Tính bất an của ngăn xếp viễn thông sau Salt Typhoon

• Lỗ hổng của ngăn xếp viễn thông

  • Bối cảnh: Cuối năm ngoái, đã xảy ra vụ một nhóm có tên "Salt Typhoon" xâm nhập T-Mobile và các công ty viễn thông khác. Sự việc này trở thành động lực để xem xét mức độ an toàn của phần mềm mã nguồn mở liên quan đến viễn thông.

• Tràn bộ đệm trong thư viện XMLRPC của FreeSWITCH

  • Vấn đề: Trong thư viện XMLRPC của FreeSWITCH, trình xử lý yêu cầu HTTP ghi một URI có độ dài tùy ý vào một biến ngăn xếp 4096 byte. Đây là một lỗ hổng có thể gây tràn bộ đệm vì kẻ tấn công có thể gửi URI dài hơn 4096 ký tự.

  • Cách khắc phục: Cần áp dụng lập trình C phòng thủ bằng cách sử dụng snprintf().

• Nỗ lực công bố lỗ hổng của Soatok

  • 2025-01-27: Gửi chi tiết lỗ hổng tới địa chỉ email được nêu trong chính sách bảo mật của FreeSWITCH.

  • 2025-02-07: Gửi email theo dõi để xác nhận họ đã nhận được báo cáo hay chưa.

  • Phản hồi: Andrey Volk trả lời rằng lỗ hổng đã được sửa gần đây. Tuy nhiên, chưa có phiên bản vá bảo mật mới nào được gắn tag.

• Vấn đề phát sinh

  • Một nhân viên SignalWire cho biết người dùng không mua FreeSWITCH Advantage sẽ vẫn ở trạng thái dễ bị tấn công cho đến mùa hè. Điều này có nghĩa là hàng nghìn ngăn xếp viễn thông có thể vẫn còn lỗ hổng.

• Vấn đề mang tính hệ thống của bảo mật viễn thông

  • Nguyên nhân: Thiếu động lực kinh tế để đầu tư vào bảo mật cho các hệ thống viễn thông. Đây là lý do bảo mật viễn thông đến nay vẫn yếu.

  • Khả năng trong tương lai: Có thể sẽ xuất hiện một sản phẩm cạnh tranh với FreeSWITCH được phát triển bằng Rust, hoặc ý chí chính trị để đầu tư vào bảo mật hạ tầng viễn thông của Mỹ.

• Suy nghĩ kết lại

  • Đây là một vấn đề kỹ thuật đơn thuần, nhưng phía sau nó có thể tồn tại một vấn đề lớn hơn. Cách phản ứng của SignalWire gây thất vọng, nhưng họ vẫn phản hồi trong vòng 90 ngày và đã sửa vấn đề trên GitHub. Có thể cân nhắc các biện pháp như chặn truy cập HTTP công khai vào ngăn xếp FreeSWITCH ở cấp tường lửa.

[GN⁺]

Ý kiến trên Hacker News

• Tác giả thừa nhận không có kinh nghiệm về hạ tầng ở cấp độ nhà mạng, nhưng nghi ngờ của họ về bản chất là đúng

  • Có kinh nghiệm thực hiện kiểm thử và nghiên cứu bảo mật 4G và 5G cho nhiều nhà mạng lớn
  • Tùy theo nhà mạng và nhà cung cấp sản phẩm, nhưng bảo mật vẫn còn rất yếu
  • Cho đến gần đây, bảo mật hoàn toàn dựa vào sự mù mờ, và dù các tiêu chuẩn 4G và 5G đã bắt đầu giải quyết điều này, các lỗ hổng lớn vẫn còn tồn tại
  • Khả năng một tác nhân đe dọa ở mức trung bình có thể xâm nhập nhà mạng là khá cao
  • Phần cứng từ một nhà cung cấp ở một quốc gia Đông Á cụ thể có phần mềm được viết rất cẩu thả, nên gần như không có bảo mật
  • Các nhà cung cấp phần cứng phương Tây có phần mềm trưởng thành hơn, nhưng vẫn tụt hậu so với các thực hành bảo mật hiện đại tốt nhất

