Android 14 เปิดตัวฟีเจอร์ความปลอดภัยการเชื่อมต่อเซลลูลาร์
(security.googleblog.com)- เป็นระบบปฏิบัติการมือถือรายแรกที่เพิ่ม ฟีเจอร์บรรเทาความเสี่ยงด้านความปลอดภัยเซลลูลาร์ขั้นสูง สำหรับทั้งผู้ใช้ทั่วไปและองค์กร โดยรับมือช่องโหว่เชิงโครงสร้างของชั้นลิงก์การสื่อสารโดยตรง
- มอบความสามารถในการควบคุมให้ผู้ดูแลระบบไอทีสามารถ ปิดการรองรับ 2G บนอุปกรณ์ที่อยู่ภายใต้การจัดการ
- เพิ่มความสามารถในการบล็อก การเชื่อมต่อแบบ null cipher ในระดับโมเด็ม เพื่อลดความเสี่ยงจากการดักฟังทราฟฟิกเสียงและ SMS
- เป้าหมายหลักคือการรับมือการโจมตีเพื่อสอดส่องและดักฟังที่อาศัยจุดอ่อนของมาตรฐานเซลลูลาร์ เช่น False Base Station (FBS), Stingray, IMSI catcher
- เป็นส่วนต่อเนื่องของ โมเดลความปลอดภัยของ Android ที่ตั้งสมมติฐานว่าเครือข่ายทั้งหมดเป็นปฏิปักษ์ และยกระดับความปลอดภัยการสื่อสารในระดับแพลตฟอร์ม
การเสริมความปลอดภัยเครือข่ายของ Android
- โมเดลความปลอดภัยของ Android ถือว่าเครือข่ายทั้งหมดเป็นปฏิปักษ์ และปกป้องผู้ใช้จากการฉีดแพ็กเก็ต การดัดแปลง และการดักฟัง
- ออกแบบมาให้ทราฟฟิกเครือข่ายทั้งหมดถูก เข้ารหัสแบบต้นทางถึงปลายทาง (E2EE) โดยไม่พึ่งการเข้ารหัสในชั้นลิงก์
- เมื่อเชื่อมต่อกับเครือข่ายเซลลูลาร์ ชั้นลิงก์การสื่อสารมีประเด็นด้านความปลอดภัยและความเป็นส่วนตัวเฉพาะตัว
- False Base Stations (FBS) และ Stingray ใช้ประโยชน์จากจุดอ่อนของมาตรฐานเซลลูลาร์เพื่อสร้างความเสียหายแก่ผู้ใช้
- สมาร์ตโฟนไม่สามารถยืนยันความถูกต้องของสถานีฐานเซลลูลาร์ได้อย่างน่าเชื่อถือก่อนเชื่อมต่อ
- ผู้โจมตีสามารถนำไปใช้ได้หลายแบบ ตั้งแต่การดักทราฟฟิก การไซด์โหลดมัลแวร์ ไปจนถึงการเฝ้าระวังแบบครอบคลุมในวงกว้าง
- สำหรับผู้ใช้ที่มีความเสี่ยง การเสริมความแข็งแกร่งให้ระบบโทรศัพท์เคลื่อนที่จึงถูกผลักดันเป็นลำดับความสำคัญ
- ครอบคลุม ความเสี่ยงจากเครือข่าย 2G, ความเสี่ยงจาก null cipher, ภัยคุกคาม FBS อื่น ๆ และการ เสริมความแข็งแกร่งของเบสแบนด์ ร่วมกับพาร์ตเนอร์ในระบบนิเวศ
2G และประวัติของความเสี่ยงด้านความปลอดภัยที่ฝังอยู่ในตัว
- ระบบนิเวศมือถือกำลังปรับใช้ 5G อย่างรวดเร็ว และผู้ให้บริการจำนวนมากกำลังยุติบริการ 2G
- ในสหรัฐฯ ผู้ให้บริการรายใหญ่ส่วนมากได้ปิดเครือข่าย 2G แล้ว
- อย่างไรก็ตาม อุปกรณ์มือถือรุ่นเก่าทั้งหมดยังคงรองรับ 2G และจะเชื่อมต่อกับ 2G โดยอัตโนมัติเมื่อใช้งานได้
- การเชื่อมต่อ 2G สามารถถูกบังคับจากระยะไกลได้ผ่านการโจมตีที่เป็นอันตราย
- ทำให้อุปกรณ์ ถูกลดระดับลงเป็นการเชื่อมต่อเฉพาะ 2G อย่างเงียบ ๆ เพื่อบังคับให้เพิกเฉยต่อเครือข่ายที่ไม่ใช่ 2G
- พฤติกรรมนี้เกิดขึ้นได้โดยไม่เกี่ยวกับว่าผู้ให้บริการในพื้นที่ได้ยุติโครงสร้างพื้นฐาน 2G แล้วหรือไม่
