T-Mobile: MITM útok na zákazníky

V rámci cenzurování Internetu T-Mobile odchytává cizí DNS požadavky a tlačí je přes svou vlastní DNS „transparentní proxy“. Důsledkem je například to, že nefunguje DNSSEC a i při dotazu neexistujícího serveru se stejně vrátí nějaká odpověď.

28.6.2011 14:57 | Jendа | IT novinky

Komentáře

[xm]

Doufám že ty zmr*y někdo zažaluje za porušování tajemství dopravovaných zpráv a listovního tajemství. Tohle si nemůžou prostě dovolit, jestli si dobře pamatuju ani O2 (respektive tenkrát to byl možná ještě Český Telecom) něco takového neprošlo (tenkrát se jednalo jestli si dobře pamatuju o transparentní kompresi obrázků).

[Jan]

Tak je žaluj, na co čekáš? Stejně si to všichni nechaj líbit :)

[xm]

Nejsem jejich zákazníkem, tak je ani nemůžu žalovat :-P

A jejich konkurence takové prasárny nedělá, T-Mobile je pokud vím jediný operátor u nás, který formou MITM útoku vstupuje do zákazníkovi HTTP komunikace, aby jí mohl cenzurovat, ostatní jen cenzurujo obsah na vlastních DNS serverech (což se mi také nelíbí, ale je to ještě okecatelné - a dá se tomu jednoduše bránit požitím jiných DNS serverů). T-Mobile nyní zjevně začal dělat MITM útok i na DNS komunikaci, nejen HTTP komunikaci jako dříve. Jsou to prachobyčejné sv*ně a každý rozumný člověk od nich uteče ke konkurenci.

[Shadow]

Myslíš, že samozvané hrdiny z O2 a Vodafonu časem nenapadne dělat totéž?

[xm]

Upřímně - nevím. Ne každá firma si troufne riskovat obvinění z porušování zákona o elektronických komunikacích, a také porušení listovního tajemství, tak jako T-Mobile. Jak jsem psal O2 (respektive Český Telecom) na to už jednou v minulosti tvrdě narazilo, když provozovalo nevyžádanou transparentní kompresi obrázků v HTTP.

T-Mobile provozuje tuhle svojí protizákonnou cenzuru (v podobě MITM útoku) už dlouho, takže ostatní hráči kdyby chtěli, mohli na podobné řešení přejít taky. Ale proč riskovat žaloby a navíc implementovat něco co jim nepřinese žádný užitek, ale naopak bude stát velké peníze? Filtrovat jejich vlastní DNS jim stačí, prakticky nic je to nestojí, žaloby jim nehrozí a mediální PR kolonku "bojujeme proti dětskému pornu a teroristům" si přitom zaškrtnout můžou taky.

[Shadow]

Snad máš pravdu. Doufám, že se toho někdy nechytne nějaký samozvaný hrdina-politik, který bude bez sebemenší znalosti věci předkládat návrh zákona o dětském pornu. Jednoho takového hrdinu, který v rámci svaté války s hazardem navrhl cenzuru ještě s hmotnou odpovědností ISP jsme tu zrovna nedávno měli. A nebýt bouřlivé reakce, došlo by patrně k jejímu schválení i většinou ostatních já-tomu-nerozumím-ale-rozhoduji-o-tom politiků.

[David Watzke]

každý rozumný člověk od nich uteče ke konkurenci.

Jo, protože tady v ČR máme úžasnej výběr...

[xm]

To jsem neřekl, faktem ale je, že v současnosti je _cokoliv_ jiného lepší než T-Mobile.

[Dusan]

Ale ak je to v trestnom zákonníku tak musíš podať oznámenie na políciu ak si sa dozvedel o protizákonnom konaní.

[Ondrej 'SanTiago' Zajicek]

Oznamovaci povinnost se vztahuje jen na nektere trestne cinny a zrovna na poruseni listovniho tajemstvi ne. Viz jejich vycet v par. 368 trestniho zakoniku.

[Ondrej 'SanTiago' Zajicek]

trestne cinny

Ale fuj!

