3.2.06

Τεχνικά ερωτήματα περί υποκλοπών

Επειδή οι δημοσιογράφοι και οι υπουργοί δεν έχουν μεγάλο ταλέντο στην εξήγηση τεχνικών θεμάτων, μπορεί κάποιος αναγνώστης να μου πει, αν έχει καταλάβει:

1. Πού ήταν εγκατεστημένο το "λογισμικό"; Τι θα πει κέντρο λειτουργίας της Vodafone, ένα μόνο τέτοιο υπάρχει; Πού βρίσκεται αυτό;
2. Ήταν λογισμικό που το φόρεσαν πάνω στο σύστημα εκμεταλλευόμενο αδυναμίες του, ή απλώς λογισμικό ενεργοποίησης κάποιας πύλης συνακρόασης που ήδη υπήρχε στο σύστημα (ή ήταν επέκταση του συστήματος) και ενεργοποιήθηκε με συγκεκριμένο τρόπο / προστέθηκε εκ των υστέρων;
3. Θα ήταν δυνατή η remote εγκατάσταση ή ενεργοποίηση του όλου λογισμικού, ή θα πρέπει να ήταν κάποιος σε κάποιο κεντρικό υπολογιστή για να το κάνει;
4. Η Ελευθεροτυπία μιλάει για "60 κωδικούς πρόσβασης" που θα ήταν απαραίτητοι για να μπει κανείς στο σύστημα. Έχει αυτό βάση;
5. Αν η απάντηση στο παραπάνω είναι ναι, ποιοι έχουν αυτούς τους κωδικούς; Μπορεί να σπάσουν, χωρίς συνεργό μέσα στην εταιρία;
6. Σε αυτά τα καρτοκινητά "σκιές", δεν καταγράφονται τα νούμερα που καλούσαν; Αυτό ισχύει για όλα τα καρτοκινητά;
7. Υπάρχουν άλλες μέθοδοι υποκλοπών, λιγότερο ανιχνεύσιμοι, που ενδέχεται να είναι εγκατεστημένοι στα συστήματα της cosmote και της tim;
8. Έχει η εταιρία γνώση του τελικού χρήστη του κάθε αριθμού κινητού. Μπορεί να συνδέσει π.χ. το κινητό Χ με τον Καραμανλή; ή το κινητό Ψ με τον υπεύθυνο προμηθειών του Πενταγώνου; Ή αυτή η πληροφορία πρέπει να έχει έρθει από αλλού.
9. (μη-τεχνικό) Η ΕΥΠ εκτός από το να κακοποιεί Πακιστανούς δεν έχει άλλες δυνατότητες π.χ. αντικατασκοπεία; Ή μήπως ήταν και η ΕΥΠ στο κόλπο;

Μια προσθήκη: Υπήρξαν πριν τους Ολυμπιακούς αγώνες επισκέψεις τεχνικών "ασφαλείας" οιουδήποτε είδους στην Vodafone εν όψει της κατάστασης επιφυλακής τότε; Απέκτησαν πρόσβαση στα συστήματα της Vodafone και αν ναι, σε ποιον βαθμό. Αν υπήρξαν τέτοιες επισκέψεις, από ποιούς; Υπήρξαν και για άλλες εταιρίες;

10 σχόλια:

Roman είπε...

Αυτό το τελευταίο ήταν και το πιο εξοργιστικό!!

Είναι δυνατόν να λέει ο Υπουργός Δημοσίας Τάξεως ότι δεν είναι ευθύνη της Εθνικής Υπηρεσίας Πληροφοριών η αντικατασκοπεία?? (γιατι αυτό ουσιαστικά υπονόησε)??

Δηλαδή τίνος ακριβώς είναι η ευθύνη? Δικιά μου??

cyberdust είπε...

Μπορώ να σου πω για το σημείο 4, ότι συνήθως στη πράξη και για ευκολία του διαχειριστή / προγραμματιστή όλοι αυτοί οι κωδικοί απλοποιούνται σε έναν και μοναδικό. Αυτό είναι μεν εγκληματικό, αλλά μία συνήθης πρακτική.

Για το 2, αν και ειπώθηκαν πολλά, όλα δείχνουν ότι ήταν μία εγγενής δυνατότητα του συστήματος να παρέχει συνακροάσεις. Απλός δεν ήταν ακόμα ενεργοποιημένο, και μάλλον ήταν ένα πρόβλημα πληρωμής του κατασκευαστή από την Vodafone. Αναρωτιέμαι αν η ενεργοποίηση μπορεί να γίνει μόνο με reboot (και φυσικά γνωρίζοντας τους κωδικούς). Αν αληθεύει αυτό, τότε είναι δουλειά εκ των έσω.

morpheous είπε...

