The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Уязвимость в LocationSmart позволяла отслеживать местоположение мобильных телефонов

18.05.2018 10:21

В Web API, предоставляемом сервисом LocationSmart, выявлена уязвимость, которая позволяла любому постороннему отслеживать местоположение смартфонов, подключенных к большинству крупных мобильных сетей США, включая таких операторов как AT&T, Sprint, T-Mobile и Verizon, а также канадских операторов Bell, Rogers и Telus.

Данные о местоположении раскрывались с точностью определения базовой станции (от сотен метров до нескольких километров). Через периодическое обращение к API имелась возможность отслеживать перемещение смартфонов в режиме реального времени. Данные о местоположении поступали в сервис LocationSmart в рамках предполагаемых партнёрских контрактов с мобильными операторами (ни один оператор не опроверг и не подтвердил наличие контракта с LocationSmart). По приблизительно оценке проблема могла затронуть около 200 млн абонентов различных операторов связи.

Уязвимость всплыла после анализа демонстрационного сайта LocationSmart, через который пользователь мог бесплатно протестировать работу сервиса и определить местоположение своего устройства. Для доступа к сервису пользователю требовалось зарегистрироваться на сайте, введя своё имя, email и номер телефона, а затем подтвердить запрос через SMS или обратный звонок. Как оказалось, данная проверка является лишь формальностью и не охватывает доступ к Web API.

Любой желающий мог отправить запрос к Web API, указав произвольный номер телефона, и получить сведения о местоположении базовой станции, которая ближе всего находится к заданному устройству. При этом запросы могли отправляться анонимно и без указания параметров аутентификации. Используя выдаваемые координаты, исследователи смогли организовать отслеживания перемещения интересующих их телефонов и наглядно оценить перемещение абонента при помощи Google Maps. Точность определения координат телефона при тестировании абонентов различных операторов составила от 90 метров до 2.5 км.

В настоящее время демонстрационный сайт LocationSmart отключен, а большинство операторов уклонились от комментариев сотрудничества с сервисом. По словам директора LocationSmart компания серьёзно относится к конфиденциальности и сервис создавался исключительно для законных и разрешённых целей, а все факторы, способствовавшие возникновению инцидента будут подробно изучены.

Тем временем, LocationSmart всего неделю назад фигурировал в скандале с компанией Securus, связанном с предоставлением правоохранительным органам неконтролируемого доступа к данным о местоположении мобильных устройств (для определения местоположения использовался LocationSmart) с целью поиска украденных мобильных устройств. Деятельность Securus связана с обходом принятого в США закона "Electronic Communications Privacy Act", который запрещает операторам связи предоставление доступа к данным государственным структурам, но не регламентирует передачу данных другим компаниям, которые затем могут передавать те же самые сведения госслужбам, выступая в роли посредников.

Кроме того, на днях был зафиксирован взлом компании Securus, которая также занимается организацией связи в тюрьмах. В качестве подтверждения взлома были опубликованы учётные данные 2800 пользователей системы, включающие email, адреса, номера телефонов и MD5-хэши паролей. Это не первый взлом Securus, в 2015 году злоумышленники смогли получить доступ к архиву из 70 млн записанных звонков осужденных, в том числе их переговоров с адвокатами.

  1. Главная ссылка к новости (https://krebsonsecurity.com/20...)
  2. OpenNews: Релиз системы телефонии Yate 3.0.0
  3. OpenNews: Продемонстрирована базовая станция GSM на базе свободного ПО и бюджетного телефона
  4. OpenNews: Отслеживание перемещения в соседней комнате при помощи динамика и микрофона обычного ПК
  5. OpenNews: Анализ средств отслеживания действий пользователей на сайтах
  6. OpenNews: Метод отслеживания посетителей сайтов при помощи CSS, без JavaScript
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/48620-mobile
Ключевые слова: mobile, location, track, privacy, tracking
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (36) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (-), 11:37, 18/05/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –9 +/
    Там что все сервисы сша имеют бакдоры?
     