[optim]

Cenzorfonika cojávim taky provádí MITM, protože v případě cenzurovaného webu vrací podvržené html, které má odpovídat zobrazení http chybového kódu.

[xm]

Cenzorfonika jen cenzuruje své vlastní DNS servery, tedy ty v případě cenzurovaných stránek vrátí jinou adresu než by měly. Nelíbí se mi to, ale za MITM útok to nepovažuji. Člověk vždycky může použít jiné (případně svůj vlastní) DNS servery, to v případě T-Mobilu nepomůže.

[Shadow]

Nejhorší je tupost spojená s horlivostí a mylným přesvědčením, že dělám světu velkou službu.

[JoHnY2]

To je korporatni klasika.

[Kaacz]

Vsak vzdycky platilo, ze nejhorsi je iniciativni BLBEC.

[VM]

Zakon o elektronicke komunikaci, paragraf o tom, ze provozovatel site nesmi do komunikace zasahovat.

[Jendа]

Nebo dokonce trestní zákoník:

(5) Zaměstnanec provozovatele poštovních služeb, telekomunikační služby nebo počítačového systému anebo kdokoli jiný vykonávající komunikační činnosti, který

a) spáchá čin uvedený v odstavci 1 nebo 2,

b) jinému úmyslně umožní spáchat takový čin, nebo

c) pozmění nebo potlačí písemnost obsaženou v poštovní zásilce nebo dopravovanou dopravním zařízením anebo zprávu podanou neveřejným přenosem počítačových dat, telefonicky, telegraficky nebo jiným podobným způsobem,

bude potrestán odnětím svobody na jeden rok až pět let, peněžitým trestem nebo zákazem činnosti.

[neuvadim]

Zdravim,

A co takhle nektere antiviry, ktere implementuji transparentni "SMTP proxy" a na konec zpravy pridavaji certifikaci o nezavadnosti emailove zpravy (mnohdy uplne k nicemu). Znam dva produkty ktere to takto maji jako default instalaci. je mozne je zazalovat v tomto smyslu?

neuvadim

[Jendа]

Asi jenom kdyby poskytovatel měl transparentní SMTP proxy, která by tohle do mailů přidávala.

[VM]

Asi ne, protože: - člověk/firma je typicky používá dobrovolně - komunikace tím typicky není narušena

[Míra]

...což znamená, že když to tam uživateli přidá server, nebo program nainstalovaný správcem sítě na lokální PC, tak správce sítě může dostat rok a více...

[VM]

nemůže, správce sítě to instaluje na firemní počítače se souhlasem firmy. Firemní počítač není veřejná komunikační síť, na rozdíl od té T-mobajlí.

[Milan]

Pokud nejsou podle zákona poskytovateli služeb elektronických komunikací tak ne. Ty zprávy jsou ale velmi nebezpečné, protože vytvářejí iluzi, že zpráva neobsahuje virus. Přitom obsahovat virus může, pouze ho debilní antivir nezná. Takže je to zavádějící a nebezpečná informace, která může uvést uživatele v omyl a způsobit škodu. Z tohoto hlediska by firma mohla být žalovatelná.

[Jirka P]

Pokud nejsou podle zákona poskytovateli služeb elektronických komunikací tak ne.

To pozor, ten paragraf trestního zákona platí na kohokoli, nikoli jen na poskytovatele služeb elektronických komunikací. Jenže v případě toho antiviru nainstalovaného na domácím počítači nebo firemním serveru nejde o trestný čin, protože ten, jehož maily antivir upravuje, je současně tím, kdo tam ten antivir nainstaloval (uživatel nebo firemní admin), tudíž se to děje s jeho souhlasem. A čin není trestný, pokud se děje se souhlasem poškozeného (ne vražda ap.).

Takže je to zavádějící a nebezpečná informace, která může uvést uživatele v omyl a způsobit škodu. Z tohoto hlediska by firma mohla být žalovatelná.

To těžko, pokud ten mail skutečně byl proskenován danou verzí antiviru (je většinou napsaná v mailu) s negativním výsledkem.

[Marek]

Týjo, to aby se člověk vždycky když jede přes nějaké mobilní / free WiFi spojení napřed šifrovaně připojil tunelem domů a pak teprve tam, kam chce. Otázka je, jestli může důvěřovat domácímu připojení (-:

[Mti.]

