Bypass SIM-swap lockscreen yang berbahaya – perbarui Android sekarang!

Pemburu hadiah bug bernama David Schütz baru saja menerbitkan a laporan terperinci menggambarkan bagaimana dia berselisih dengan Google selama beberapa bulan atas apa yang dia anggap sebagai lubang keamanan Android yang berbahaya.

Menurut Schütz, ia menemukan bug bypass layar kunci Android total secara tidak sengaja pada Juni 2022, dalam kondisi kehidupan nyata yang dapat dengan mudah terjadi pada siapa saja.

Dengan kata lain, masuk akal untuk mengasumsikan bahwa orang lain mungkin mengetahui tentang kelemahan tersebut tanpa sengaja mencari bug, membuat penemuan dan pengungkapan publik (atau penyalahgunaan pribadi) sebagai lubang zero-day jauh lebih mungkin daripada biasanya.

Sayangnya, itu tidak ditambal hingga November 2022, itulah sebabnya dia baru mengungkapkannya sekarang.

Pemadaman baterai yang kebetulan

Sederhananya, dia menemukan bug tersebut karena dia lupa mematikan atau mengisi daya ponselnya sebelum melakukan perjalanan jauh, membiarkan perangkat kehabisan daya tanpa diketahui saat dia berada di jalan.

Menurut Schütz, dia bergegas mengirim beberapa pesan setelah pulang (kami menduga dia berada di pesawat) dengan sedikit daya yang masih tersisa di baterai…

... ketika telepon mati.

Kita semua pernah ke sana, mencari pengisi daya atau baterai cadangan untuk menyalakan ulang ponsel untuk memberi tahu orang-orang bahwa kita telah tiba dengan selamat, sedang menunggu pengambilan bagasi, telah mencapai stasiun kereta api, berharap untuk pulang dalam 45 menit, bisa berhenti di toko jika ada yang sangat membutuhkan sesuatu, atau apa pun yang ingin kita katakan.

Dan kita semua kesulitan dengan kata sandi dan PIN saat kita sedang terburu-buru, terutama jika itu adalah kode yang jarang kita gunakan dan tidak pernah mengembangkan "memori otot" untuk mengetik.

Dalam kasus Schütz, PIN sederhana pada kartu SIM-nya yang membuatnya bingung, dan karena PIN SIM bisa sesingkat empat digit, PIN tersebut dilindungi oleh penguncian perangkat keras yang membatasi Anda paling banyak tiga tebakan. (Kami pernah ke sana, melakukan itu, mengunci diri.)

Setelah itu, Anda harus memasukkan "PIN master" 10 digit yang dikenal sebagai PUK, kependekan dari kunci pemblokiran pribadi, yang biasanya dicetak di dalam kemasan tempat SIM dijual, yang membuatnya sangat tahan terhadap kerusakan.

Dan untuk melindungi dari serangan tebakan PUK, SIM secara otomatis tergores sendiri setelah 10 upaya yang salah, dan perlu diganti, yang biasanya berarti menghadap ke toko ponsel dengan identifikasi.

Apa yang saya lakukan dengan kemasan itu?

Untungnya, karena dia tidak akan menemukan bug tanpa itu, Schütz menemukan kemasan SIM asli yang disimpan di suatu tempat di lemari, menggores strip pelindung yang mengaburkan PUK, dan mengetiknya.

Pada titik ini, mengingat bahwa dia sedang dalam proses memulai telepon setelah kehabisan daya, dia seharusnya melihat layar kunci telepon memintanya untuk mengetikkan kode buka kunci telepon…

... tapi, sebaliknya, dia menyadari dia di jenis layar kunci yang salah, karena menawarkannya kesempatan untuk membuka kunci perangkat hanya dengan menggunakan sidik jarinya.

Itu hanya seharusnya terjadi jika ponsel Anda terkunci saat digunakan secara teratur, dan tidak seharusnya terjadi setelah power-off-and-reboot, ketika autentikasi ulang kode sandi penuh (atau salah satu dari "kode pola" gesek untuk membuka kunci itu ) harus ditegakkan.

Apakah benar-benar ada "kunci" di layar kunci Anda?

Seperti yang mungkin Anda ketahui dari berkali-kali kita sudah tertulis tentang bug layar kunci selama bertahun-tahun pada Keamanan Telanjang, masalah dengan kata "kunci" di layar kunci adalah bahwa itu bukan metafora yang baik untuk mewakili betapa rumitnya kode yang mengelola proses "mengunci" dan "membuka kunci" ponsel modern.

