Аспірант Північно-Східного університету США Евангелос Біцікас розповідає: нещодавно виявлена технологічна вразливість, що стосується надсилання SMS-повідомлень, дозволяє зловмисникам відстежити місцеперебування будь-якого користувача.
Дослідницька група Біцікаса виявила баг, застосувавши алгоритм штучного інтелекту до даних, отриманих з відносно примітивної SMS-системи, якою користувалися власники мобільних телефонів у 1990-х роках. Напрацювання команди можна знайти на сервері препринтів arXiv.
«Просто знаючи номер телефону користувача-жертви та маючи звичайний доступ до мережі, ви можете визначити місцеперебування людини», — пояснює Біцікас. — «Зрештою, це призводить до відстеження користувача в різних місцях по всьому світу».
За словами науковця, безпека SMS-повідомлень не суттєво покращилася з моменту її створення для систем 2G ще 30 років тому. «Коли вам надсилають текст, ваш телефон автоматично відповідає на нього, надсилаючи відправнику підтвердження — по суті, квитанцію про доставку», — каже Біцікас.
Використовуючи метод дослідника, хакер може надіслати кілька текстових повідомлень на мобільний телефон користувача. Час надходження автоматичних відповідей дозволить хакеру визначити місцеперебування — незалежно від того, чи зашифрований тип зв’язку використовує потенційна жертва.
«Як тільки модель машинного навчання створена, зловмисник готовий відправити декілька SMS-повідомлень», — каже Біцікас. — «Результати надходять до моделі машинного навчання, яка здає вашу геолокацію».
Однак Біцікас не знайшов жодних доказів того, що вразливість, яка досі використовувалася в операційних системах Android, наразі експлуатується.
«Це не означає, що [хакери] не скористаються нею пізніше», — пояснює науковець. — «Процедуру може бути важко масштабувати. Зловмиснику потрібно мати пристрої на базі Android у кількох місцях, які щогодини надсилатимуть повідомлення та підраховуватимуть відповіді. Сам збір може зайняти дні або тижні, залежно від того, скільки відбитків зловмисник хоче зібрати. Мало того, що збір та аналіз є складними, так ще й виникає проблема достатнього і правильного налаштування моделі машинного навчання».
Занепокоєння, за словами аспіранта, полягає в тому, що зацікавлені корпорації можуть використати цей недолік для визначення місцеперебування урядових лідерів, активістів, керівників компаній та інших осіб, які бажають зберігати своє місцеперебування у таємниці.
Перш ніж опублікувати дослідження, Біцикас поділився ним з GSMA, глобальною організацією, що об’єднує понад 15 000 експертів, які стежать за здоров’ям і добробутом мобільної екосистеми.
«Наші результати та висновки були перевірені GSMA», — підсумовує Біцікас. — «Вони визнали наші напрацювання, зазначивши, що це складна проблема для вирішення, враховуючи також вартість і зусилля, необхідні для розгортання повноцінних контрзаходів».
За словами вченого, усунення вразливості вимагатиме «капітального ремонту глобальної системи SMS».
«Це відрізняється від того, як Microsoft або Apple створюють патч для програмного забезпечення, щоб вирішити вразливість у системі безпеки», — зазначає дослідник. — «Ці мережі не можуть бути змінені миттєво і скрізь».
Науковець планує додаткові дослідження, які надалі можуть розвинути його прорив.
Джерело: noworries.news
