Мы вас внимательно слушаем Даниил Туровский — об уязвимости, позволяющей вскрыть почти любой мобильный телефон

90% всех мобильных телефонов в мире могут быть вскрыты хакерами, утверждается в исследовании российской компании Positive Technologies, занимающейся безопасностью систем сотовых операторов. Слушать разговоры, перехватывать SMS-сообщения, получать доступ к мобильному банкингу и даже мессенджерам позволяет малоизвестная (до недавнего времени) уязвимость в мировой телефонной инфраструктуре — системе сигнальных протоколов SS7, по которым передаются служебные команды сотовых сетей. В 2013 году бывший сотрудник ЦРУ и Агентства национальной безопасности (АНБ) США Эдвард Сноуден предоставил документ из архива АНБ о специальной программе на основе SS7, открывающей возможности слежки за любым абонентом. В апреле 2016-го «дыру» в SS7 успешно использовали для «экспериментальной прослушки» американского конгрессмена. Вероятно, та же технология применяется и в России. Спецкор «Медузы» Даниил Туровский рассказывает, как получилось, что под угрозой прослушивания и взлома оказался практически любой обладатель мобильного телефона.

В один из майских дней 2016 года Роман Удот убедился, что его телефон прослушивают. Удот давно работает в ассоциации наблюдателей «Голос», которая отслеживает нарушения на выборах (и крайне нервирует российские власти). «Если ты представляешь интерес, твой телефон прослушивают, это как дважды два — четыре, — говорит он. — Узнают из разговора, куда я хожу ужинать с друзьями? Это издержки того, чем мы занимаемся. С этим нужно смириться».

В последнее время на многих встречах и мероприятиях «Голоса», о которых не сообщалось публично, появлялись сотрудники телеканала НТВ — из отдела, снимающего сенсационные «разоблачительные» фильмы, посвященные российским оппозиционерам (фильм о «Голосе» вышел 3 июня 2016 года).

За несколько дней до случайного эксперимента с «Голосом» по электронной почте связались представители канадского посольства. Они попросили о встрече, чтобы обсудить грядущие думские выборы и работу ассоциации. Обычно такие встречи проходили в посольстве или в кафе, но в этот раз дипломаты предложили встретиться в офисе наблюдателей. О точном месте, дате и времени договорились уже по телефону. Удот написал в фейсбуке сопредседателю «Голоса» Григорию Мельконьянцу; тот согласился на встречу и обрадовался, что наконец можно будет проверить, появятся ли там после телефонного разговора сотрудники НТВ.

Когда канадцы приехали в офис, возле здания почти сразу же появился автомобиль телекомпании. В разговоре с Удотом журналисты сказали, что не прослушивают его телефон. Через несколько дней в этих же сотрудниках бывший посол США Майкл Макфол узнал тех, кто в 2012 году следовал за ним на мероприятия, проведение которых никак не анонсировалось. Госдепартамент США тогда предполагал, что телекомпания получила доступ к его расписанию, взломав почту или телефоны.

Michael McFaul

✔@McFaul

Everywhere I go NTV is there. Wonder who gives them my calendar? They wouldn't tell me.Wonder what the laws are here for such things?

12:43 PM – 29 Mar 2012

117117 Retweets

1717 likes

Специалист по информационной безопасности одной из российских компаний, занимающихся киберзащитой, заявил «Медузе», что в случае Удота речь может идти о слежке спецслужб через СОРМ (аппаратура для прослушки, которой оперативники ФСБ пользуются по решению суда) или вирусе-шпионе в телефоне. Но не исключено, по его словам, что прослушка осуществлялась через уязвимость в мобильной связи, о которой почти никто не знает, — с помощью «дыры» в системе протоколов SS7, используемой телефонными компаниями для передачи служебных команд. Благодаря этой уязвимости после несложного взлома можно перехватывать и прослушивать звонки, отслеживать местонахождение абонента, читать и даже переписывать SMS.

Под ударом может оказаться практически любой обладатель телефона — политик, правозащитник, журналист, бизнесмен, жена ревнивого мужа, муж ревнивой жены; прочие семь с половиной миллиардов абонентов мобильной связи. Хакеры могут атаковать любые телефоны — и старые кнопочные, и смартфоны, и устройства на базе iOS или Android.