     
  • 2.2, Аноним (-), 11:41, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • –2 +/
    США это и есть один большой бэкдор.
     
  • 2.4, iv (?), 11:42, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +23 +/
    Это не бекдор, это стены забыли построить...
     
     
  • 3.28, Аноним (-), 15:15, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Забыли построить стену от АНБ?
    Нам бы тоже от наших ведомвст не мешало как и многим другим государствам.
     
  • 2.5, Fyjybv755 (?), 11:44, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Там, где русские запрещают, американцы ставят зонд.
    Так что - да, практически все.
     
     
  • 3.18, Аноним (-), 13:37, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    основной зонд - подписанный материал, живой или неживой, нетривиальные аналитические модели сдюжат. а квирки в информационном поле были, есть и будут, запрещай, не запрещай.
     

  • 1.3, Диносуслик (?), 11:42, 18/05/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –7 +/
    Какой кошмар! Да всем плевать. Люди сами давно о себе все фейсбуку и гуглу с инстаграмом слили.

    Где отдыхают, чем владеют (или кем)., где живут, работают, учатся. Расслабьтесь

     
  • 1.6, Fyjybv755 (?), 11:46, 18/05/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    По-моему, тема про Securus недостаточно раскрыта. Насколько я понял из других источников, эти ребята получают данные о звонках и местоположении абонентов у мобильных операторов, и передают их полиции и ФБР.
    Что интересно, американские законы запрещают мобильным операторам передавать эти инфу органам напрямую. А вот через посредника - легко.
     
     
  • 2.22, A (?), 14:13, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Перекладывание ответственности самый популярный международный спорт.
     
     
  • 3.36, Аноним (-), 16:32, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Ага, как успех - были причастны все, как неувязки - никого не найдешь, т.к. не их зона ответственности.
     

  • 1.7, macfaq (?), 11:59, 18/05/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    > По словам директора LocationSmart компания серьёзно относится к конфиденциальности и сервис создавался исключительно для законных и разрешённых целей, а все факторы, способствовавшие возникновению инцидента будут подробно изучены.

    Простите, а хоть один PR-отдел когда-то говорил, что им поxep на конфиденциальность, сделали они всё за деньги спецуры и расследовать ничего не будут?

     
  • 1.12, Аноним (-), 12:56, 18/05/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    но, ведь, мобилки можно и без этого отслеживать, при наличии симки внутри. О чем новость?
     
     
  • 2.13, ПупкинВасуасилий (?), 12:59, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +6 +/
    О том, что это делать могли не только лишь все.
     
  • 2.20, Реалистпрагматик (?), 14:07, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +3 +/
    ВНЕЗАПНО оказалось, что следить за стадом можем не только мы!

    Большая дыра в безопасности должна быть заделана, а виновные наказаны!

    Только МЫ можем следить, а вам - не дозволено!
    И да, Планета в наших руках!
    Смиритесь!

     
     
  • 3.32, Аноним (-), 16:16, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Вы тоже из клуба Массонов?
     
     
  • 4.37, Аноним (-), 17:07, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Нет, просто рептилоид разоткровенничелся.
     
  • 4.39, Аноним (-), 17:08, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Массовая месса масонов...
     
  • 2.40, Аноним (-), 17:25, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Можно отслеживать и без симки внутри. Телефон коннектится к сети чтобы звонить на 911 без симки.
     
     
  • 3.42, Аноним (-), 17:57, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > Можно отслеживать и без симки внутри. Телефон коннектится к сети чтобы звонить
    > на 911 без симки.

    У меня говорит нет симки - иди на 3 буквы.

     
  • 3.44, Alex (??), 18:17, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Коннектится он в момент вызова. Без симки он только слушает сеть и выбирает куда будет коннектится если ты нажмешь 112
     
     
  • 4.45, Аноним (-), 18:54, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Зависит от телефона. Да и откуда ты знаешь что он не коннектися без звонка?
     
