Η παραβίαση των τηλεφώνων είναι πολύ εύκολη και πρέπει να σταματήσει

Στα μέσα της δεκαετίας του 1960, οι τολμηροί χάκερ συνειδητοποίησαν ότι αν φυσούσαν με μια συγκεκριμένη σφυρίχτρα στο τηλέφωνο, μπορούσαν να ξεγελάσουν το δίκτυο και να δρομολογήσουν την κλήση τους οπουδήποτε, δωρεάν. Όταν τα τηλεφωνικά δίκτυα το αντιλήφθηκαν, άλλαξαν τον τρόπο λειτουργίας του συστήματος διαχωρίζοντας το κανάλι που μετέφερε το φωνητικό σήμα από αυτό που διαχειριζόταν τη κλήση. Ως αποτέλεσμα δημιουργήθηκε το Σύστημα Σηματοδοσίας 7 (Signalling System 7), το οποίο, το 1980, έγινε παγκόσμιο πρότυπο. Το SS7 σταμάτησε τους «τηλεφωνικούς απατεώνες», όπως ήταν γνωστοί. Όμως το σύστημα, που κατασκευάστηκε όταν υπήρχαν μόνο κάποιες κρατικά ελεγχόμενες εταιρείες τηλεπικοινωνιών μετρημένες στα δάχτυλα, είναι πλέον θλιβερά ανεπαρκές για την εποχή της κινητής τηλεφωνίας, καθώς αφήνει επικίνδυνα τρωτά σημεία στην καρδιά των διεθνών τηλεφωνικών δικτύων, τα οποία, ήρθε η ώρα να διορθωθούν.

Για περισσότερα από 15 χρόνια οι ειδικοί γνώριζαν ότι το SS7 (ή, περιστασιακά, ένα μεταγενέστερο σύστημα, το Diameter) μπορούσε να χρησιμοποιηθεί για τον εντοπισμό ενός χρήστη τηλεφώνου, την υποκλοπή των δεδομένων κειμένου ή φωνής του ή την αποστολή κειμένων ή κατασκοπευτικού λογισμικού σε μια συσκευή. Η Ρωσία έχει εκμεταλλευτεί το SS7 για την παρακολούθηση αντιφρονούντων στο εξωτερικό. Το 2018 τα Ηνωμένα Αραβικά Εμιράτα πιστεύεται ότι το χρησιμοποίησαν για να βρουν και στη συνέχεια να απαγάγουν μια φυγάδα πριγκίπισσα. Νωρίτερα φέτος ένας Αμερικανός αξιωματούχος κυβερνοασφάλειας δήλωσε στην Ομοσπονδιακή Επιτροπή Επικοινωνιών (FCC), μια ρυθμιστική αρχή, ότι παρόμοιες επιθέσεις είχαν πραγματοποιηθεί και στην Αμερική.

Όπως και το διαδίκτυο, το SS7 χτίστηκε στη βάση της εμπιστοσύνης και όχι της ασφάλειας. Αυτό ήταν λογικό όταν εισήχθη το πρωτόκολλο και μόνο λίγες εταιρείες τηλεπικοινωνιών μπορούσαν να έχουν πρόσβαση σε αυτό. Σήμερα, υπάρχουν πολλές χιλιάδες τέτοιες εταιρείες, η συντριπτική πλειοψηφία των οποίων είναι ιδιωτικές. Η πολυπλοκότητα των δικτύων έχει επίσης αυξηθεί. Τα κινητά τηλέφωνα περιφέρονται από τη δικαιοδοσία του ενός παρόχου στον άλλο, μέσω μιας απλής μεταβίβασης. Τα μηνύματα κειμένου χρησιμοποιούνται συνήθως για ζωτικής σημασίας συναλλαγές: σκεφτείτε τους κωδικούς πιστοποίησης μέσω sms στις παγκόσμιες τραπεζικές συναλλαγές. Επιπλέον, οι πάροχοι σε μια χώρα μπορούν να χρησιμοποιήσουν το SS7 για να συνδεθούν με άλλους – η επίθεση των Εμιράτων το 2018 φαίνεται να έχει εμπλέξει τις Νήσους της Μάγχης, ανεπαρκώς ρυθμιζόμενες βρετανικές περιοχές, καθώς και την Αμερική, το Καμερούν, το Ισραήλ και το Λάος.

Εκτός από το να χρησιμοποιούν καρτοτηλέφωνα και να φορούν καπέλο από αλουμινόχαρτο, οι απλοί άνθρωποι δεν μπορούν να ξεφύγουν εντελώς από τους κινδύνους του SS7. Ένα λογικό βήμα θα ήταν να χρησιμοποιούν συστηματικά κρυπτογραφημένες από άκρο σε άκρο εφαρμογές ανταλλαγής μηνυμάτων όπως το iMessage, το Signal ή το WhatsApp για κείμενα και κλήσεις. Οι εταιρείες θα μπορούσαν να διασφαλίσουν ότι οι κωδικοί για τον έλεγχο ταυτότητας δύο παραγόντων έρχονται μέσω μιας εφαρμογής και όχι μέσω μηνυμάτων sms, τα οποία μπορούν εύκολα να υποκλαπούν. Ωστόσο, επειδή τα τηλέφωνα εξακολουθούν να πρέπει να συνδέονται σε πύργους δικτύου κινητής τηλεφωνίας, αυτές οι προφυλάξεις δεν μπορούν να αποκρύψουν πού βρίσκεται ο καλών.

Τον Μάρτιο η FCC ανακοίνωσε ότι διερευνά επιτέλους «αντίμετρα» για την ανίχνευση θέσης μέσω των SS7 και Diameter. Οι περισσότερες μεγάλες αμερικανικές εταιρείες κινητής τηλεφωνίας έχουν αποσύρει το SS7. Ωστόσο, μεγάλο μέρος του κόσμου εξακολουθεί να το χρησιμοποιεί. Και το Diameter είναι ακόμα ευάλωτο. Αυτά τα συστήματα μπορούν να διασφαλιστούν με τη χρήση φίλτρων που ανιχνεύουν και μπλοκάρουν την ύποπτη κίνηση. Ωστόσο, πολλές εταιρείες τηλεπικοινωνιών αντιστέκονται σε κάτι τέτοιο. Ένας λόγος είναι ότι το φιλτράρισμα είναι τεχνικά περίπλοκο και μπορεί εύκολα να «στραβώσει» αν μπλοκαριστούν σημαντικές εντολές. Ένας άλλος λόγος είναι ότι οι εταιρείες διστάζουν να πληρώσουν το κόστος. Ελάχιστες θέλουν να καταστήσουν πιο δύσκολη ή δαπανηρή τη ροή δεδομένων από το δίκτυό τους σε άλλα δίκτυα.

Πίσω από όλα αυτά κρύβεται ένα πρόβλημα συλλογικής δράσης. Εάν μόνο μια χούφτα επιχειρήσεων ασχοληθεί με το SS7 αλλά οι υπόλοιπες το αγνοήσουν, το σύστημα θα παραμείνει ανασφαλές. Γι’ αυτό οι εθνικές ρυθμιστικές αρχές οφείλουν να παρέμβουν. Πρέπει να πάψουν να εθελοτυφλούν.

© 2024 The Economist Newspaper Limited. All rights reserved.
Άρθρο από τον Economist, το οποίο μεταφράστηκε και δημοσιεύθηκε με επίσημη άδεια από την www.powergame.gr. Το πρωτότυπο άρθρο, στα αγγλικά, βρίσκεται στο www.economist.com