Ketidakamanan stack telekomunikasi setelah Salt Typhoon

• Kerentanan stack telekomunikasi

  • Latar belakang: Akhir tahun lalu, terjadi insiden ketika kelompok bernama "Salt Typhoon" meretas T-Mobile dan perusahaan telekomunikasi lainnya. Insiden ini menjadi pemicu untuk meninjau keamanan perangkat lunak open source terkait telekomunikasi.

• Buffer overflow di library XMLRPC FreeSWITCH

  • Masalah: Di library XMLRPC FreeSWITCH, penangan permintaan HTTP menuliskan URI dengan panjang arbitrer ke variabel stack berukuran 4096 byte. Ini adalah kerentanan yang dapat menyebabkan buffer overflow karena penyerang dapat mengirim URI lebih dari 4096 karakter.

  • Cara mengatasinya: Perlu menerapkan pemrograman C defensif dengan menggunakan snprintf().

• Upaya pengungkapan kerentanan oleh Soatok

  • 2025-01-27: Mengirim detail kerentanan ke alamat email yang tercantum dalam kebijakan keamanan FreeSWITCH.

  • 2025-02-07: Mengirim email lanjutan untuk memastikan apakah laporan telah diterima.

  • Respons: Andrey Volk menjawab bahwa kerentanan tersebut baru-baru ini telah diperbaiki. Namun, versi baru dengan perbaikan keamanan belum diberi tag.

• Masalah yang terjadi

  • Seorang karyawan SignalWire menyatakan bahwa pengguna yang tidak membeli FreeSWITCH Advantage akan tetap dalam keadaan rentan hingga musim panas. Ini berarti ribuan stack telekomunikasi bisa tetap berada dalam kondisi rentan.

• Masalah sistemik dalam keamanan telekomunikasi

  • Penyebab masalah: Kurangnya insentif ekonomi untuk berinvestasi dalam keamanan sistem telekomunikasi. Inilah alasan keamanan telekomunikasi masih lemah hingga saat ini.

  • Kemungkinan ke depan: Bisa muncul pengembangan produk pesaing FreeSWITCH dalam Rust, atau kemauan politik untuk berinvestasi dalam keamanan infrastruktur telekomunikasi Amerika Serikat.

• Penutup

  • Masalah ini memang persoalan teknis sederhana, tetapi di baliknya mungkin ada persoalan yang lebih besar. Respons SignalWire mengecewakan, tetapi mereka tetap merespons dalam 90 hari dan memperbaiki masalahnya di GitHub. Tindakan seperti memblokir akses HTTP publik ke stack FreeSWITCH pada level firewall dapat dipertimbangkan.

[GN⁺]

Komentar Hacker News

• Penulis mengakui tidak memiliki pengalaman infrastruktur tingkat operator telekomunikasi, tetapi kecurigaan mereka pada dasarnya benar

  • Memiliki pengalaman melakukan pengujian dan riset keamanan 4G dan 5G untuk beberapa operator besar
  • Tergantung operator dan pemasok produknya, tetapi keamanan masih sangat lemah
  • Sampai beberapa waktu lalu, keamanan sepenuhnya bergantung pada obscurity, dan standar 4G serta 5G mulai memperbaikinya, tetapi celah besar masih tetap ada
  • Sangat mungkin pelaku ancaman tingkat menengah dapat menembus operator
  • Pemasok perangkat keras dari negara tertentu di Asia Timur memiliki software yang ditulis sangat buruk sehingga keamanan nyaris tidak ada
  • Pemasok perangkat keras Barat memiliki software yang lebih matang, tetapi masih tertinggal dari praktik terbaik keamanan modern

• Sulit dipahami bahwa pada 2025 standar telepon seluler masih menggunakan pre-shared key

  • Algoritma seperti RSA dan Diffie Hellman sudah ada selama beberapa dekade
  • Kartu SIM masih dikonfigurasi dengan pre-shared key yang hanya diketahui kartu dan operator, dan seluruh autentikasi serta enkripsi didasarkan pada kunci ini
  • Jika operator diretas dan kunci dicuri, tidak ada cara untuk menanganinya
  • Karena produsen kartu SIM harus mengirimkan kunci ke operator, ada peluang peretasan atau pencurian kunci dalam proses ini
  • Jika produsen SIM atau pemasok peralatan jaringan inti bekerja sama dengan NSA untuk menyerahkan kunci, ada kemungkinan lalu lintas telepon seluler di seluruh dunia dapat disadap

• Kesimpulan posting blog bahwa Freeswitch tidak mundur dari jadwal rilis komunitas sama sekali tidak mengejutkan

  • Freeswitch dulu memiliki semangat komunitas yang kuat
  • Situasinya berubah sejak beberapa tahun lalu ketika beralih ke arah komersial yang lebih agresif
  • Sekarang ada hal-hal yang harus diakses melalui "registrasi", dan ini membuat orang enggan memberikan informasi pribadi kepada perusahaan komersial

• Di antara pelaku ancaman asing, Five Eyes/perjanjian Barat lain, dan tuntutan peningkatan keuntungan, rasanya adil untuk menganggap tidak ada anonimitas sejati di internet

  • Tidak jauh berbeda dari era sebelum internet
  • Untuk melindungi informasi penting, informasi itu harus dienkripsi dengan cara yang sulit diakses secara elektronik

• Area tempat Freeswitch sering digunakan tanpa kontrak dukungan adalah instalasi BigBlueButton di sekolah dan universitas

  • Ini lebih mengkhawatirkan daripada operator telekomunikasi

• Tidak sepenuhnya yakin dengan klaim bahwa "keamanan telekomunikasi saat ini buruk"

  • Memilih Freeswitch secara acak lalu menemukan buffer overflow adalah bukti yang lemah
  • Serangan Salt Typhoon diklaim mengeksploitasi kerentanan Cisco, tetapi para analis menyarankan bahwa penyerang menggunakan kredensial yang valid

• Penasaran berapa banyak orang yang menggunakan modul XML RPC

  • Tidak dimuat secara default
  • Menurut Shodan, ada 468 pengguna

• Peretasan yang sangat bagus benar-benar terjadi melalui injeksi CAMEL MAP

  • Mengendalikan berbagai fungsi seperti SMS, USSD, layanan lokasi, dan lain-lain
  • Penyedia "SMS massal" di pulau-pulau Karibia yang makmur dan di Indonesia melakukan lebih dari sekadar mengirim spam

• Operator besar tidak menjalankan FreeSwitch atau Asterisk di core mereka

• Sangat merekomendasikan untuk melihat presentasi P1 Security tentang keamanan komunikasi seluler

  • Materinya sudah lama, tetapi tidak ada alasan untuk percaya bahwa keadaan telah membaik
  • Kerentanan keamanan software hanyalah sebagian dari masalahnya, dan operator mengalihdayakan kontrol serta akses penting kepada penawar terendah