. Screening indicator: dieser gibt an, wie die CgPyNr zustande kam: User-provided, not screened (in der Vst), User-provided, verified and passed User-provided, verified and failed (wird in EDSS1 nicht verwendet) Network provided: das Netz hat die CgPyNr erzeugt Slide 23

24 LiveDemo [Nummer Identifizieren] + Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax team@csnc.ch

25 Please Call Me [ xxxx] Tipp: #31# Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

26 Identifikationsfälschung [SMS-ID-Spoofing] Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

27 SMS-ID-Spoofing Weshalb ein Angriff mittels gefälschter Rufnummer? Ähnlich wie mittels Rufnummernidentifizierung kann Social- Engineering unterstützend eingesetzt werden. Anstatt Nummern-Identifizierung kann der Absender direkt benannt werden. Phishing via SMS ist noch weitgehend unbekannt und daher aussichtsreicher. Keine Content-Filter vorhanden (wie z.b. bei s) Slide 27

28 SMS-ID-Spoofing Beispiel: SMS-Phishing mittels SMS-Spoofing Beispiel einer Phishing-SMS Originalnachricht des Netzbetreibers Slide 28

29 SMS-ID-Spoofing Beispiel: SMS-Phishing mittels SMS-Spoofing Beispiel einer Phishing-SMS Gefälschte Nachricht auf Grundlage der Netzbetreiber-SMS Slide 29

30 SMS-ID-Spoofing Beispiel: SMS-Phishing mittels SMS-Spoofing Den Wettbewerber zuhause lassen Slide 30

31 SMS-ID-Spoofing Beispiele Slide 31

32 SMS-ID-Spoofing Werkzeuge zum SMS-ID-Spoofing Anbindung an einem SMS-Hub eines Providers (z.b. oder Short Message Service Centre (SMSC) mit UCP Zugangsprotokoll Beispielsweise: Germany D n1 UCP Switzerland Swisscom n1 UCP Schnittstelle als Provider ans SS7 Übertragung zwischen MSC und SMSC erfolgt im MAP (Mobile Application Part) des SS7 Slide 32

33 LiveDemo [SMS-ID-Spoofing] Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

34 SIM-Schnittstelle als Angriffsvektor auf mobile Endgeräte [SIM Application Toolkit] Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

35 SIM Application Toolkit Weshalb ein Angriff auf die SIM-Schnittstelle? SIM Schnittstelle als universeller Angriffsvektor auf mobile Endgeräte Standardisierte Schnittstelle Realisierung: Hardware-basierter Man-in-the-middle-Angriff Fernwirken von Endgeräten (wie teilweise schon von den Netzbetreibern genutzt) Publizierung des Proof-of-Concepts auf dem BSI-Kongress 2009 (durch Benedikt Heinz) Slide 35

36 SIM Application Toolkit Funktionen des SIM Application Toolkit Versand und Empfang von Kurznachrichten (SEND SHORT MESSAGE, SMS-PP Download) Initiieren ausgehender Anrufe (SET UP CALL) Umleiten ausgehender Anrufe (CALL CONTROL) Positionsbestimmung Datenübertragung via GPRS/UMTS Senden von AT-Kommandos an das Endgerät usw.. Slide 36

37 SIM Application Toolkit Funktionsweise eines SAT-Angriffs SIM-Karte kann die beschriebenen SAT-Funktionen nutzen Keine Kryptografie zwischen SIM und Endgerät Einschleusen eigener SAT-Kommandos möglich SIM wird weiterhin zur Authentisierung benötigt Man-in-the-middle-Angriff durch Einbau eines Mikrocontrollers (z.b. Atmel ATTiny85V) Slide 37

38 SIM Application Toolkit Entwicklungshistorie Slide 38

39 SIM Application Toolkit Man-in in-the the-middle middle-angriff Beispiel Voice Freiton Call xxxxxxxx Slide 39

40 LiveDemo [SAT-Angriff] Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

41 Please Call Me [+49 xxxx] Ortung!!! Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

42 Angriffe auf mobile Endgeräte mittels Malware [Trojaner & Co.] Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

43 Mobile Phone Malware Handyviren/Mobile Phone Malware sind Schadprogramme, die sich in mobile Geräte einschleusen Lange Zeit waren Handys geschützt, da sie geschlossene Systeme darstellten. Die Vielzahl der Schnittstellen ( , Bluetooth, W-LAN, Messaging etc.) mit der Außenwelt stellt ein potenzielles Einfallstor für die Malware dar. Software Development Kits (SDK) stehen frei zur Verfügung jeder kann diese für seine Entwicklungen nutzen. Systeme verfügen in aller Regel über keinerlei (mitgelieferte) Sicherheitsfunktionen. Endgeräte stehen oftmals ungeschützt im Internet (W-LAN, UMTS etc.). Smartphones liegen oft unbeobachtet herum. Endgeräte sind oftmals nicht Bestandteil des Security-Konzepts. Viele User nutzen ihre Endgeräte ohne Passwort-Schutz. Slide 43

44 Mobile Phone Malware Kommerzielle Trojaner: MOBILE SPY überwacht iphone und viele anderen Handys ab $49.00 im Quartal Inkl. 24/7 Support Slide 44

45 Mobile Phone Malware Kommerzielle Trojaner: Der Klassiker FlexiSpy. Für fast alle Plattformen verfügbar Slide 45

46 Mobile Phone Malware Funktionsweise eines Smartphone-Tronjaners! Der Trojaner übermittelt alle Daten wie SMS, Calls, , etc. in definierten Intervallen direkt an den Server. Der Angreifer kann die Daten jederzeit übers Internet abrufen. WWW Database Slide 46

47 LiveDemo [Handy-Trojaner] Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

48 Resümee Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Tel Fax

49 Resümee Beziehen Sie mobile Endgeräte unbedingt in Ihren Security Überlegungen mit ein! Ansatzpunkte: Sensibilisierung der Anwender Implementierung eines Mobile Device Managements (siehe auch Open Mobile Alliance Standard OMA Device Management) Backup Update Sicherheitseinstellungen Fernlöschung und Ortung bei Diebstahl Verwendung von Schutzmechanismen wie z.b. Firewall und Virenscanner (ggf. von Drittanbietern) Reglementierung von Anwenderzugriffen Passwort-Richtlinien Slide 49

50 Offene Diskussion Fragen?! Slide 50

51 Vielen Dank! Vielen Dank für Ihre Aufmerksamkeit! Slide 51