Layar kunci seluler modern sedikit mirip dengan pintu depan rumah yang memiliki kunci gerendel berkualitas baik yang dipasang…

… tetapi juga memiliki kotak surat (slot surat), panel kaca untuk membiarkan cahaya masuk, penutup kucing, kunci pegas yang dapat dikunci yang telah Anda pelajari untuk diandalkan karena gerendelnya sedikit merepotkan, dan bel pintu nirkabel eksternal/ kamera keamanan yang mudah dicuri meskipun berisi kata sandi Wi-Fi Anda dalam teks biasa dan rekaman video 60 menit terakhir yang direkamnya.

Oh, dan, dalam beberapa kasus, bahkan pintu depan yang tampak aman akan memiliki kunci "tersembunyi" di bawah keset, yang merupakan situasi yang dialami Schütz di ponsel Android-nya.

Peta lorong berkelok-kelok

Lockscreens telepon modern tidak begitu banyak tentang mengunci telepon Anda sebagai membatasi aplikasi Anda ke mode operasi terbatas.

Ini biasanya membuat Anda, dan aplikasi Anda, dengan akses layar kunci ke beragam fitur "kasus khusus", seperti mengaktifkan kamera tanpa membuka kunci, atau memunculkan serangkaian pesan notifikasi atau baris subjek email yang dikuratori di mana siapa pun dapat melihatnya tanpa kode sandi.

Apa yang ditemukan Schütz, dalam urutan operasi yang benar-benar tidak dapat dikecualikan, adalah kesalahan dalam apa yang dikenal dalam jargon sebagai layar kunci. mesin negara.

State machine adalah semacam grafik, atau peta, dari kondisi dimana suatu program dapat berada, bersama dengan cara legal bahwa program dapat berpindah dari satu keadaan ke keadaan lain, seperti koneksi jaringan yang beralih dari "mendengarkan" ke " terhubung", dan kemudian dari "terhubung" menjadi "terverifikasi", atau layar ponsel beralih dari "terkunci" menjadi "tidak dapat dibuka dengan sidik jari" atau ke "tidak dapat dibuka tetapi hanya dengan kode sandi".

Seperti yang dapat Anda bayangkan, mesin negara untuk tugas-tugas kompleks dengan cepat menjadi rumit sendiri, dan peta jalur hukum yang berbeda dari satu negara bagian ke negara bagian lain dapat berakhir penuh tikungan, dan belokan ...

…dan, terkadang, lorong rahasia yang eksotis yang tidak diketahui siapa pun selama pengujian.

Memang, Schütz mampu menggabungkan penemuan PUK yang tidak disengaja menjadi bypass layar kunci umum di mana siapa pun yang mengambil (atau mencuri, atau memiliki akses singkat ke) perangkat Android yang terkunci dapat mengelabuinya ke keadaan tidak terkunci yang dipersenjatai dengan tidak lebih dari kartu SIM baru mereka sendiri dan klip kertas.

Jika Anda bertanya-tanya, klip kertasnya adalah untuk mengeluarkan SIM yang sudah ada di telepon sehingga Anda dapat memasukkan SIM baru dan mengelabui telepon ke status "Saya perlu meminta PIN untuk SIM baru ini untuk alasan keamanan". Schütz mengakui bahwa ketika dia pergi ke kantor Google untuk mendemonstrasikan peretasan, tidak ada yang memiliki ejector SIM yang tepat, jadi mereka pertama kali mencoba jarum, yang berhasil digunakan Schütz untuk menusuk dirinya sendiri, sebelum berhasil dengan anting pinjaman. Kami menduga bahwa menusukkan jarum ke titik pertama tidak berhasil (sulit untuk mengenai pin ejektor dengan titik kecil) jadi dia memutuskan untuk mengambil risiko menggunakannya sambil "berhati-hati", sehingga mengubah upaya peretasan menjadi literal retas. (Kami pernah ke sana, melakukan itu, menempatkan diri kami di ujung jari.)

Memainkan sistem dengan SIM baru

Mengingat penyerang mengetahui PIN dan PUK dari SIM baru, mereka dapat dengan sengaja salah memasukkan PIN tiga kali dan kemudian segera mendapatkan PUK yang benar, sehingga dengan sengaja memaksa mesin status layar kunci ke dalam kondisi tidak aman yang ditemukan Schütz secara tidak sengaja.

Dengan waktu yang tepat, Schütz menemukan bahwa dia tidak hanya bisa mendarat di halaman buka kunci sidik jari saat seharusnya tidak muncul, tetapi juga mengelabui ponsel agar menerima buka kunci PUK yang berhasil sebagai sinyal untuk menutup layar sidik jari. dan "validasi" seluruh proses buka kunci seolah-olah dia mengetikkan kode kunci lengkap telepon.

Buka kunci pintasan!