• Không hiểu vì sao đến năm 2025 mà các tiêu chuẩn điện thoại di động vẫn còn dùng khóa chia sẻ trước

  • Các thuật toán như RSA và Diffie Hellman đã tồn tại hàng chục năm
  • Thẻ SIM vẫn được thiết lập bằng một khóa chia sẻ trước chỉ thẻ và nhà mạng biết, và mọi xác thực cùng mã hóa đều dựa trên khóa này
  • Nếu nhà mạng bị tấn công và khóa bị đánh cắp thì không có cách nào ứng phó
  • Vì nhà sản xuất thẻ SIM phải gửi khóa cho nhà mạng, nên trong quá trình này luôn có cơ hội để bị xâm nhập hoặc bị đánh cắp khóa
  • Nếu nhà sản xuất SIM hoặc nhà cung cấp thiết bị mạng lõi hợp tác với NSA để cung cấp khóa, thì có khả năng nghe lén lưu lượng điện thoại di động trên toàn thế giới

• Kết luận trong bài đăng blog rằng Freeswitch không còn theo lịch phát hành cộng đồng nữa hoàn toàn không đáng ngạc nhiên

  • Freeswitch từng có tinh thần cộng đồng rất mạnh
  • Từ vài năm trước, tình hình đã thay đổi khi họ chuyển sang định hướng thương mại quyết liệt hơn
  • Giờ đây có những thứ phải truy cập thông qua "đăng ký", điều này khiến người ta ngại cung cấp thông tin cá nhân cho một công ty thương mại

• Giữa các tác nhân đe dọa nước ngoài, Five Eyes/các thỏa thuận phương Tây khác, và áp lực gia tăng doanh thu, có lẽ là hợp lý khi giả định rằng không tồn tại sự ẩn danh thực sự trên mạng

  • Điều này không khác quá nhiều so với thời kỳ trước Internet
  • Nếu muốn bảo vệ thông tin quan trọng, cần mã hóa theo cách khó bị truy cập bằng phương tiện điện tử

• Một lĩnh vực mà Freeswitch thường được dùng mà không có hợp đồng hỗ trợ là các bản cài đặt BigBlueButton ở trường học và đại học

  • Điều này còn đáng lo hơn cả các nhà mạng

• Không hoàn toàn chắc chắn về nhận định rằng "bảo mật viễn thông ngày nay rất tệ"

  • Việc chọn ngẫu nhiên Freeswitch rồi tìm thấy tràn bộ đệm là bằng chứng khá yếu
  • Cuộc tấn công Salt Typhoon được cho là đã khai thác lỗ hổng của Cisco, nhưng các nhà phân tích cho rằng kẻ tấn công đã sử dụng thông tin xác thực hợp lệ

• Tò mò không biết có bao nhiêu người dùng mô-đun XML RPC

  • Mặc định nó không được nạp
  • Theo Shodan, có 468 người đang sử dụng

• Có những vụ tấn công rất hiệu quả bằng tiêm CAMEL MAP

  • Nó kiểm soát nhiều chức năng như SMS, USSD, dịch vụ vị trí, v.v.
  • Các nhà cung cấp "SMS hàng loạt" ở những hòn đảo Caribe giàu có và ở Indonesia làm nhiều việc hơn là chỉ gửi thư rác

• Các nhà mạng lớn không vận hành FreeSwitch hay Asterisk trong phần lõi

• Rất khuyến nghị xem các bài trình bày của P1 Security về bảo mật thông tin di động

  • Tài liệu đã cũ, nhưng không có lý do gì để tin rằng mọi thứ đã được cải thiện
  • Các lỗ hổng bảo mật phần mềm chỉ là một phần của vấn đề, và các nhà mạng đang thuê ngoài quyền kiểm soát cũng như quyền truy cập quan trọng cho bên chào giá thấp nhất