- 2G ซึ่งถูกนำมาใช้ครั้งแรกในปี 1991 ไม่มีความปลอดภัยเทียบเท่ารุ่นถัดมา
- 2G ที่อิงมาตรฐาน GSM ไม่มีการยืนยันตัวตนแบบสองทาง (mutual authentication) ทำให้เกิดการโจมตีแบบคนกลาง (Person-in-the-Middle) ได้ง่าย
- หลังปี 2010 นักวิจัยด้านความปลอดภัยได้สาธิตการดักฟังและถอดรหัสทราฟฟิก 2G ผ่านอากาศได้อย่างง่ายดายหลายครั้ง
- ความปลอดภัยที่ล้าสมัยของ 2G เมื่อรวมกับการบังคับลดระดับจาก 5G/4G ลงมาเป็น 2G คือ วิธีโจมตีที่ถูกใช้บ่อยที่สุดของ FBS, IMSI catcher และ Stingray
-
ตัวอย่างการนำ Stingray ไปใช้โจมตี
- อาจใช้ไซด์โหลด มัลแวร์ Pegasus ลงในโทรศัพท์ของนักข่าว
- มีกรณีฟิชชิงที่ซับซ้อนซึ่งส่งผลกระทบต่อผู้คนหลายแสนคนด้วย FBS เพียงตัวเดียว
- การโจมตีแบบหลอกลวงที่คาดว่าใช้การลดระดับลงเป็น 2G เพื่อฉีดเพย์โหลด SMSishing (สมีชชิง)
-
มาตรการตอบโต้ใน Android 12
- เปิดตัวฟีเจอร์ให้ผู้ใช้ปิดใช้งาน 2G ได้ในระดับโมเด็ม
- Pixel 6 เป็นรุ่นแรกที่รองรับ และปัจจุบันรองรับในอุปกรณ์ Android ทั้งหมดที่เป็นไปตาม Radio HAL 1.6 ขึ้นไป
- ออกแบบมาเพื่อไม่ให้ผู้ใช้ได้รับผลกระทบในกรณีโทรฉุกเฉิน
-
การบรรเทาความเสี่ยงด้านความปลอดภัยของ 2G สำหรับองค์กร
- ประโยชน์ด้านความปลอดภัยและความเป็นส่วนตัวจากการปิด 2G สำหรับผู้ใช้กลุ่มเสี่ยงได้รับการยอมรับในอุตสาหกรรม และมีความสำคัญต่อกลุ่มลูกค้า Android Enterprise เช่นกัน
- องค์กรต้องการความปลอดภัยที่แข็งแกร่งเพื่อปกป้องข้อมูลอ่อนไหวและทรัพย์สินทางปัญญา
- Android Enterprise มีการควบคุมเพื่อจัดการความปลอดภัยของการเชื่อมต่อ เช่น การปิด WiFi, Bluetooth, สัญญาณข้อมูล USB
- ตั้งแต่ Android 14 เป็นต้นไป องค์กรและหน่วยงานภาครัฐที่จัดการอุปกรณ์ผ่าน Android Enterprise จะสามารถ จำกัดการลดระดับลงเป็น 2G ได้
- สามารถกำหนดค่าการเชื่อมต่อมือถือให้เหมาะกับโมเดลความเสี่ยง เพื่อปกป้องจากการดักทราฟฟิก 2G การโจมตีแบบคนกลาง และภัยคุกคามอื่น ๆ ที่อาศัย 2G
- สามารถตั้งค่าให้ปิดวิทยุ 2G ตลอดเวลา หรือปกป้องพนักงานเมื่อเดินทางไปยังพื้นที่ความเสี่ยงสูง
- ฟีเจอร์นี้เป็นส่วนหนึ่งของ การควบคุมการจัดการมากกว่า 200 รายการ ที่ Android Enterprise มีให้
- พร้อม audit logging สำหรับเหตุการณ์มากกว่า 80 ประเภท ใช้ติดตามการเข้าถึงโดยไม่ได้รับอนุญาต ระบุการละเมิดความปลอดภัย และช่วยแก้ปัญหา
ความสามารถเพิ่มเติมใน Android 14 — การบล็อก null cipher
- Android 14 ยังรับมือกับความเสี่ยงของ cellular null cipher
- ทราฟฟิกที่อิง IP ได้รับการปกป้องด้วย E2EE ในระดับแพลตฟอร์ม แต่เครือข่ายเซลลูลาร์ยังเปิดเผยทราฟฟิกเสียงและ SMS แบบ circuit-switched
- ทราฟฟิกทั้งสองประเภทนี้ได้รับการปกป้องด้วยการเข้ารหัสในชั้นลิงก์เซลลูลาร์เท่านั้น และเครือข่ายเป็นฝ่ายตัดสินใจทั้งหมดว่าจะเข้ารหัสหรือไม่ โดยผู้ใช้มองไม่เห็น
