の韓国の研究者4G 経由での通話を可能にする VoLTE プロトコルに多くの欠陥が発見されました。この調査は、次のセキュリティ研究者によって総合されました。CERT 研究所。 Apple デバイスに脆弱性がないとしても、Android デバイスには当てはまりません。リスクとしてはデータの盗難だけでなく、回線の不正利用も考えられます。
VoLTE は、従来の VOIP と同様に、IP ベースの SIP プロトコルを介して 4G ネットワーク上で音声送信を可能にする技術です。この新しい方法により、3G などの古いネットワークでは以前は不可能だった新しい攻撃を実行できるようになります。フランスの通信事業者はまだこのテクノロジーを導入していませんが、Orange and Bouygues Telecom に間もなく到着するはずです。さらに、すべての通信事業者が同じ VoLTE テクノロジーを実装しているわけではありません必ずしもすべてが同じ欠陥に対して脆弱であるとは限りません。研究者によって検出された脆弱性は合計 4 つあります。
最初の欠陥は許可システムに関するものです。Android では、これは (iOS とは異なり) 十分に統合されていないため、ハッカーが黙って電話をかけることができます。CALL_PHONE 権限ではなく、アプリケーションの INTERNET 権限を介してのみ。
もう 1 つの脆弱性は、2 台のモバイルが SIP サーバーを経由せずに相互に直接通信できる可能性に関するものです。この場合、ハッカーは次のことを行う可能性があります。電話番号を偽装する(私たちが呼んでいるものスプーフィング) 後者で通話を行うと、過充電につながる可能性があります。認証が適切に実行されなかった場合にも同じ結果が発生し、3 番目の脆弱性が発生します。最後に、最後の欠陥は、クライアントが複数の SIP セッションに同時に接続する可能性に関するものです。これにより、ハッカーがネットワーク内で P2P 接続を作成し、他の脆弱性を悪用してスマートフォンからデータを回復したり、DoS タイプの攻撃を実行したりすることが可能になります。ネットワークを崩壊させます。
すでに修正が進行中です
米国の 3 つの主要な携帯電話ネットワーク (T-Mobile、Verizon、AT&T) はすべて、次の影響を受けています。VoLTE テクノロジーの実装における少なくとも 1 つのセキュリティ上の欠陥。最後の 3 つの脆弱性が通信事業者のネットワークにのみリンクされている場合、最初の脆弱性は Android の権限システムにリンクされています。そこでGoogleは、セキュリティパッチが配信中だったそして、Nexus の 11 月のセキュリティ アップデートで到着する予定です。他のメーカーも、AOSP コードに基づいてこの修正を適用できます。
Chiyoye