Una SIM su otto è vulnerabile: rischio imminente

Una SIM su otto è vulnerabile ad uno specifico tipo di attacco che potrebbe consentire ad un malintenzionato di far eseguire operazioni specifiche ad un telefono agendo da remoto. Il rischio è elevato ed imminente, ma ancor più imminente potrebbe essere la risoluzione del caso e la patch in grado di correggere il problema emerso.

Gli studi che hanno portato alla luce la debolezza delle SIM Card è firmato dal ricercatore tedesco Karsten Nohl, il quale dopo tre anni di studi ed esperimenti si dice pronto ad illustrare all’industria quella che è una vulnerabilità di gravissimo impatto potenziale su tutto il mondo della telefonia. La vulnerabilità è il frutto combinato di tecnologie vetuste e software mal implementati, il che potrebbe consentire di aggirare le sicurezze di una normale SIM Card tramite il semplice invio di un SMS ad una utenza-obiettivo.

Nello specifico il problema sarebbe relativo al cosiddetto DES (Data Encryption Standard) e ad una chiave di sicurezza a 56-bit in grado di rivelare i dati così protetti dietro crittografia. Le SIM già protette da AES (Advanced Encryption Standard) non sembrano poter essere in questa fase vulnerabili, lasciando ogni problema ai precedenti sistemi di protezione.

Nohl presenterà le proprie conclusioni alla Black Hat Security Conference di Las Vegas, in programma per il 31 luglio, ma nel frattempo i dettagli del problema sono già stati esposti al mondo dei carrier tramite l’intercessione della GSMA. Secondo quanto appurato dal ricercatore tramite la sua Security Research Labs, infatti, circa una SIM su quattro sarebbe vulnerabile. Essendoci però differenze specifiche a livello localizzato, la stima può essere abbassata ad una SIM vulnerabile ogni 8. Se si ipotizza l’esistenza di circa 5 miliardi di SIM in tutto il mondo, la proiezione è di circa 600 milioni di SIM a rischio.

Alcuni tra i maggiori carrier a livello internazionale avrebbero già iniziato lavori congiunti per arrivare ad una soluzione del problema. Si ipotizza infatti la possibilità per cui entro 6 mesi circa l’industria del malware possa riuscire a focalizzare il bug identificato e possa pertanto riuscire a sfruttarlo: se i carrier riusciranno a correggere il tiro entro il prossimo semestre, è possibile che la vulnerabilità possa essere disinnescata in tempo senza colpo ferire. In caso contrario vasti mercati sarebbero a rischio e tutto il mercato basato su SIM Card potrebbe veder minate alla base le proprie certezze.