blog

Mar 04, 2024

Jangada de TETRA Zero

BLACK HAT USA – Las Vegas – terça-feira, 8 de agosto – Depois que vulnerabilidades foram encontradas no protocolo de comunicação TETRA que alimenta sistemas de controle industrial em todo o mundo, pesquisadores revelaram novas

BLACK HAT USA – Las Vegas – Terça-feira, 8 de agosto – Depois que vulnerabilidades foram encontradas no protocolo de comunicação TETRA que alimenta sistemas de controle industrial em todo o mundo, os pesquisadores revelaram uma nova pesquisa mostrando múltiplas vulnerabilidades adicionais de dia zero em uma estação base e chip de sistema da Motorola. Ambos são necessários para executar e descriptografar o algoritmo de comunicação TETRA, expondo potencialmente informações confidenciais.

TETRA, ou Terrestrial Trunked Radio, é um padrão global para comunicações bidirecionais criptografadas desenvolvido por especialistas em segurança pública sob os auspícios do Instituto Europeu de Padrões de Telecomunicações (ETSI). Os sistemas TETRA são usados ​​nos setores de segurança pública e industrial-comercial, como empresas de serviços públicos, linhas ferroviárias e de metrô, usinas de energia, refinarias de petróleo e fábricas de produtos químicos.

O sócio fundador da Midnight Blue, Wouter Bokslag, que está divulgando todos os detalhes em uma palestra na conferência Black Hat USA que acontece esta semana, diz que a estação base tem um ambiente de execução confiável (TEE), que se destina a proteger tanto as primitivas criptográficas quanto as chaves. da exfiltração. No entanto, ele explica que, ao fazer um ataque de canal lateral no TEE, sua equipe conseguiu descriptografar o módulo e obter uma chave AES que poderia ser usada para descriptografar ainda mais as comunicações que fluíam através do equipamento.

“Isso nos permite extrair uma chave Motorola do rádio que pode então ser usada para descriptografar o módulo que implementa todos os recursos de segurança de tráfego”, diz ele. “Então quebramos essa camada para colocar as mãos na criptografia TETRA.”

Bokslag esclarece que o algoritmo de criptografia TETRA não foi quebrado pelos pesquisadores em nenhum momento – eles apenas conseguiram obter a chave de descriptografia e seus esforços demonstraram como as chaves podem ser extraídas. Ele diz: “Há uma espécie de confiança cega na indústria de que as chaves TETRA estão seguras dentro do rádio, mas esse não é necessariamente o caso”.

A pesquisa geral levou à descoberta de quatro bugs de dia zero, dois dos quais são críticos ou de alta gravidade e são específicos de um Motorola MTM5400:

Bokslag diz que essas vulnerabilidades também podem ser usadas por invasores com acesso físico a um rádio Motorola para extrair material de chave sensível, após o qual eles podem ouvir a rede TETRA sem serem detectados até a próxima mudança de chave.

“Esse tipo de ataque funcionaria independentemente da cifra TEA (Algoritmo de criptografia TETRA) usada e é possivelmente menos complicado de executar do que o ataque oráculo de descriptografia no protocolo (CVE-2022-24401), embora exija acesso físico breve, " ele diz.

Houve também três outros dias zero, todos classificados como críticos, que residiam no sistema no chip OMAP-L138 usado no rádio Motorola. Bokslag explica que este chip é popular entre as bandas base TETRA de vários fornecedores e também é usado em outros produtos. Os seguintes problemas foram descobertos:

Como parte do desenvolvimento de uma exploração de prova de conceito (PoC), a Midnight Blue disse que equipou uma estação base TETRA para transformá-la em uma plataforma de ataque. Ao fazer isso, descobriu cinco dias zero adicionais na estação base Motorola MBTS TETRA, três dos quais são classificados como de alta gravidade.

Bokslag diz: “Essas vulnerabilidades também podem ser usadas por um invasor com acesso físico (temporário) a uma estação base para extrair material chave ou até mesmo deixar implantes persistentes na infraestrutura de rádio, permitindo capacidades de interceptação persistente em substituições de chave”.

Essas vulnerabilidades foram detalhadas como:

Bokslag diz que embora o MBTS da Motorola seja uma estação base herdada e, portanto, mais fácil de subverter, essas questões combinadas com investigações de equipamentos TETRA de última geração de outros fornecedores - que foram realizadas, mas ainda não divulgadas - mostram um ecossistema de equipamentos que está anos, senão décadas, atrás do que se deveria esperar de uma infraestrutura que lida com comunicações altamente sensíveis.