Коллектив Авторов - Цифровой журнал «Компьютерра» № 219

Но как вообще это стало возможным? Как посторонние смогли внедриться в такую сложную систему, как GSM? Почему собранные чуть ли не на коленке фальшивые соты работают? Чёткого ответа на эти вопросы не даёт никто, но доминирующая версия сводится как раз к чрезмерной сложности. Ведь в сотовой связи вообще и GSM в частности буквально чёрт ногу сломит: невообразимая мешанина стандартов, оборудования, производителей, операторов. В результате низкоуровневые технические нюансы известны лишь узкому кругу специалистов (вспомните хоть радиопроцессор: см. « Возможна ли слежка через выключенный телефон») и всегда найдутся слабые места, надавив на которые можно вывести систему из строя или заставить её работать в другом режиме.

Энтузиасты радиохака утверждают: за последние пять лет изучены и взломаны все основные протоколы (в том числе криптографической защиты) GSM — и, используя свободный софт, сегодня действительно возможно слушать, читать и выдавать себя за другого абонента. Но даже самые смелые из них не распространяются относительно того, как именно это реализовать: в общей неразберихе непонятно, кому и какие патенты принадлежат и со стороны каких законов может прилететь по голове за излишнее любопытство...

Но если это работает в Китае, должно работать и в других местах, верно? Что ж, так и есть. История китайских спамеров неожиданно аукнулась в Соединённых Штатах — где, как выясняется, фальшивые соты тоже используют широко, только не мошенники, а правоохранительные органы. Здесь для них даже придумано броское имя — стингрей(Stingray — англ. «скат»). Ввела его компания Harris Corp., в начале нулевых первой собравшая такое компактное устройство (до того были громоздкие симуляторы базовых станций); поначалу словечко было её торговой маркой, да так и прижилось. Сегодня так именуют изделия и других производителей.

Схема работы стингреев абсолютно та же самая, что и у поделок китайских мастеров: устройство выдаёт себя за базовую станцию, принудительно переключает на себя близлежащие мобильные телефоны, меняется данными и прекращает сеанс. Вот только если китайцы рассылают с их помощью спам, то американцы собирают полезную информацию: уникальные идентификаторы, сведения о местоположении и (или) силе сигнала (в конце концов это позволяет установить местонахождение абонента с точностью до нескольких метров: стингрей водружают на авто, фиксируют данные с нескольких точек и триангуляцией определяют искомое), перехватывают сообщения и звонки.

Подтвердить или опровергнуть эти подозрения трудно. Harris продаёт стингреи только санкционированным покупателям (полиция, правительство) и заставляет их подписывать «неболтайку» — обязательство о неразглашении. Именно по поводу молчания покупателей и разгорается сейчас скандал. В нескольких штатах правозащитники потребовали от полиции рассказать, чт о та делает со стингреями (факт, что она их покупает, сомнению не подлежит: обнародованы чеки, причём американская продукция на порядок дороже китайской самодельщины). Но в ответ получили только обкатанную юристами формулировку: мы ничего не подтвердим и не опровергнем, и даже если бы такая информация имелась, мы бы вам её не открыли. И ничего не поделаешь: чаще всего полиция не сообщает о применении стингреев даже суду — либо требует закрытых слушаний, чтобы информация не расползлась.

Однако пусть американцы сами разбираются со своим правосудием. Нам важнее выводы, которые можно сделать из той и другой истории. Так вот, во-первых, очевидно, что построить фальшивую соту возможно, и не так уж дорого. Во-вторых, её можно применять для ударов по всем «болевым точкам» электронно-социальной активности — от слежки и прослушки до социальной инженерии и прямых атак (перехват, подмена, DoS). В-третьих, даже в демократических странах на использование её правоохранительными органами отчего-то не требуется санкция суда. Наконец, в-четвёртых, такие устройства эксплуатируются активно и широко.

Какая роль в этой драме отведена нам? Было бы наивным полагать, что российские мошенники и правоохранительные органы не пользуются фальшивыми базовыми станциями. И если с вниманием полиции и спецслужб остаётся только молча примириться, то доступ мошенников к стингреям требует усилить бдительность. По крайней мере не стоит слишком полагаться на мобильную связь. Исходите из того, что пароли и любая ценная информация, пересылаемая посредством СМС, может быть перехвачена и прочитана посторонними. Равно и любая эсэмэска — даже с обратным адресом, заслуживающим доверия, — может оказаться поддельной, поступившей вовсе не от вашего банка, сотового оператора или коллеги. Бдите — и воздастся.

В статье использована иллюстрация Tiberiu Ana.

К оглавлению

Опубликовано31 марта 2014

В последние годы двумерные (матричные) QR-коды (от английского Quick Response, то есть «быстрый отклик») получили самое широкое распространение: их нередко используют в рекламе, в различных вывесках и музейных табличках, на плакатах и в журналах. Это произошло в значительной степени благодаря популярности смартфонов и планшетов, способных после установки небольшого приложения безошибочно распознавать такие коды. Чаще всего в QR-кодах зашифрованы ссылки на страницы в интернете, сведения о сети Wi-Fi, СМС с номером и сообщением, текст или географические координаты объекта, но теоретически в них могут скрываться какие угодно данные.

Однако популярность любой технологии, особенно значительно упрощающей какие-то не слишком удобные действия, неизбежно вызывает повышенный интерес злоумышленников, пытающихся использовать её для извлечения незаконной выгоды. И QR-коды не стали исключением из правила, хотя на первый взгляд совершенно непонятно, как их можно использовать, к примеру, для кражи личной информации или денежных средств.

По уже весьма устаревшим какой-либо даннымComScore за июнь 2011 года, только за один тот месяц в США более 14 миллионов человек старше 13 лет просканировали QR-код своим мобильным телефоном: около 39% сделали это в магазинах, примерно 20% — на работе, а приблизительно 58% — у себя дома. И это данные, касающиеся исключительно территории США!

Б о льшая часть из тех, кто воспользовался QR-кодами, — мужчины (60,5%), более половины любителей инноваций (53,4%) приходится на возраст от 18 до 34 лет, около трети (36%) — от 25 до 34, при этом годовой доход семей 36,1% пользователей (более чем одного из трёх) превышал $100 000! Молодые состоятельные мужчины — лакомый кусочек для любых мошенников.