От атак через SS7 не защищены около 90% мобильных операторов мира; SMS-сообщения 89% абонентов можно перехватить; 58% абонентов можно отследить; разговоры половины абонентов можно прослушать. Об этом говорится в последнем докладе российской компании Positive Technologies, исследовавшей системы безопасности крупнейших мобильных операторов мира.

Что такое SS7

Уязвимость SS7 игнорируется больше 30 лет.

SS7 начали разрабатывать в 1970-х. В то время радиолюбители увлекались конструированием самодельных аппаратов, с помощью которых удавалось имитировать передачу сигналов между телефонными станциями («межстанционную сигнализацию») и отправлять на них нужные команды. Такие аппараты, известные как «синие коробки», позволяли звонить почти бесплатно по любым направлениям, оплачивая звонки как местные. «Синие коробки» в гараже собирали, например, и создатели Apple Стив Джобс и Стивен Возняк.

Для борьбы с мошенниками телефонные компании разделили абонентский (передачу голоса) и служебный трафик (технические команды). Так появилась SS7, система сигнальных протоколов для обмена информацией и маршрутизации вызовов (какой номер вызывает, кого, откуда и так далее). Ее можно сравнить с системой метрополитена: SS7 — это служебные тоннели для рабочих, а не те, по которым ходят поезда.

SS7 начала работать в начале 1980-х и объединила телефонных операторов по всему миру. В России, США, Азии, Европе протоколы называются по-разному, они незначительно различаются, но совместимы друг с другом; в целом система по своему устройству напоминает интернет. В России SS7 называют ОКС-7 (общий канал сигнализации № 7), в США — ССS7, в Германии — N7, в Великобритании — CCIS7; общепринятое название — SS7.

В начале 2000-х годов было разработано дополнение к SS7 — программное обеспечение Sigtran, которое позволило передавать сообщения и команды по IP-сетям: компоненты сети SS7 стали доступны в публичных сетях, подключиться к некоторым из них можно через интернет. Новое и инновационное ПО продолжило работать на старой системе, которую никак не защитили; более того, осуществить «врезку» в эту систему теперь оказалось даже проще.

Публичное обсуждение «дыры» в SS7 началось в 2008 году. На хакерской конференции «Chaos Computer Club» (одна из крупнейших в мире) немецкий исследователь информационной безопасности Тобиас Энгель показалсобравшимся способы слежки за абонентами мобильной связи, основанные на проникновении в SS7. В правительствах и спецслужбах об уязвимости, видимо, знали еще раньше. В книге специалистов по телекому Томаса Портера и Майкла Гуфа «Как обойти защиту VoIP» («How to Cheat at VoIP Security»; VoIP — интернет-телефония), вышедшей в 2007-м, указывалось, что администрация президента США серьезно обеспокоена высоким уровнем угрозы атак на основе SS7. О возможности атак через уязвимость в SS7 говорилось и в других американских документах с 1998 года. Об уязвимости не могли не знать мобильные операторы.

В 2013-м бывший сотрудник ЦРУ и Агентства национальной безопасности США Эдвард Сноуден передал журналистам The Guardian и The Washington Post архивы, подтверждающие, что спецслужбы США и Великобритании сами могут следить за любым человеком на планете (и пользуются этой возможностью). Свои действия он объяснил тем, что «не хочет жить в мире, где все, что я делаю и говорю, записывается».

В том же году The Washington Post рассказала, что АНБ использовала атаки на SS7 как один из методов слежки. А в 2014-м журналисты издания сообщилио специальных программах для слежки на основе SS7 — и том, что с помощью SS7 хакеры могут «определить местоположение абонента в любой точке мира, прослушивать разговоры в реальном времени или записывать зашифрованные звонки и текстовые сообщения для дальнейшей расшифровки».

Только после публикаций в The Washington Post об уязвимости узнали обычные граждане.

Тем не менее спустя почти три года после публикации первых материалов, основанных на архивах Сноудена, в системе безопасности мобильных сетей, по всей видимости, ничего не изменилось. Мобильные операторы по всему миру, как правило, отказываются признавать существование проблемы. Многие «белые хакеры» (они взламывают компании по заказу самих компаний) уверены, что SS7 создана и продолжает существовать в прежнем виде в том числе из-за того, что ее удобно использовать для слежки и прослушки. «Годами спецслужбы знают и молчат об уязвимостях в сетях связи, которые делают граждан уязвимыми для хакеров. Почему? Они тоже их используют», — утверждало издание The Daily Beast.

В конце апреля 2016-го журнал Wired назвал уязвимость SS7 «критической».

Специалист по информационной безопасности Тобиас Энгель

Кадр: CCCen / YouTube

Как происходят атаки

Когда небольшая встреча по информационной безопасности подходит к концу, Дмитрий Курбатов из Positive Technologies наставляет собравшихся: «SMS — только для поздравлений, тайные разговоры — в поле. Конституция гарантирует право на тайну переписки, но не нужно на него полагаться».

Дмитрию Курбатову около 30 лет, у него на плече татуировка, на нем джинсы и футболка с разноцветными черепами; он один из немногих в мире специалистов по уязвимости SS7, работает руководителем отдела безопасности телекоммуникационных систем в российской компании Positive Technologies. По работе Курбатов ежедневно с разрешения российских мобильных операторов пытается их взломать.

«Слушать [граждан] через SS7 — путь очень непыльный, следов ты не оставляешь, действовать можно откуда угодно, — говорит Курбатов. — Можно сидеть в Южной Америке, а прослушивать человека в Германии».

Доступ к хакингу и прослушке открывается после подключения к системе SS7 — это самое сложное во всем процессе взлома.

В первые годы к SS7 имели доступ избранные коммерческие и государственные телефонные компании. В 2016-м подсчитать количество легальных подключений к SS7 невозможно: это и мобильные операторы, и виртуальные мобильные операторы, и развлекательные контент-провайдеры. В этих компаниях работают сотни тысяч человек; среди них могут оказаться и нелояльные сотрудники с необходимыми навыками.

В 2014 году Курбатов и его коллега Сергей Пузанков проверили, насколько легко найти оператора, готового подключить незнакомцев к SS7. Беседуя с представителями мобильных операторов из Южной Америки и Средней Азии, они прикинулись начинающими контент-провайдерами дополнительных услуг, которым требуется подключение к SS7, чтобы «рассылать абонентам лучшие прогнозы погоды». Многие операторы согласились дать им доступ официально, другие предлагали подключение за четыре тысячи долларов. По словам Курбатова, имея знакомых в любом из операторов связи, получить доступ к SS7 очень легко.

Прослушка и слежка кажется специализацией силовиков, крайне дорогим и сложным делом. Однако из-за небезопасности SS7 информацию о частной жизни может получить любой хакер среднего уровня. Чтобы атаковать абонентов, не требуется сложное оборудование. «Не нужно быть гением или службой разведки, чтобы все это реализовать, — говорит Курбатов. — Программный комплекс мы сами написали, дополнив скачанное из интернета. Порог входа — низкий».

Сделав главное, то есть подцепившись к SS7, взломщик начинает работать «по целям» — то есть по абонентам, за которыми он собирается следить. Сначала с помощью соответствующего софта он узнает номер IMSI — специальный идентификатор, который присваивается каждому мобильному абоненту (содержит код страны, код оператора и внутренний уникальный номер сим-карты). Одновременно получает параметры MSC/VLR (коммутатор вызовов и местоположения), благодаря которым абонент находится в сети.

Все это хакеру потребуется, чтобы обмануть «домашнюю» сеть абонента и перевести его в свою — фальшивую. Для «домашней» сети это будет выглядеть так, будто абонент («цель») уехал в роуминг; сам абонент об этом никогда не узнает. Фальшивая сеть передаст команду оператору, что теперь сама обслуживает абонента (то есть оператор получит сигнал, что его абонент находится в зоне обслуживания другого мобильного оператора). После этого — с помощью специального ПО — хакер сможет перехватить SMS, прослушать звонки, отследить местоположение «цели».

Курбатов говорит, что такой доступ в меньшей степени используется для слежки; чаще — для воровства денег с мобильных кошельков и SMS-банкинга: это обычно небольшие деньги, но преступные группировки берут оборотом. Действуют они распределенно: придумавшие схему находятся в одной стране, программисты в другой; попадаются чаще всего те, кто работает «на земле» и занимается переводами и обналичиванием украденных денег.

