Mobil İletişim Tehditleri: Ağlar, Ele Geçirme ve Dinleme

Mobil İletişim Tehditleri: Ağlar, Ele Geçirme ve Dinleme

Brifing: Mobil İletişim Güvenliğine Yönelik Gelişen Tehditler

Bu brifing, Purdue Üniversitesi, Iowa Üniversitesi, NBC News ve Salt Communications tarafından yapılan son analizlerden elde edilen bilgileri bir araya getirerek, cep telefonlarını ve hücresel ağları hedef alan kritik güvenlik açıklarını ve saldırı vektörlerini vurgulamaktadır. Genel tema, ağ güvenliğinde (örneğin 5G) kaydedilen ilerlemelere rağmen, çeşitli biçimlerde dinleme, izleme ve hesap kaçırma işlemlerine olanak tanıyan önemli kusurların devam ettiği ve bunların genellikle bireyler ve kuruluşlar için ciddi mali ve gizlilik sorunlarına yol açtığıdır.

Ana Temalar ve En Önemli Fikirler:

1.

Temel Ağ Güvenlik Açıkları Nesiller Boyunca Devam Ediyor (4G/5G):

◦

Miras alınan kusurlar: 5G, gelişmiş güvenlik özellikleriyle tasarlanmış olsa da, Purdue Üniversitesi'nden Syed Rafiul Hussain'in belirttiği gibi, “önceki nesillerin birçok özelliğini miras almıştır, bu nedenle bu nesillerde var olan güvenlik açıklarının 5G'ye de sıçraması mümkündür”. Bu, yeni ağların eski saldırı yöntemlerine karşı bağışık olmadığı anlamına gelir.

◦

“Torpedo” Saldırısı: Araştırmacılar, ‘torpedo’ olarak adlandırılan ve “sayfalama olayı” mekanizmasını (cihazların gelen iletişimleri periyodik olarak tarama şekli) kullanarak cihaza bildirimde bulunmadan sayfalama mesajlarını tetikleyen bir güvenlik açığı keşfettiler. Bu, saldırganların “kurbanın konumunu izleyip sahte sayfalama mesajları göndererek gelen aramaları ve mesajları engellemesine” olanak tanır.

◦

Evrim Ağacı'ndan Mesaj

Neden Desteğe İhtiyacımız Var?

Aslında maddi destek istememizin nedeni çok basit: Çünkü Evrim Ağacı, bizim tek mesleğimiz, tek gelir kaynağımız. Birçoklarının aksine bizler, sosyal medyada gördüğünüz makale ve videolarımızı hobi olarak, mesleğimizden arta kalan zamanlarda yapmıyoruz. Dolayısıyla bu işi sürdürebilmek için gelir elde etmemiz gerekiyor.

Bunda elbette ki hiçbir sakınca yok; kimin, ne şartlar altında yayın yapmayı seçtiği büyük oranda bir tercih meselesi. Ne var ki biz, eğer ana mesleklerimizi icra edecek olursak (yani kendi mesleğimiz doğrultusunda bir iş sahibi olursak) Evrim Ağacı'na zaman ayıramayacağımızı, ayakta tutamayacağımızı biliyoruz. Çünkü az sonra detaylarını vereceğimiz üzere, Evrim Ağacı sosyal medyada denk geldiğiniz makale ve videolardan çok daha büyük, kapsamlı ve aşırı zaman alan bir bilim platformu projesi. Bu nedenle bizler, meslek olarak Evrim Ağacı'nı seçtik.

Eğer hem Evrim Ağacı'ndan hayatımızı idame ettirecek, mesleklerimizi bırakmayı en azından kısmen meşrulaştıracak ve mantıklı kılacak kadar bir gelir kaynağı elde edemezsek, mecburen Evrim Ağacı'nı bırakıp, kendi mesleklerimize döneceğiz. Ama bunu istemiyoruz ve bu nedenle didiniyoruz.

Destek Ol

IMSI Açığa Çıkarma: “Torpedo” saldırısı, “IMSI-Cracking”i de kolaylaştırır. Bu, “kullanıcıların IMSI'larını açığa çıkmaktan korumak için ağın yeni güvenlik politikalarını atlattığı için 5G için büyük bir darbe”dir. Uluslararası Mobil Abone Kimliği (IMSI), her cep telefonu kullanıcısı için benzersiz bir tanımlayıcıdır.

◦

Yumuşak Kimlik Açığa Çıkarma: IMSI'nin ötesinde, saldırılar hem 4G hem de 5G ağlarında telefon numaraları veya Twitter kullanıcı adları gibi “yumuşak kimlikleri” elde edebilir.

◦

Uygulama Kolaylığı: Hussain'e göre, bu ağ saldırıları “bu saldırıyı gerçekleştirmek için deneyimli bir hacker gerektirmez”. “Hücresel çağrı protokolleri hakkında biraz bilgisi olan herkes bunu gerçekleştirebilir.”

◦

Yaygın Etki: “Torpedo” saldırısı, ABD'nin dört büyük hücresel operatörü (AT&T, Verizon, Sprint, T-Mobile) üzerinde gerçekleştirilebilir.

2.