Verit nemuze, ale aspon se mu to chova porad stejne :-P

[Standa]

Nechová. Třeba mně jednoho dne mi zničeho nic přestala fungovat příchozí volání na VoIP telefonu.

Když si několik lidí stěžovalo, že se mi nemohou dovolat, zapátral jsem na netu, a vida: Jednoho dne, bez jakéhokoliv oznámení, mi T-Mobile začal blokovat příchozí spojení na VoIP porty.

[xm]

Má to ovšem jednoho společného jmenovatele: T-Mobile :-P

Btw. to jste s nimi okamžitě nerozvázal smlouvu, pokud vám blokují porty? To pak není připojení k Internetu. A máte na tom vůbec veřejnou IP adresu?

[Standa]

Veřejnou IPv4 adresu mám, a bohužel také vázací dobu ve smlouvě. Až uplyne, půjdu k malé místní konkurenci (snad jí do té doby nedojdou IPv4 adresy). Za méně peněz dostanu vyšší rychlost, neblokované porty, neupravované pakety a IPv6.

[Jendа]

Tohle by podle mě mohl být důvod pro předčasné ukončení smlouvy.

[VM]

No ale pokud vám část protokolů přestalo fungovat, tak přestali poskytovat funkční Internet, ergo je to neplnění smlouvy z jejich strany, na což by se vázací doba vztahovat neměla.

[xm]

To už dávno u připojení v mobilu dělám Pomocí OpenVPN (pod Androidem) se připojuju ke svému vlastnímu serveru (tedy přesněji k pronajaté VPS ). Data tak přes mobilního operátora (natož nějakou nezabezpečenou wi-fi) nikdy v nešifrované podobě netečou.

[Mti.]

Jedna paranoidni: Jake jsou sance, ze mi google "vyzalohuje" telefon aj s klici?

[xm]

WTF? Android je opensource, samozřejmě nepoužívám build od výrobce (tomu skutečně nevěřím), ale komunitní build (CyanogenMod). Kdybych byl extra paranoidní, tak si ho můžu i sám zkompilovat.

Asi by to mohlo jít přes Market (to je closed-source aplikace), ale ten na Androidu nemusíte používat. Nicméně já zas tak paranoidní nejsem a používám jej. Ovšem poté, co Google lidem na dálku bez upozornění smazal některé přes Market nainstalované (byť škodlivé) aplikace, jsem dostal chuť naprogramovat vlastní Market, který bude používat repozitáře oficiálního Marketu (ať žije reverzní inženýrství protokolu - third-party Marketů je už hromada, o to mi nejde, chci oficiální repozitáře), ale nebude Googlu umožňovat na dálku mazat aplikace z telefonu (minimálně ne bez upozornění a dotazu zda to opravdu chcete provést). Bohužel jsem si na to ještě nenašel čas

[Mti.]

ano, myslel jsem sw od vyrobce, protoze, bojim se, vetsina lidi nema koule na to tam nahrat neco jineho. Pokud ta moznost je, taky dobre. Otazka jak se zachovam sam, az mi "konecne" zdechne stary siemens c55

[Shadow]

Já to řeším elegantně - nemám smartphone. Nedávno jsem upgradoval z Nokie 3310 (slabá baterka) na nějaký Samsung. Výdrž baterky je obdivuhodná (dle výrobce 600 hodin pohotovost, 10 hodin hovor) a umí to telefonovat a psát SMS. Jo a ráno mě to budí. Jinak to snad nic neumí, takže únik dat nehrozí, když tam žádná nejsou.

Btw, existuje vůbec mobil, kde by fungoval Linux bez černých skříněk v podobě proprietárních ovladačů (GSM modul, atd.)?

[Erbureth]

Prý OpenMoko projekt.

[VM]

Včetně GSM modulu?

[Hue]

A to je jen na mobilním připojení? Kdyby to bylo i na ADSL, neváhám na ně okamžitě podat žalobu - kdo chce, může se přidat.

[Jendа]

Vyjádření T-Mobile