Jak rosyjskie służby kradną opozycjonistom SMSy i konta w komunikatorach

Korzystacie z kodów SMS zapewniających bezpieczeństwo Waszych kont? Niestety zabezpieczają Was one jedynie przed częścią przeciwników – a na tej liście raczej nie ma zdeterminowanych służb specjalnych państw nie do końca demokratycznych.

Od dawna polecamy wszystkim włączenie dwuskładnikowego uwierzytelnienia opartego o kody SMS jako dobrego zabezpieczenia przed atakami zmierzającymi do przejęcia konta. Niestety w niektórych przypadkach takie zabezpieczenia okazują się niewystarczające.

Telegram i jego dziwny model

Choć aplikacja ta nie jest szczególnie popularna w Polsce, to na całym świecie ponad 100 milionów osób korzysta z komunikatora Telegram. Zdobył on sporą popularność mimo niekoniecznie najwyższego poziomu bezpieczeństwa. Jedynie jego „rozmowy prywatne” są szyfrowane na całej trasie komunikacji, a domyślnie prowadzone rozmowy przechowywane są na centralnych serwerach. Również ciekawy jest domyślny sposób logowania się do aplikacji – użytkownik dodając nowe urządzenie musi podać login oraz kod SMS przesyłany na podstawowy numer telefonu. Można także włączyć mocniejsze uwierzytelnienie, gdzie wymagane jest także hasło, ale nie jest to domyślna opcja. Ten właśnie aspekt leżał u podstawy problemów pewnego rosyjskiego aktywisty.

Oleg Kozłowski i jego telefon

Oleg Kozłowski jest rosyjskim opozycjonistą oraz aktywnym użytkownikiem aplikacji Telegram. Wczoraj rano po przebudzeniu zauważył wiadomość od serwisu Telegrama informującą go, że ktoś w nocy dodał do jego konta nieznane mu urządzenie. Prześledził przebieg nocnych wydarzeń i podzielił się nim na swoim Facebooku. A wyglądało to tak:

• godzina 2:25 – MTS (największy rosyjski operator komórkowy) na zlecenie departamentu bezpieczeństwa technicznego wyłącza usługę SMS na jego koncie (taką wiadomość otrzymał podobno od obsługi klienta)
• 2:40 – ktoś z adresu IP 162.247.72.27 (węzeł wyjściowy Tora) za pośrednictwem tekstowego klienta Telegramu zgłasza chęć podłączenia nowego urządzenia do konta powiązanego z numerem telefonu Olega
• 3:08 – urządzenie zostaje podłączone a Oleg otrzymuje wiadomość z potwierdzeniem operacji (którą odczyta dopiero rano)
• 3:12 – z tego samego adresu IP następuje podłączenie urządzenia do konta innego opozycjonisty
• 4:55 – usługa SMS zostaje włączona

Wiadomość od Telegramu

Oleg przyznał, że korzystał z domyślnej opcji, w której wystarczył numer telefonu oraz kod SMS by podłączyć nowe urządzenie. Po włamaniu zmienił ustawienia, by system wymagał także jego hasła. Włamywacz mógł podejrzeć jego listę kontaktów oraz historię rozmów prowadzonych w zwyczajnym lub grupowym trybie – niewidoczne dla niego były tylko „rozmowy prywatne”, czyli prowadzone w cztery oczy po wybraniu odpowiedniej opcji.

Jak mogło dojść do ataku

Oczywiście nie wiemy w jaki sposób ktoś ukradł SMSa z kodem autoryzującym dodanie nowego urządzenia ale do głowy przychodzi kilka scenariuszy. Sporo ostatnio pisze się o znanych od lat atakach na protokoły SS7 stosowane w sieciach telefonicznych i umożliwiających między innymi podsłuchiwanie cudzych rozmów czy przechwytywanie wiadomości SMS. Znane są także przypadki przeprowadzania takich ataków przez Rosjan. Wiadomo także, że Rosja, podobnie jak większość krajów całego świata, dysponuje państwowym systemem podsłuchowym (zwanym SORM), który umożliwia utrwalanie treści rozmów oraz SMSów wybranych numerów. Dlaczego w takim razie Oleg mówi, że wyłączono mu na 2 godziny usługę SMS? Można spekulować że była to próba ukrycia ataku (wiadomość można było podsłuchać, lecz chodziło o to, by w ogóle nie dotarła do adresata). Jeśli tak to był to wyjątkowo niedbale przemyślany plan – Oleg dostał przecież powiadomienie od aplikacji na jego telefonie.

Nie tylko Rosja

Opisywany wyżej przypadek nie jest odosobniony. Kilka miesięcy temu w Iranie zaobserwowano falę kasowania kont i kanałów w aplikacji Telegram związanych z ruchami opozycyjnymi. Użytkownicy widzieli informacje o logowaniach na ich konta, lecz nie byli w stanie im zapobiec. Istnieje podejrzenie, że służby bezpieczeństwa przechwytywały ich wiadomości SMS by przejąć kontrolę nad niektórymi kontami.

Niestety powyższe przykłady pokazują, że uwierzytelnienie oparte o wiadomości SMS nie sprawdza się w scenariuszach gdzie adwersarzem jest ktoś kto może wywrzeć wpływ na zarządzających siecią komórkową (lub dysponuje środkami umożliwiającymi przechwycenie wiadomości bez udziału operatora). Choć korzystanie z wiadomości SMS jako mechanizmu uwierzytelnienia jest bardzo wygodne (deleguje problem zaufania na inny podmiot), to niekoniecznie jest najlepszym rozwiązaniem. Powoli do tego wniosku dochodzą także polskie banki, które intensywnie przyglądają się alternatywnym metodom uwierzytelnienia niekoniecznie opartym o to samo urządzenie, z którego klienci coraz częściej wysyłają przelewy.

Dodatkowa lektura oraz źródła: Bellingcat, BrainOverfl0w