- มีการยืนยันการใช้ null cipher ในเครือข่ายเชิงพาณิชย์
- ทราฟฟิกเสียงและ SMS เช่น OTP (One-Time Password) จึงเสี่ยงต่อการดักฟังผ่านอากาศได้ง่าย
- Stingray เชิงพาณิชย์บางรุ่นหลอกให้อุปกรณ์เข้าใจว่าไม่รองรับการเข้ารหัส และลดระดับลงเป็น null cipher เพื่อดักฟังได้
- Android 14 เพิ่มตัวเลือกให้ผู้ใช้ ปิดใช้งานการเชื่อมต่อ null cipher ในระดับโมเด็ม
- เช่นเดียวกับการควบคุม 2G ยังสามารถโทรฉุกเฉินได้แม้ในการเชื่อมต่อที่ไม่เข้ารหัส
- ช่วยยกระดับความเป็นส่วนตัวของการสื่อสารอย่างมากบนอุปกรณ์ที่ใช้ Radio HAL รุ่นใหม่ และคาดว่าจะขยายไปสู่อุปกรณ์อื่น ๆ มากขึ้นในอีกหลายปีข้างหน้า
ความร่วมมืออย่างต่อเนื่องเพื่อยกระดับมาตรฐานความปลอดภัยเซลลูลาร์
- ควบคู่ไปกับงานภายใน Android ยังมีการเข้าร่วมพัฒนาและปรับปรุงมาตรฐานความปลอดภัยเซลลูลาร์อย่างสม่ำเสมอ
- มีส่วนร่วมอย่างแข็งขันในองค์กรกำหนดมาตรฐาน เช่น GSMA Fraud and Security Group และกลุ่มด้านความปลอดภัยและความเป็นส่วนตัวของ 3GPP (SA3)
- เป้าหมายระยะยาวคือทำให้ภัยคุกคามจาก FBS หมดฤทธิ์
- ภายใน GSMA FASG ยังเป็นผู้นำโครงการใหม่ที่สำรวจความเป็นไปได้ของเทคนิคสมัยใหม่ด้านตัวตน ความเชื่อถือ และการควบคุมการเข้าถึง เพื่อยกระดับความปลอดภัยของเครือข่ายโทรคมนาคมอย่างเป็นรากฐาน
- Android ใช้กลยุทธ์ defense-in-depth
- ทำงานร่วมกับทีมภายใน เช่น Android Red Team และ Vulnerability Rewards Program
- รวมถึงร่วมมือกับกลุ่มวิชาการชั้นนำด้านการวิจัยความปลอดภัยเซลลูลาร์ และในปี 2022 ได้สนับสนุนโครงการ PoC เพื่อประเมินการเสริมความแข็งแกร่งของการเชื่อมต่อ 5G ผ่านทุน ASPIRE
- ผลการวิจัยดังกล่าวถูกนำเสนอในงาน ACM Conference on Security and Privacy in Wireless and Mobile Networks
1 ความคิดเห็น
ความคิดเห็นบน Hacker News
ดูเหมือนเป็นการประนีประนอมที่เหมาะกับคนส่วนใหญ่ เครือข่าย 2G ทั่วประเทศ เพียงรายเดียวในสหรัฐฯ คือ T-Mobile และมีกำหนดปิดให้บริการวันที่ 2 เมษายน 2024
ในพื้นที่ชนบทก็มีผู้ให้บริการท้องถิ่นอย่าง Commnet Wireless ที่ให้ความครอบคลุมเพียงรายเดียวในพื้นที่นั้น แต่พบไม่บ่อย และโดยปกติก็ได้ติดตั้ง 3G ครอบคลุมพื้นที่ให้บริการทั้งหมดไว้แล้ว Big Three เองก็กำลังขยายความครอบคลุมของตนให้ซ้อนทับกับผู้ให้บริการเหล่านี้อยู่ด้วย ถึงอย่างนั้น ตามกฎของเมอร์ฟี ย่อมมีใครสักคนที่ใช้โทรศัพท์ Android 14 แล้วพบว่าโทรหาใครไม่ได้เลยนอกจาก 911 ในอุดมคติควรมีพรอมป์ปุ่มให้เปิด 2G กลับมาเมื่ออยู่ในสถานะไม่มีบริการ ตามกฎของ FCC โทรศัพท์มือถือควรต้องสามารถ fallback ไปใช้ null cipher ได้หากจำเป็นต่อการเชื่อมต่อสายฉุกเฉิน
(1) https://www.t-mobile.com/support/coverage/t-mobile-network-e...