     
  • 5.46, Аноним84701 (ok), 19:30, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > Зависит от телефона.

    Вообще-то, зависит от законодательства страны.
    Лет десять назад кое-где в Европе  например запретили звонки на 112 БЕЗ действующей симки (другое дело, что операторы обязаны пробрасывать все подобные звонки – и от "неклиентов",  бесплатно и без СМС).
    Тупо из-за "шутников"/злоупотреблений этой возможностью.

     
  • 4.53, Аноним. (?), 10:48, 21/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Он в контакте с сетью, пассивный режим вроде как не предусмотрен.
     

  • 1.16, цвфцв (?), 13:25, 18/05/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Это вовсе не уязвимость какого-то там сервиса, это уязвимость всей мобильной инфраструктуры ака СС7.
     
     
  • 2.17, Аноним (-), 13:32, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Я тоже об этом подумал, что сотовые операторы никакие данные сами не сливали в рамках соглашений, просто сервис оплатил подключение к SS7 и сам эти данные запрашивал. Но мне что-то казалось, что теме уже много лет и что все операторы внедрили файрволы, блокирующие передачу подобных данных посторонним.
     
     
  • 3.33, Аноним (-), 16:18, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > уже
    > много лет и что все операторы внедрили файрволы, блокирующие передачу подобных
    > данных посторонним.

    Вот наивный. Я пока не пришёл к своему оператору и сам не попросил это сделать они даже не почесались. Ну по крайней мере теперь с меня не сдерут деньги за очередной платный дерьмо-сервис, потому что случайно нажал вызов, когда не до конца набрал номер или сервисный код.

     
     
  • 4.48, Аноним (-), 23:02, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Я правильно понимаю, что ты попросил, и оператор внёс изменение в свою архитектуру и в продакшне?
     
     
  • 5.51, Аноним (-), 07:13, 19/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    > Я правильно понимаю, что ты попросил, и оператор внёс изменение в свою
    > архитектуру и в продакшне?

    Нет, теперь я не могу позвонить по короткому номеру или набрать платный сервис. А так же выйти в интернет со своей симки. Ничего вносить не надо, просто запрет на уровне оператора. Так же можно неугодные номера заблокировать, но аноним этого даже не знал. Поинтересовался бы хоть.

     
     
  • 6.52, Аноним (-), 09:36, 21/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Только проблему атак по ss7 это не решает.
     
  • 2.47, КО (?), 22:25, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +/
    Это именно уязвимость в протоколе сервиса. Кто угодно, НА ХАЛЯВУ, мог узнать что ему надо, а не по принципу первая доза бесплатно.
     

  • 1.23, Аноним (-), 14:33, 18/05/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Так вот почему у Бородача айфона нет...
     
  • 1.25, Аноним (-), 15:00, 18/05/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Не удивлюсь, если слив данных в LocationSmart присутствует как фича в любом операторском оборудовании, включая оборудование российских опсосов, и оно там включено по дефолту. А выключить некому, потому что настраивает оборудование иностранная фирма по отсосингу, которой нет нужды отключать этот функционал.
     
     
  • 2.27, китайса (?), 15:10, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    а засем нам, прастисе, сливать данныя в какое-там лаовайское локейшн, они наса за ето денги не платит.

    васа фесебе сливась задача данные не наса, у них штатный интерфейса к базам васа абанента.

    С увазение, васа китайса из иностранная фирма осень-плохой-дорога.

     
     
  • 3.49, Аноним (-), 23:04, 18/05/2018 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ты забыл
    >кешельбе-мешельбе
     

  • 1.26, Аноним (-), 15:07, 18/05/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Это криворукий сервис-агрегатор. Данные предоставляют провайдеры.
     
  • 1.50, Аноним (-), 02:46, 19/05/2018 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > в рамках предполагаемых партнёрских контрактов

    "Я не халявщик, я партнер!" (c)

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру