Une nouvelle attaque permet aux pirates de déchiffrer le cryptage VoLTE pour espionner les appels téléphoniques

Une équipe de chercheurs universitaires – qui avait déjà fait la une des journaux plus tôt cette année pour avoir découvert de graves problèmes de sécurité dans les réseaux 4G LTE et 5G – a présenté aujourd’hui une nouvelle attaque appelée «ReVoLTE, ‘qui pourrait permettre à des attaquants distants de briser le cryptage utilisé par les appels vocaux VoLTE et d’espionner les appels téléphoniques ciblés.

L’attaque n’exploite aucune faille dans le protocole Voice over LTE (VoLTE); au lieu de cela, il tire parti de la faible implémentation du réseau mobile LTE par la plupart des fournisseurs de télécommunications dans la pratique, permettant à un attaquant d’écouter les appels téléphoniques cryptés effectués par les victimes ciblées.

Le protocole VoLTE ou Voice over Long Term Evolution est une communication sans fil haut débit standard pour les téléphones mobiles et les terminaux de données, y compris les appareils Internet des objets (IoT) et les appareils portables, déployant la technologie d’accès radio 4G LTE.

Le nœud du problème est que la plupart des opérateurs mobiles utilisent souvent le même flux de clés pour deux appels ultérieurs au sein d’une connexion radio pour crypter les données vocales entre le téléphone et la même station de base, c’est-à-dire la tour de téléphonie mobile.

Ainsi, le nouveau Attaque ReVoLTE exploite la réutilisation du même flux de clés par des stations de base vulnérables, permettant aux attaquants de déchiffrer le contenu des appels vocaux alimentés par VoLTE dans le scénario suivant.

Cependant, la réutilisation d’un flux de clés prévisible n’est pas nouvelle et a été signalée pour la première fois par Raza et Lu, mais l’attaque ReVoLTE en fait une attaque pratique.

Comment fonctionne l’attaque ReVoLTE?

Pour lancer cette attaque, l’attaquant doit être connecté à la même station de base que la victime et placer un renifleur de liaison descendante pour surveiller et enregistrer un «  appel ciblé  » effectué par la victime à quelqu’un d’autre qui doit être décrypté ultérieurement, dans le cadre du première phase de l’attaque ReVoLTE.

Une fois que la victime a raccroché «  l’appel ciblé  », l’attaquant doit appeler la victime, généralement dans les 10 secondes immédiatement, ce qui forcerait le réseau vulnérable à lancer un nouvel appel entre la victime et l’attaquant sur la même connexion radio que celle utilisée par le précédent. appel ciblé.

« La réutilisation du flux de clés se produit lorsque la cible et l’appel de flux de clés utilisent la même clé de chiffrement du plan utilisateur. Comme cette clé est mise à jour à chaque nouvelle connexion radio, l’attaquant doit s’assurer que le premier paquet de l’appel de flux de clés arrive dans la phase active après la appel cible », ont déclaré les chercheurs.

Une fois connecté, dans le cadre de la deuxième phase, l’attaquant doit engager la victime dans une conversation et l’enregistrer en texte clair, ce qui aiderait l’attaquant ultérieurement à calculer inversement le flux de clés utilisé par l’appel suivant.

Selon les chercheurs, XOR -ing les flux de clés avec la trame cryptée correspondante de l’appel ciblé capturé dans la première phase décrypte son contenu, permettant aux attaquants d’écouter la conversation de sa victime lors de l’appel téléphonique précédent.

« Comme il en résulte le même flux de clés, toutes les données RTP sont cryptées de la même manière que les données vocales de l’appel cible. Dès qu’une quantité suffisante de données de flux de clés a été générée, l’adversaire annule l’appel », lit-on dans le journal.

Cependant, la longueur du second appel doit être supérieure ou égale au premier appel afin de décrypter chaque trame; sinon, il ne peut déchiffrer qu’une partie de la conversation.

« Il est important de noter que l’attaquant doit engager la victime dans une conversation plus longue. Plus il / elle a parlé à la victime, plus le contenu de la communication précédente qu’il / elle peut décrypter », lit-on dans le journal.

« Chaque trame est associée à un nombre et chiffrée avec un flux de clés individuel que nous extrayons pendant le calcul du flux de clés. Comme le même décompte génère le même flux de clés, le décompte synchronise les flux de clés avec les trames chiffrées de l’appel cible. XOR-ing les flux de clés avec la trame cryptée correspondante déchiffre l’appel cible. « 

« Comme nous visons à décrypter l’appel complet, l’appel de flux de clé doit être aussi long que l’appel cible pour fournir un nombre suffisant de paquets, sinon nous ne pouvons décrypter qu’une partie de la conversation. »

Détection de l’attaque et de la démonstration ReVoLTE

Pour démontrer la faisabilité pratique de l’attaque ReVoLTE, l’équipe d’universitaires de l’Université de la Ruhr à Bochum a mis en œuvre une version de bout en bout de l’attaque au sein d’un réseau commercial vulnérable et de téléphones commerciaux.

L’équipe a utilisé l’analyseur de liaison descendante Airscope de Software Radio System pour renifler le trafic crypté et trois téléphones Android pour obtenir le texte en clair connu sur le téléphone de l’attaquant. Il a ensuite comparé les deux conversations enregistrées, déterminé la clé de chiffrement et finalement déchiffré une partie de l’appel précédent.

Vous pouvez voir la vidéo de démonstration de l’attaque ReVoLTE, qui, selon les chercheurs, pourrait coûter moins de 7000 $ aux attaquants pour mettre en place l’attaque et, éventuellement, décrypter le trafic de liaison descendante.

L’équipe a testé un certain nombre de cellules radio sélectionnées au hasard à travers l’Allemagne pour déterminer l’étendue du problème et a constaté qu’il affectait 12 des 15 stations de base en Allemagne, mais les chercheurs ont déclaré que l’écart de sécurité affectait également d’autres pays.

Les chercheurs ont informé les opérateurs de stations de base allemands concernés de l’attaque ReVoLTE par le biais du processus GSMA Coordinated Vulnerability Disclosure Program début décembre 2019, et les opérateurs ont réussi à déployer les correctifs au moment de la publication.

Étant donné que le problème affecte également un grand nombre de fournisseurs dans le monde, les chercheurs ont publié une application Android open source, appelée ‘Sentinelle mobile, ‘que vous pouvez utiliser pour détecter si leur réseau 4G et leurs stations de base sont vulnérables ou non à l’attaque ReVoLTE.

Les chercheurs – David Rupprecht, Katharina Kohls et Thorsten Holz de l’Université RUB de Bochum et Christina Pöpper de NYU Abu Dhabi – ont également publié un site web dédié et document de recherche PDF, intitulé « Appelez-moi peut-être: écoutez les appels LTE chiffrés avec REVOLTE », détaillant l’attaque ReVoLTE, où vous pouvez trouver plus de détails.