Взлом: возвращение в восьмидесятые
Рахул Саси из компании iSight Partners подтвердил, что хакерские приемы 80-х годов прошлого века не теряют актуальности. Злоумышленники могут нарушить работу голосовых систем доступа в банковских учреждениях и службах поддержки клиентов одним входящим звонком. Уязвимость кроется в алгоритмах обработки звука, которые используются офисными телефонными сетями и программами голосового управления. Данная атака получила название «fuzzing» (фаззинг, атака методом «серого ящика»).

Двухтоновые мультичастотные сигналы DTMF (Dual-Tone Multi-Frequency) , знакомые нам по звукам тонового набора, являются важной информацией для УАТС (Учрежденческая Автоматическая Телефонная Станция) и интерактивных автоответчиков IVR (Interactive Voice Response) . Выясняется, что и сегодня, в 2012 году, определенные DTMF-сигналы могут вызывать сбои в работе этих систем: нестандартные входные данные могут обрушить программы, работающие на ПК или сервере.
УАТС и IVR-системы используются в программах банковского обслуживания по телефону, в call-цетрах и в других интерактивных системах. Определенные сочетания DTMF-сигналов могут либо серьезно нарушить работу такой системы, либо заставить ее выдать любую, в том числе секретную и важную информацию. Повторение таких трюков с десяти-двадцати телефонов создает настоящую атаку на отказ в обслуживании (DOS), только в отношении телефонных линий, а не серверов Интернета.

Как пишет Саси в своем исследовании:
"Если злоумышленник сможет вызвать сбой в алгоритме обработки DTMF-сигнала, это может привести к отказу всей целевой системы. Отказ некоторых таких систем может вызвать панику среди клиентов, так что серьезность атаки более чем высока."
В частности Рахул продемонстрировал способы удаленной DTMF-атаки на системы телефонного голосования, банковские системы и службы поддержки клиентов.
Результаты работы Саси представил на хакерской конференции «Hack in the Box » в Малайзии, а потом планирует повторить выступление на конференциях Nullcon в Дели (Индия) и Ruxcon в Мельбурне (Австралия).

Кроме атак на отказ в обслуживании, Саси представил способы телефонной атаки на кражу персональных данных.
Звучит невероятно , но Рахул заявляет, что ему удалось получить ПИН-код клиента в одном из индийских банков. В ответ на DTMF-запросы система банка выдавала определенные звуковые ответы об ошибке, но в этой звуковой информации исследователю удалось найти части секретных данных.

По мнению Рахула Саси, и владельцам, и операторам голосовых систем обслуживания следует немедленно принять меры или хотя бы осознать, что их системы очень подвержены атакам. В отличие от Интернета, голосовые каналы не предлагают никаких брандмауэров или кодов проверки «являетесь ли вы человеком». Наконец, стоит заметить, что весь инструментарий DTMF-атак на голосовые системы удаленного обслуживания укладывается всего в 16 сигналов – это цифры с 0 до 9, символы #, *, а также латинские буквы A, B, C и D. Сейчас Саси разрабатывает программу, которая сможет комбинировать потоки DTMF-сигналов с разной периодичностью и частотой.
/ 26.09.2012 17:13 / 0~830 /
НОВОСТИ ИНТЕРНЕТА ~ Juli113699
  Комментарии  

загрузка...

Зарегистрируйтесь для возможности комментирования!

загрузка...
загрузка...
Loading...