όσο αναφορά το 2
Το σύστημα προ υπήρχε, απο την ericsson. Δεν ήταν σε λειτουργία κ κατ 99% δεν λειτουργούσε ακριβώς έτσι. Άρα με το δικό μου μυαλό (γιατί κανείς δεν το αποσαφήνισε για ευνόητους λόγους) σίγουρα θα τοποθετήθηκε ένα "πρόγραμμα" script δεν ξέρω πως να το πω, που θα χρησιμοποιούσε τις δυνατότητες του συστήματος και θα έκανε και κάποια άλλα πράγματα. Άλλωστε το γεγονός οτι ενεργοποιούνταν μονο σε κάθε κλήση και μετά απενεργοποιούταν δείχνει οτι μάλλον κάπως έτσι έγιναν τα πράγματα.
όσο αναφορά το 5, και πάλι με το δικό μου μυαλό θα πω πως είναι πρακτικά αδύνατο να γίνει χωρίς συνεργό μέσα απο την εταιρία, αλλά αυτό είναι εικασία.
για το 3 η remote παραβίαση του συστήματος είναι πρακτικά αδύνατη, εκτός και αν τα παλικάρια είναι 100 χρόνια μπροστά! αλλα και πάλι είναι λίγο απίθανο!

Argos είπε...

Και αφού ρωτάς Μιχάλη, μήπως ξέρει να μου απαντήσει κανένας αν η πράξη του Δ. Συμβούλου της Vodafone να "αποσυνδέσει/αποσύρει" το λογισμικό, με συνέπεια, κατά δήλωση Βουλγαράκη, να μην μπορεί να βρεθεί ο υποκλέπτων, αποτελεί ποινικά κολάσιμη πράξη; Κάτι σαν καταστροφή αποδεικτικών στοιχείων; Αν ναι γιατί δεν είναι στην ψειρού ο κύριος.

thalis είπε...

για το 6
τα καρτοκινητά "σκιές" δεν καλούσαν άλλα κινητά παρά μόνο δεχοταν τις κλήσεις ταυτόχρονα με τα κινητά των θυμάτων.

OldSkipper είπε...

Δινω μερικες τεχνικες απαντησεις μιας και ειναι η δουλεια μου. Ασχετα απο τις δικες μου απαντησεις, δεν καταλαβαινω γιατι ενδιαφερεστε τοσο πολυ για το τεχνικο μερος - το οποιο ειναι εξαιρετικα πολυπλοκο. Ειναι α-νοητο να προσπαθουν μη-τεχνικοι να καταλαβουν τι εγινε.
Κατα την γνωμη μου θα επρεπε οι πολιτικοι και οι διοικοιτικοι να αναθεσουν στους τεχνικους να βρουν τι εγινε, πως και γιατι. Το αν θα ανακοινωσουν τα αποτελεσματα της τεχνικης ερευνας ειναι βεβαια αλλη υποθεση.

Στα τεχνικα τωρα: κατ' αρχην πρεπει να θυμομαστε οτι τα παντα (!) στην κινητη τηλεφωνια ειναι ψηφιακα. Αυτο σημαινει ευκολη αποθηκευση και ευκολη αντιγραφη.

1) Η Vodafone - οπως και καθε εταιρεια κινητης - εχει πολλα κεντρα λειτουργιας. Το καθε κεντρο συλλεγει ενα μερος των πληροφοριων, το οποιο προωθειται σε τακτα χρονικα διαστηματα σε καποια κεντρικα. Να σημειωσω εδω οτι ολες οι εταιρειες ανταλλασσουν στοιχεια μεταξυ τους, ειδικα στην περιπτωση του roaming. Το παρανομο λογισμικο μπορει τελικα να ηταν εγκατεστημενο παντου - αναλογα με το τι ακριβως εγινε (που δεν θα μαθουμε).

2) Οχι, δεν χρειαζεται να εγκατασταθει κατι εκ των υστερων. Η ψηφιακη πληροφορια καθε συνομιλιας υπαρχει στο συστημα. Σβηνεται μετα απο χρονικο διαστημα Χ, που το καθοριζει η εταιρεια. Επισης το δικτυο αποτελειται απο πολλα επι μερους συστηματα, που διαχειριζονται (αποθηκευουν) επι μερους στοιχεια μιας συνδιαλεξης.
Ενα παρανομο λογισμικο μπορει να "σπασει" τα κεντρικα, οπου αποθηκευεται ολοκληρη η πληροφορια αλλα μπορει να "σπασει" καποιο υποσυστημα, να συλλεξει την συνδιαλεξη κομματι-κομματι και να την συναρμολογησει μονο του.

3) Αναλογα με το για ποιο (υπο)συστημα μιλαμε. Remote εγκατασταση ειναι πολυ δυσκολη αλλα στα μετρα του δυνατου αν μιλαμε για κατασκοπικες υπηρεσιες.
Παντως αν εξαγορασεις εναν υπαλληλο και τον βαλεις να σου εγκαταστησει ενα πειρατικο λογισμικο, εισαι μεσα. Η εταιρεια δεν μπορει να ελεγξει κατι τετοιο. Ισως να βρουνε τον υπαιτιο εκ των υστερων σε ελεγχο - αλλα δεν μπορουνε να "προλαβουνε" τον δραστη.

4) Παλι εξαρταται απο το υποσυστημα που εξεταζουμε. 60 κωδικοι μου φαινονται πολλοι. 4-5 μαλλον αρκουν. Σημειωτεον, οτι σπανια ενας υπαλληλος κατεχει τοσους πολλους κωδικους. Για να γινει απατη τετοιας εκτασης πρεπει να συμμετασχουν αρκετοι υπαλληλοι ανταλλασσοντας τους κωδικους τους.

5) Οι κωδικοι ανηκουν σε ανθρωπους της εταιρειας. Μπορει ομως καλλιστα ο κρατικος / κατασκοπικος μηχανισμος "για λογους ασφαλειας" να υποχρεωσει την εταιρεια σε γνωστοποιηση των στοιχειων.
Δεν ξερω για την Ελλαδα αλλα στην Γερμανια δεν χρειαζονται ουτε κωδικοι, ουτε παρανομιες, ουτε κοριοι, ουτε σκανδαλα. Ο εισαγγελεας μπορει να εκδωσει ενα ενταλμα και να ζητησει ΟΛΑ τα στοιχεια ενος συνδρομητη (φυσικα και το περιεχομενο των συνδιαλεξεων).

6) Ολα καταγραφονται.

7) Γενικα οχι. Για να υποκλεψεις ενα τηλεφωνημα εχεις 2 μεθοδους. α) υποχρεωνεις την εταιρεια να σου δωσει οτι θελεις ("κρατικη ασφαλεια") β) μπαινεις παρανομα σε ενα υποσυστημα της εταιρειας και διαβαζεις τα στοιχεια.
Για το β) χρειαζεσαι ωρισμενους κωδικους ειτε πρεπει να εκμεταλλευτεις εγγενεις αδυναμιες του συστηματος.
Παντως το β) ειναι μαλλον αδυνατον να το κανεις πολυ καιρο και να μεινεις απαρατηρητος.
Ολα τα συστηματα αναβαθμιζονται συνεχως - ιδιως σε σχεση με την ασφαλεια - και επισης παρακολουθουνται συνεχως.

8) Η εταιρεια φυσικα και εχει γνωση ποιος συνδρομητης κατεχει ποιον αριθμο. Κανονικα δεν μπορει να συνδεσει ενα νουμερο "οπου να 'ναι" αλλα με λιγο τεχνικο "σπρωξιμο" (παρανομη αλλα σχετικα ευκολη αλλαγη του λογισμικου) αυτο ειναι δυνατον.

9) δεν ειναι τεχνικο θεμα

Συγνωμη αν εκανα καταχρηση του χωρου. Ελπιζω να φωτισα λιγο την υποθεση.

KiTaSuMbA είπε...

Σε κάποια από αυτά τα ερωτηματικά (και κάποια άλλα ακόμα) δοκιμάζει να απαντήσει το δικό μου ποστ. Θα απαντήσω εδώ όμως πιο συστηματικά. Σημαντική σημείωση: δεν έχω δουλέψει ποτέ σε περιβάλλον τηλεπικοινωνιών οπότε μην πάρετε τις απόψεις μου για ευαγγέλιο - μπορεί να κάνω και λάθος.

1. Οι τηλεφωνικές συνδιαλέξεις μεταφέρονται σαν ψηφιακά data και όχι σαν αναλογικές φωνές. Την διακομιδή των data φυσικά ελέγχει ένα κεντρικό σύστημα server.