Cep Telefonu Hesabı Ele Geçirme (“Port-Out” Dolandırıcılığı) Sosyal Mühendislik ve Veri İhlallerinden Yararlanma:

◦

Mekanizma: Dolandırıcılar, kablosuz operatörleri kandırarak hedef kişinin telefon numarasını kendi kontrol ettikleri yeni bir hesaba veya cihaza aktarmalarını (“porting”) sağlayarak “telefon numarasını ele geçirir”. Bu genellikle “doğum tarihi ve sosyal güvenlik numarasının son dört hanesi gibi kişisel bilgilerle” gerçekleştirilir. Bu bilgiler karanlık web'de yaygın olarak bulunur.

◦

İki Faktörlü Kimlik Doğrulama (2FA) Sisteminin Atlatılması: Port-out dolandırıcılığının temel amacı, “kısa mesaj, e-posta veya telefon görüşmesi yoluyla o cep telefonu numarasına gönderilen tek kullanımlık doğrulama kodlarını ele geçirmektir.” Bu, çevrimiçi hesaplar için yaygın bir koruma yöntemi olan SMS tabanlı 2FA sisteminin sağladığı güvenliği etkili bir şekilde atlatır.

Agora Bilim Pazarı

DUYGULARIMLA TANIŞIYORUM ÖFKELİYİM

Devamını Göster

₺410.00

Satın Al Tüm Ürünler

◦

Ciddi Sonuçlar: Bir telefon numarası ele geçirildiğinde, saldırganlar bu numaraya bağlı hesaplara (ör. banka, kripto para, e-posta, sosyal medya) erişebilir ve “bu hesaplardaki tüm parayı nispeten hızlı bir şekilde boşaltabilir”. Mağdurlar genellikle “cep telefonları çalışmadığında” bu ihlali fark ederler.

◦

Yükselen Trend: Federal Ticaret Komisyonu'na bildirilen bu suçların sayısı 2013 ile 2016 yılları arasında iki katından fazla artarak 1.038'den 2.658'e yükseldi, ancak bu “çok daha büyük bir buzdağının sadece görünen kısmı”.

◦

Sektörün Tepkisi ve Öneriler: Kablosuz iletişim operatörleri bu sorunun farkındadır ve müşterilerini PIN kimlik doğrulama veya bağlantı noktası doğrulama gibi ek güvenlik özellikleri eklemeye teşvik etmektedir. Carnegie Mellon'dan Lorrie Cranor gibi uzmanlar, hizmetin değiştirilebilmesi için kayıtlı sahibinin telefonunu doğrudan aramak gibi daha iyi kimlik doğrulama prosedürleri önermektedir.

3.

Dinleme Teknolojisinin Erişilebilirliği ve Daha Geniş Etkileri:

◦

Hackleme Araçlarının Demokratikleşmesi: “Bir telefonu hacklemek ve bilgileri ele geçirmek için gerekli araçlar herkesin kolayca ulaşabileceği bir yerde.” Özellikle, “cep telefonlarını ele geçirmek ve dinlemek için kullanılan IMSI yakalayıcı cihazlar taşınabilir, uygun fiyatlı ve eBay, Alibaba ve diğer birçok web sitesinden herkesin satın alabileceği ürünler.”

◦

İşletmeleri ve Hassas Bilgileri Hedef Alma: İşyerlerinde “Kendi Cihazını Getir” (BYOD) uygulamasının yaygınlaşması, “şirket bilgilerinin rutin olarak akıllı telefonlarda iletilmesi” anlamına gelir ve bu da “hackleme ve stratejik bilgilerin ele geçirilmesi için saldırı yüzeyini” artırır.

◦

Finansal ve İtibar Zararı: Şirketler “her yıl hackerlara 400 milyar dolar kadar zarar ediyor ve akıllı telefonlar bu saldırıların ana hedefi.” Hukuk firmaları gibi sektörlerde müşteri gizliliği çok önemlidir ve bu gizliliğin ihlali itibara ciddi zarar verebilir.

◦

Tüketici Sınıfı Şifrelemenin Sınırlamaları: Viber ve WhatsApp gibi ücretsiz mesajlaşma uygulamaları şifreleme özelliği sunsa da, “kullanıcılar üzerinde sıkı merkezi kontrol, kullanıcıları anında ekleme veya kaldırma yeteneği ve raporlama özellikleri” ile hesap verebilirlik ve uyumluluk için veri depolama ve silme üzerinde tam kontrol gerektiren işletmeler için genellikle “yeterli değildir”.

Sonuç:

Mobil iletişim güvenliği, hem ağ düzeyinde hem de kullanıcı hesabı düzeyinde kalıcı güvenlik açıklarıyla doludur. 5G gibi yeni nesil ağlar daha fazla güvenlik sağlamayı hedefleseler de, konum takibi ve kimlik hırsızlığını kolaylaştırabilen “torpido” gibi miras alınan kusurlara ve yeni saldırı vektörlerine karşı savunmasız kalmaya devam etmektedirler. Aynı zamanda, “port-out” dolandırıcılıkları, sosyal mühendisliği ve yaygın olarak erişilebilir kişisel verileri kullanarak telefon numaralarını ele geçirmeye devam ediyor, yaygın 2FA yöntemlerini etkili bir şekilde atlatıyor ve önemli mali dolandırıcılıklara yol açıyor. Dinleme teknolojisinin erişilebilirliği, tehdidi daha da şiddetlendiriyor ve hem bireyler hem de işletmeler için temel tüketici çözümlerinin ötesinde sağlam güvenlik uygulamaları benimsemeyi kritik hale getiriyor. Bu uygulamalar, daha güçlü kimlik doğrulama, uyanıklık ve potansiyel olarak kurumsal düzeyde güvenli iletişim platformlarını vurgulamaktadır.