Sayangnya, sebagian besar artikel Schütz menjelaskan lamanya waktu yang dibutuhkan Google untuk bereaksi dan memperbaiki kerentanan ini, bahkan setelah teknisi perusahaan itu sendiri memutuskan bahwa bug tersebut memang dapat diulang dan dieksploitasi.

Seperti yang dikatakan Schütz sendiri:

Ini adalah kerentanan paling berdampak yang pernah saya temukan, dan itu melewati batas bagi saya di mana saya benar-benar mulai khawatir tentang garis waktu perbaikan dan bahkan hanya menyimpannya sebagai "rahasia" sendiri. Saya mungkin bereaksi berlebihan, tapi maksud saya belum lama ini FBI bertengkar dengan Apple untuk hal yang hampir sama.

Penundaan pengungkapan

Mengingat sikap Google terhadap pengungkapan bug, dengan tim Project Zero-nya sendiri yang terkenal tegas tentang perlunya menetapkan waktu pengungkapan yang ketat dan tetap berpegang pada mereka, Anda mungkin mengharapkan perusahaan untuk tetap berpegang pada aturan 90-hari-plus-14-ekstra-dalam-kasus-khususnya.

Namun, menurut Schütz, Google tidak dapat mengelolanya dalam kasus ini.

Rupanya, dia telah menyetujui tanggal di bulan Oktober 2022 di mana dia berencana untuk mengungkapkan bug tersebut secara publik, seperti yang telah dia lakukan sekarang, yang sepertinya cukup banyak waktu untuk bug yang dia temukan pada bulan Juni 2022.

Tetapi Google melewatkan tenggat waktu Oktober itu.

Tambalan untuk cacat, yang ditunjuk nomor bug CVE-2022-20465, akhirnya muncul di tambalan keamanan Android November 2022, bertanggal 2022-11-05, dengan Google menggambarkan perbaikan sebagai: "Jangan abaikan keyguard setelah SIM PUK dibuka."

Dalam istilah teknis, bug itu dikenal sebagai a kondisi balapan, di mana bagian dari sistem operasi yang mengawasi proses entri PUK untuk melacak "apakah aman untuk membuka kunci SIM sekarang?" negara akhirnya menghasilkan sinyal sukses yang mengalahkan kode yang secara bersamaan melacak "apakah aman untuk membuka kunci seluruh perangkat?"

Tetap saja, Schütz sekarang jauh lebih kaya berkat pembayaran karunia bug Google (laporannya menunjukkan bahwa dia mengharapkan $100,000, tetapi pada akhirnya dia harus menerima $70,000).

Dan dia menunda mengungkapkan bug setelah batas waktu 15 Oktober 2022, menerima bahwa kebijaksanaan adalah bagian keberanian yang terkadang lebih baik, dengan mengatakan:

Saya [was] terlalu takut untuk benar-benar memadamkan bug langsung dan karena perbaikannya kurang dari sebulan lagi, toh itu tidak terlalu berharga. Saya memutuskan untuk menunggu perbaikan.

Apa yang harus dilakukan?

Pastikan Android Anda sudah yang terbaru: Settings > Security > Pembaruan keamanan > Memeriksa pembaruan.

Perhatikan bahwa ketika kami mengunjungi Pembaruan keamanan layar, setelah lama tidak menggunakan ponsel Pixel kami, Android dengan berani menyatakan Sistem Anda mutakhir, menunjukkan bahwa itu telah diperiksa secara otomatis sekitar satu menit sebelumnya, tetapi masih memberi tahu kami bahwa kami berada di October 5, 2022 pembaruan keamanan.

Kami memaksa pemeriksaan pembaruan baru secara manual dan segera diberi tahu Mempersiapkan pembaruan sistem…, diikuti dengan pengunduhan singkat, tahap persiapan yang panjang, lalu permintaan reboot.

Setelah reboot kami telah mencapai November 5, 2022 tingkat tambalan.

Kami kemudian kembali dan melakukan satu lagi Memeriksa pembaruan untuk mengonfirmasi bahwa tidak ada perbaikan yang masih belum diselesaikan.

---

Kami menggunakan Settings > Security > Pembaruan keamanan untuk membuka halaman unduhan paksa:

---

Tanggal yang dilaporkan sepertinya salah jadi kami memaksa Android untuk Memeriksa pembaruan omong-omong:

---

Memang ada pembaruan untuk menginstal:

---

Alih-alih menunggu, kami menggunakan Lanjut untuk melanjutkan sekaligus:

---

Proses pembaruan yang panjang diikuti:

---

Kami melakukan satu lagi Memeriksa pembaruan untuk mengonfirmasi bahwa kami ada di sana:

---