2. Η «διακλάδωση» της πληροφορίας στα τηλέφωνα των θυτών γινόταν με ένα πρόγραμμα της ίδιας της κατασκευάστριας εταιρίας (Ericson) που προοριζόταν για «νόμιμες» παρακολουθήσεις. Το παράνομο επιπρόσθετο πρόγραμμα ενεργοποιούσε το προηγούμενο για τα συγκεκριμμένα τηλέφωνα ΑΠΟΚΡΥΠΤΟΝΤΑΣ παράλληλα την λειτουργία και των δύο αυτών προγραμμάτων ώστε να μην μπορούν να εντοπιστούν από τους admins. Αυτός ο τύπος προγράμματος «επίθεσης» σε λειτουργικό σύστημα λέγεται γενικά rootkit.

3 + 4. Η ελευθεροτυπία αναφέρει ακριβώς την περίπτωση προσπάθειας εγκατάστασης του rootkit διαδικτυακά - περνώντας δηλαδή ένα - ένα, όλα τα firewall του εσωτερικού δικτύου της vodafone ώστε να βρεθεί ο attacker εντός της ενδοδικτυακής «ζώνης» με τους server για το data traffic. Ακόμα και δεχόμενοι την υποψία του cyberdust για την χρήση πανομοιότυπων password, η προσπάθεια εγκατάστασης αντίστοιχων rootkit σε κάθε «σταθμό» της επίθεσης, ώστε να μην αφήσει ίχνη των IP address που χρησιμοποιήθηκαν και γενικότερα να παραμείνει το σύστημα κρυφό, δύσκολα θα μπορούσε να μην γίνει αντιληπτή από τους admins της εταιρίας. Είναι σχεδόν βέβαιο πως η δουλειά έγινε, τουλάχιστον ως ένα βαθμό, «από μέσα».

5. Ακόμα και στην περίπτωση που η επίθεση έγινε «απ' έξω», αυτή αποκλείεται να έγινε προσπαθώντας να σπάσουν τους κωδικούς πρόσβασης παρά χρησιμοποιόντας κάποιο συγκεκριμένο exploit που έδινε access χωρίς κωδικό. Αν δοκιμάζανε να σπάσουν τους κωδικούς με τυχαία sequences (brute force), ο εκάστοτε admin θα έπρεπε να είναι τυφλός για να μην δει μια κατοστάρα failed login πριν αυτό σπάσει.

6. Τα καρτοκινητά ΔΕΝ καλούσαν. Λάμβαναν μονάχα παθητικά το data traffic των θυμάτων.

7. Αν μιλάς για κεντρική παρακολούθηση, τότε το σύστημα και οι τεχνολογίες δεν μπορούν παρά να είναι παρόμοιες. Θα μπορούσε ίσως το rootkit να είναι πιο προσεκτικά φτιαγμένο ώστε να ξεφύγει και από τον ενδελεχή έλεγχο των τεχνικών της ericsson. Γενικότερα όμως δεν υπάρχει «άπιαστο» rootkit. Μια εντελώς διαφορετική προσέγγιση θα ήταν η «περιφερειακή» παρακολούθηση των στόχων, υποκλέπτοντας κατευθείαν το σήμα τους. Αυτό όμως έχει δύο πολύ βασικά προβλήματα:
A. απαιτειται εξοπλισμός που δεν μπορεί να μετακινηθεί εξίσου εύκολα με το κινητό που παρακολουθεί.
B. το σήμα ταξιδεύει με κάποιου τύπου κρυπτογράφηση που σίγουρα απαιτεί πολύ μεγάλη επεξαργαστική ισχύ για να «σπάσει βίαια» (χωρίς όμως και να το αποκλείουμε).
Πάει πολύς καιρός από τότε που ο Kevin Mitnick απέδειξε πως τα κινητά πρώτης γενιάς μπορούσαν να τροποποιηθούν σαν interceptors και οι τεχνολογίες καθώς και οι μέθοδοι ασφαλείας εχουν ριζικά αλλάξει... :-)

8. Η εταιρία είναι σε θέση να γνωρίζει ποιος υπέγραψε το συμβόλαιο για τον συγκεκριμένο αριθμό καθώς και την ακριβή γεωγραφική θέση του κινητού που λειτουργεί με αυτόν τον αριθμό ΟΤΑΝ αυτό είναι σε λειτουργία και ΕΝΤΟΣ λήψης δικτύου. Εδώ γεννάται ένα πολύ σοβαρό ζήτημα καθώς πολλά από τα κινητά-στόχους δεν είχαν αγοραστεί σαν αριθμοί από τους υψηλού προφίλ χρήστες τους παρά σαν εταιρικά ή από τρίτους. Εάν (κάτι που δεν γνωρίζουμε) τα συμβόλαια δεν είχαν μεταφερθεί, κατόπιν της αγοράς τους, ονομαστικά στους χρήστες τους, τότε θα πρέπει να παραδεχθούμε πως οι θύτες είχαν πρόσβαση στην αντιστοιχία αριθμών και προσώπων με διαπροσωπικές ή άλλες μεθόδους εκτός των συστημάτων της vodafone.

9. Η ΕΥΠ μπορεί να διαλέξει ανάμεσα σε δύο ρόλους: του συνεργού ή του ηλιθίου! Ο δεύτερος χαρακτηρισμός δεν ωφείλεται στην μη ανακάλυψη των υποκλοπών (κάτι τέτοιο θα ήταν αδύνατον χωρίς εσωτερική πληροφόρηση για τις ενέργειες των θυτών) αλλά στον τουλάχιστον ερασιτεχνικό και ακατάρτιστο χειρισμό της υπόθεσης μετά την αποκάλυψή της στις αρχές. Όσον αφορά την ευαισθησία των πληροφοριών που υποκλάπησαν και την αντίστοιχη «ζημιά» που αυτό προκάλεσε, θα πρέπει να ελπίζουμε πως είχε περάσει απ' το μυαλό των ιθύνοντων να χρησιμοποιούν ΑΠΟΚΛΕΙΣΤΙΚΑ έμπιστους και κρυπτογραφημένους διαύλους επικοινωνίας για ευαίσθητα θέματα και τα απροστάτευτα κινητά να χρησιμοποιούνταν για να παραγγέλνουν πίτσες ΚΑΙ ΜΟΝΟ! Δυστυχώς, κάτι μου λέει πως οι φράσεις "information security", "strong encryption" και "trusted channel" δεν λένε και πολλά στους χρήστες των τηλεφώνων αυτών...

10 (ΠΡΟΣΘΗΚΗ): εδώ πέφτεις διάνα. Επειδή η δουλειά ήταν σχεδόν βέβαια insider job, ποιοι και πότε είχαν οποτεδήποτε πρόσβαση στους server της vodafone, είτε δικοί της υπάλληλοι είτε «security auditors» οποιουδήποτε άλλου οργανισμού ή εταιρίας θα έπρεπε να είναι οι πρώτοι στόχοι των ερευνών και ανακρίσεων από την πρώτη μέρα που η ΕΛΑΣ ή η ΕΥΠ έλαβε γνώση.

KiTaSuMbA είπε...

Να προσθέσω τώρα εγώ ένα ερωτηματικό;
Γιατί το σχετικό post στο blog μου ως δια μαγείας σβήστηκε και όλη η σελίδα μου παραμένει error 403 (permission denied)??!!!!

Θα προσθέσω πως δεν είναι η πρώτη φορά που κάποιος «χάνει» απρόσμενα ποστ σε αυτόν τον server. Απλά είναι η δική μου πρώτη...

ΑΑΑΑΑΡΡΡΡΓΓΓΚΚΚΚ!!! ΤΑ ΝΕΥΡΑ ΜΟΥ!!!!

Nikos είπε...

NA pw ki egw kati? Mhpws xreiazetai ena mpoikotaz sth vodaphone? Gia paradeigmatismo isws kai allwn etaireiwn?

ikarian είπε...

ΠΑΝΑΦΟΝ και πράσινα άλογα. Οι παρακολουθήσεις ήταν και είναι μέσα στο σχέδιο της Ολυμπιακής Ασφάλειας. Μπείτε στο
http://www.asda.gr/elxoroi/OAafter3.htm#ολασφ και βρείτε ένα κείμενό μου και τη σύνδεση με την ιστοσελίδα του Υ Δ Τάξης (όσο υπάρχει ακόμη)με το Σχέδιο Ολυμπιακής Ασφάλειας. Εκεί θα δείτε ότι δεν υπήρχε σχεδιασμός απεμπλοκής των παρακολουθήσεων μετά την Ολυμπιάδα αλλά "συνέχιση της συνεργασίας" με τις ξένες υπηρεσίες!