(2) https://www.cellularmaps.com/regional-carriers/commnet-wirel...
ปีที่แล้วผมถามก่อนว่าสามารถเปิดใช้งานอุปกรณ์ 4G ที่ไม่ใช่ LTE เครื่องใหม่ได้ไหม และได้รับคำตอบว่าไม่มีปัญหา เปิดใช้งานได้จริง แต่ไม่กี่วันต่อมาอุปกรณ์ก็หยุดทำงาน หลังใช้เวลาหลายชั่วโมงกับฝ่ายสนับสนุนด้านเทคนิคและได้รับ SIM ใหม่ ก็ยังหยุดทำงานอีกเหมือนเดิมหลังผ่านไปไม่กี่วัน ผมลองสลับ SIM กับอุปกรณ์ T-Mobile 4G ที่ไม่ใช่ LTE อีกเครื่องในบัญชีเดียวกัน (iPad Pro) ทั้งสองเครื่องก็ใช้งานได้ และแม้สลับกลับเหมือนเดิมก็ยังใช้งานได้พักหนึ่ง แต่เครื่องใหม่เท่านั้นที่หยุดทำงานหลังผ่านไปไม่กี่วัน สุดท้ายฝ่ายสนับสนุนด้านเทคนิคเจอประกาศทางเทคนิคว่า อุปกรณ์ที่เปิดใช้งานหลังวันที่หนึ่งในปี 2022 จะหยุดทำงานถ้าไม่ได้ ลงทะเบียน 4G LTE กับสถานีฐานทุก 24 ชั่วโมง T-Mobile คงเขียนสคริปต์ขึ้นมาเพื่อทำสิ่งนี้ ซึ่งดูเหมือนเป็นเหตุผลทางการตลาดล้วน ๆ iPad Pro รุ่นปี 2016 ที่เป็น 4G ไม่ใช่ LTE ยังทำงานได้ดีอยู่ แต่ผมต้องเปลี่ยนอุปกรณ์ 4G ที่ไม่ใช่ LTE อีกเครื่องเป็นรุ่นใหม่กว่า ทั้งที่เป็นอุปกรณ์เดียวกันที่เคยใช้กับ T-Mobile มาหลายปี แล้วจะนำกลับมาเปิดใช้งานหลังปิดไว้ 6 เดือน และถ้าเปิดใช้งานใหม่เร็วกว่านั้นแค่หนึ่งเดือนก็คงไม่มีปัญหา
สรุปคือ ผู้ให้บริการมือถือหาเงินจากการขายอุปกรณ์ใหม่ และสามารถบอกได้ว่าอุปกรณ์ที่จริง ๆ แล้วใช้งานได้ กลับไม่รองรับ
สิ่งที่บทความเผยให้เห็นชัดที่สุดคือแก่นของ Stingray จริง ๆ แล้วแทบจะเป็น การโจมตีแบบดาวน์เกรด ราคาแพง การปิด 2G อาจเป็นวิธีที่ทรงพลังสำหรับ Ma Bell ในการไม่ให้บริษัทด้านความปลอดภัยอย่าง Stingray มากัดกินรายได้ที่อุดมอยู่แล้ว เทคนิคเล่นตลกของ Stingray กลายเป็น ภัยคุกคามต่อความมั่นคงของชาติ โดยตรง จึงทิ้ง 2G ไปด้วย
การตั้งค่าให้ผู้ใช้ปิด 2G มีมาตั้งนานแล้ว ดังนั้นส่วนที่ใหม่ในครั้งนี้ดูจะเป็น null cipher กับการจัดการระดับองค์กร การกำจัด null cipher เป็นเรื่องดี และถ้าปฏิเสธ cipher ที่อ่อนแอหรือ cipher สำหรับส่งออกได้ด้วยก็จะดี
ถ้าอยากคง 4G หรือ 5G ไว้ก็ทำอะไรแทบไม่ได้ ส่วนตัวผมชอบ 4G/5G มากกว่า เพราะในเครือข่ายของผม การ fallback ไป 2G/3G นอกพื้นที่ครอบคลุม 4G/5G แทบไม่มีประโยชน์ หวังว่าเมื่อ Android 14 มาถึง S21 อย่างน้อยจะมีตัวเลือกปิด 2G ตามที่บทความอธิบายไว้
ตัวเลือกใหม่ครั้งนี้ฟังดูเหมือนปิดฟังก์ชัน 2G ทั้งหมดจริง ๆ