В «глубоком интернете», куда можно попасть через Tor, несложно обнаружить предложения о слежке: «Хочешь последить за подружкой? Кидалова нет, первый день слежки бесплатно»; «Делаем пробив, определение местоположения. И прочие полезные услуги». Там же продаются программы, позволяющие атаковать SS7. Но и в обычном открытом интернете работают десятки сайтов, предлагающих заказать распечатку SMS и звонков. На одном из них указано: «Вы хотите быть уверенным в человеке? Не желаете допустить ошибку? Наш сервис создан для вас!» Впрочем, судя по отзывам, эти сайты — мошеннические; они перестают отвечать «клиентам», получив первый взнос. Один из специалистов по информационной безопасности в разговоре с «Медузой» усомнился в том, что в интернете могут открыто действовать сайты для слежки.

Помимо перехвата звонков и сообщений с помощью атак через SS7 хакер сможет вывести телефон из строя: устройство показывает, что ловит сигнал, но до него нельзя дозвониться. Такие атаки могут навредить бизнесменам во время переговоров, журналистам, связывающимся с источниками; они также могут использоваться во время вооруженных конфликтов.

Взломы

В апреле 2016 года немецкий исследователь мобильных сетей Карстен Нол в рамках эксперимента телеканала CBS взломал и прослушал разговоры американского конгрессмена Теда Лью. Взломщик знал только номер мобильного телефона политика. Для атаки хакер использовал уязвимость в SS7. Помимо прослушки и записи всех разговоров, он смог отследить перемещения конгрессмена — несмотря на то что в смартфоне был выключен GPS.

Конгрессмен был в шоке. После эксперимента он признался журналистам, что в 2015 году ему на личный телефон звонил президент США Барак Обама. «Мы обсудили с ним ряд вопросов, — сказал он. — Если бы хакеры слушали нас, они узнали бы содержание этой беседы. Все это вызывает огромное беспокойство». Он потребовал, чтобы конгресс провел расследование и обезопасил пользователей мобильных телефонов. «Люди, которые знали об этой бреши, должны быть уволены, — сказал он. — Нельзя подвергать 300 миллионов американцев, всю нацию риску перехвата телефонных переговоров лишь потому, что эта уязвимость известна и может быть полезна спецслужбам. Это неприемлемо».

Через SS7, видимо, не раз всерьез прослушивали политиков.

В феврале 2014 года на ютьюбе выложили аудиозапись телефонного разговора, в котором якобы участвовали заместитель госсекретаря США Виктория Нуланд и посол США в Киеве Джеффри Пайет. «Дипломаты» обсуждали украинских политиков, «Нуланд» во время разговора заявила, в частности, что не считает «хорошей идеей» включение Виталия Кличко в состав местного правительства, — и предлагала своих кандидатов. Одним из первых запись разговора выложил в твиттере помощник Дмитрия Рогозина Дмитрий Лоскутов; позже он утверждал, что случайно наткнулся на ссылку. В том же году на ютьюбе появилась аудиозапись предполагаемой беседы украинских политиков Юлии Тимошенко и Нестора Шуфрича.

В конце мая 2014 года Национальная комиссия по вопросам государственного регулирования в сфере связи и информатизации Украины (НКРСИ) опубликоваларезультаты проверки информации о том, что звонки некоторых абонентов украинского МТС проходят через российские коммутаторы. В отчете указывалось, что хакеры, используя уязвимость, переключали абонентов «МТС-Украины» на сервер, предположительно принадлежащий российской «дочке» Tele2 — Rostov Cellular Communications. Представитель Tele2 это опровергал.

В России для прослушивания звонков и перехвата переписки спецслужбы могут использовать СОРМ — систему технических средств для обеспечения оперативно-разыскных мероприятий. Она существует с конца 1980-х и несколько раз обновлялась. По российскому законодательству спецслужбы имеют право задействовать систему только по решению суда. При этом в 2012 году Верховный суд России признал законным право спецслужб прослушивать оппозиционеров только на основании того, что они занимаются протестной деятельностью. В расследовании российского Forbes указывалось, что решение о прослушке сотрудник ФСБ никому не обязан показывать — операторы связи не имеют права знать, чьи переговоры или почту перехватывают спецслужбы. Пункты управления СОРМ соединены по защищенному кабелю с серверами мобильных операторов и интернет-провайдеров, для прослушки сотруднику ФСБ достаточно ввести команды на пульте управления СОРМ, который находится в здании местного управления ведомства.

Однако с помощью СОРМ спецслужбы могут прослушивать только абонентов российских операторов — граждан РФ, уехавших в другие страны, отследить с помощью СОРМ не удастся. Зато это позволяет сделать уязвимость SS7.