Поделиться
Местонахождение 200 млн абонентов сотовой связи может узнать любой желающий
Брешь в защите сайта LocationSmart позволяет малоопытному хакеру отследить местоположение миллионов американцев и канадцев по телефонному номеру. Эти данные LocationSmart получает от крупных сотовых операторов США и Канады. Уже были зафиксированы случаи использования этой информации правоохранителями без ордера.
«Дыра» в LocationSmart
В сервисе LocationSmart, располагающего данными о местонахождении абонентов сотовой связи в США и Канаде, обнаружена уязвимость, которая позволяет злоумышленнику получить доступ к этой информации. Об этом сообщил сайт KrebsOnSecurity, специализирующийся на информационной безопасности.
LocationSmart способен определить местоположение абонентов, которые пользуются услугами американских операторов AT&T, Sprint, T-Mobile и Verizon, то есть четырех крупнейших сотовых операторов США с совокупной абонентской базой около 200 млн. Основатель проекта Марио Проетти (Mario Proietti) утверждает, что эта информация собирается только с согласия пользователей и используется исключительно в законных и одобренных целях.
Бесплатная демоверсия
Данные о местонахождении абонентов, купленные у операторов, LocationSmart перепродает уже собственным клиентам. Чтобы продемонстрировать, что сервис располагает реальной информацией, LocationSmart дает потенциальному покупателю возможность бесплатно отследить местоположение какого-нибудь телефона через свой сайт.
Для этого клиент должен ввести свое имя, адрес электронной почты и телефонный номер. После этого LocationSmart посылает на этот номер запрос, согласен ли абонент, чтобы система определила ближайшую к нему сотовую вышку. Только получив согласие пользователя, LocationSmart фиксирует его местонахождение. Однако сотрудник Университета Карнеги-Меллона Роберт Сяо (Robert Xiao) нашел способ обойтись без этого согласия.
Обнаружение уязвимости
Сяо выяснил, что сервис не проводит базовую проверку, которая предотвращает анонимные или не авторизованные запросы. Поэтому любой злоумышленник, имеющий хотя бы некоторое представление о том, как работают сайты, может без пароля зайти на демонстрационную страницу и осуществить поиск абонента по номеру.
Сам Сяо смог отследить местоположение своего друга, который находился в движении, множество раз на протяжении нескольких минут. Узнав координаты ближайшей к другу сотовой вышки, Сяо вводил их в Google Maps и получал наглядное представление о том, где находится абонент. Затем метод был протестирован на двух абонентах оператора Telus Mobility в Канаде, которые согласились быть найденными. Тоже самое было сделано с пятью абонентами, предложенными редакцией KrebsOnSecurity.
Этот способ демонстрирует меньшую точность, чем GPS. Один из добровольцев сообщил, что предоставленные системой координаты находились примерно в 90 м от его реального местоположения. В другом случае расстояние между координатами и реальным местоположением составило порядка 2,4 км. В остальных случаях это расстояние колебалась на уровне 300-500 м.
После того, как Сяо сообщил LocationSmart о наличии уязвимости, бесплатная демоверсия была отключена.
Торговля данными
Скандал вокруг LocationSmart разгорелся несколько дней назад, когда стало известно, что 4 крупнейших американских сотовых оператора, как и их канадские коллеги, продают этой компании доступ к данным о местонахождении телефонов. Это выяснилось после того, как сенатор от штата Орегон Рон Уайден (Ron Wyden) попросил Федеральную комиссию по связи США выяснить, почему компания Securus может отследить любой телефон за несколько секунд.
Securus занимается организацией свиданий с заключенными в тюрьмах по видеосвязи. Данные о местонахождении абонентов различных операторов компания приобретала через посредника — LocationSmart. Деятельность Securus привлекла внимание властей после того, как шериф полиции из Миссисипи Кори Хатчесон (Cory Hutcheson) воспользовался этими данными без ордера, за что впоследствии был признан невиновным. Хотя шериф пользовался системой несколько раз, в том числе для определения местоположения судьи.
LocationSmart, основанная в 1995 г, базируется в Карлсбаде, штат Калифорния. Компания утверждает, что ее система работает на 95% территории США благодаря сотрудничеству с такими операторами как Cellular, Virgin, Boost и MetroPCS, а также канадскими Bell, Rogers и Telus. Примечательно, что американское законодательство запрещает операторам напрямую сообщать подобные данные правительству, однако не запрещает продавать их другим компаниям, таким как LocationSmart. И этим компаниям уже не запрещено передавать информацию правительству.
Поделиться
Короткая ссылка