ตรงส่วนที่ว่า “เครือข่ายเป็นผู้ตัดสินใจว่าจะเข้ารหัสทราฟฟิกหรือไม่ และผู้ใช้ไม่สามารถเห็นได้ว่ามีการเข้ารหัสหรือไม่” ผมคิดว่าเดิมทีตั้งใจให้ UI ของระบบปฏิบัติการแสดง การเชื่อมต่อที่ไม่เข้ารหัส แต่เพราะ actor ระดับรัฐไม่ต้องการเช่นนั้น จึงดูเหมือนว่าไม่มีฝ่ายใดแสดงผล
อีกทั้งแม้เปิดการเข้ารหัสไว้ ก็ใช้เฉพาะช่วงไร้สายของการส่งข้อมูล ไม่ใช่ end-to-end ระหว่างเครื่องปลายทาง ไม่เช่นนั้นก็คงโทรไปยังโทรศัพท์บ้านไม่ได้ ดังนั้นผมคิดว่าผู้ให้บริการเครือข่ายถอดรหัสข้อมูลดิบได้ง่ายอยู่แล้วไม่ใช่หรือ เรื่องนี้อาจช่วยในสถานการณ์อย่างสถานทูตตั้งสถานีฐานปลอมเพื่อกวาดข้อมูลของผู้ประท้วงข้างนอกได้ และผมก็สงสัยด้วยว่าถ้าทำให้บิตจำนวนมากเป็น 0 เพื่อ ทำให้คีย์เข้ารหัสอ่อนลง เหมือนที่ GSM เคยทำแต่เดิม จะตรวจจับได้อย่างไร
NSA กับ actor ระดับรัฐอื่น ๆ ตอนนี้มีวิธีอื่นแล้ว เลยดูเหมือนว่าสามารถเปิดเผยฟีเจอร์แบบนี้เพื่อเก็บแต้มบนอินเทอร์เน็ตได้
การที่ Google บอกว่าจะช่วยเรื่องความปลอดภัยก็คล้ายกับมาเฟียผู้สุภาพมาเคาะประตูแล้วเสนอการคุ้มครอง อย่าลืมว่า Google คือ จุดสูงสุดของบริษัทชั่วร้าย ที่พยายามยึดครองข้อมูลทั้งหมดไว้ในมือ บริษัทเดียวกันนี้เองที่เปลี่ยน “don’t do evil” เป็น “do things”
ถ้าไม่ได้ย้ายไปใช้ Apple ผมก็คงยินดีใช้ฟีเจอร์แบบนี้บนโทรศัพท์ GrapheneOS
แถมยังมีแรงจูงใจทั่วไปในการสร้างฟีเจอร์ที่อาจทำให้ผู้คนหรือองค์กรจำนวนมากขึ้นเลือก Android ด้วย
AT&T ได้ปิดการใช้งาน อุปกรณ์ 3G ไปแล้ว และก็มีแอป Android ที่อ้างว่าตรวจจับ Stingray หรือสถานีฐานปลอมได้ ถึงอย่างนั้นก็ยังเป็นความเคลื่อนไหวที่ดีจากฝั่ง Google
GrapheneOS ก็ได้ทำฟีเจอร์คล้ายกันที่จำกัดให้ใช้เฉพาะ เครือข่ายเซลลูลาร์ 4G ด้วย เหมาะในกรณีที่โทรศัพท์คิดว่าการเชื่อมต่อ 3G หรือ 2G ดีกว่า แต่เท่าที่ผมรู้ 4G เร็วกว่า
ข้อเสียคือในสถานการณ์ที่เครือข่าย 4G โอเวอร์โหลดเต็มที่ เช่น ในงานเทศกาล อาจพลาดสายโทรศัพท์หรือ SMS ที่ควรจะรับได้ถ้าสลับไป 2G ได้ เรื่องนี้เกิดขึ้นกับผมจริง ๆ โทรศัพท์มีการเชื่อมต่อ 4G อยู่ แต่ SMS ใช้งานไม่ได้ถ้าไม่อนุญาตให้ใช้ 2G
ก่อนอื่นน่าจะไปอุด การรั่วไหลของ VPN แบบ always-on ก่อนดีไหม
https://issuetracker.google.com/issues/250529027
นี่มีความหมายมากกว่าแค่ทำให้บริษัทของผมปิด 2G บนโทรศัพท์ของผมได้หรือเปล่า?