Мобильные угрозы 2009 года. Часть первая. VoIP и мобильные платежи
Объем информации, циркулирующей в Интернете и на всех цифровых устройствах, за последние годы стал измеряться уже сотней экзабайт (1 экзабайт равен миллиарду гигабайт), а к 2010 году аналитики прогнозируют объем, приближающийся к тысяче экзабайт.
Не последнее место в этой цепочке хранения данных занимают любимые нами мобильные устройства: плееры, КПК, коммуникаторы и смартфоны, чьи объемы встроенных и сменных накопителей растут не менее быстрыми темпами. Кто бы мог поверить, что один небольшой коммуникатор Samsung i900 WiTu сможет вместить больше, чем 40 Гб данных (сумма объемов встроенной памяти и карты памяти microSDHC)? Но именно эти самые данные стали объектом пристального внимания вирусных аналитиков на проходившей 15 октября 2008 года конференции, организованной Центром защиты информации при Техническом университете штата Джордиа, США, (Georgia Tech Information Security Center (GTISC)).
Среди 5 ключевых угроз в ИБ в ближайшие годы (эксперты отметили вирусы, ботнеты, кибератаки, рост теневой Интернет-экономики) значится и тема защиты мобильных телефонов. Угрозы исходят от мобильного Интернета и сервисов, которые на них построены (VoIP и мобильный банкинг). Рассмотрим основные тезисы вирусных аналитиков и проанализируем их с точки зрения российской реальности.
Поскольку голосовая мобильная связь остается достаточно дорогим средством обмена информацией, то абоненты используют альтернативные решения, позволяющие им экономить на звонках. В настоящее время в развитых странах популярна VoIP-телефония, суть которой состоит в том, что голосовой сигнал кодируется и передается по IP-протоколу. Работать с VoIP будет удобнее, если использовать широкополосное беспроводное подключение к Интернету, например, по сетям WCDMA или через Wi-Fi в любую точку мира. Но удобнее вовсе не значит, что безопаснее, – этим летом один из энтузиастов из США Рик Хилл показал, что в Лас-Вегасе треть подобных сетей работает без шифрования и любой желающий может при желании перехватить трафик, идущий по каналу. В таких условиях аналитик Том Кросс (Tom Cross), исследователь команды IBM Internet Security Systems X-Force, предрекает, что VoIP будет использоваться злоумышленниками для кражи персональных данных и финансовой отчетности, причем методы особо не будут отличаться от существующих для «традиционного» Интернета. «Нельзя сбрасывать со счетов голосовой спам и голосовой фишинг (когда преступники будут звонить жертве, представляясь ее коллегами и близкими людьми, причем теперь не только в рамках одного города, но и в рамках всего земного шара). Атаки на серверы компаний, работающих на этом рынке, могут серьезно повредить имиджу VoIP». Многие европейские телекоммуникационные операторы уже активно продвигают общение по VoIP не только для обычных пользователей, но и для корпоративного сектора, поэтому клиенты ждут соответствующего уровня качества от услуги. В таких условиях компаниям не остается ничего, как серьезно пересмотреть свою политику безопасности, применяющуюся в сети, учитывая ошибки, связанные с почтовым протоколом SMTP, и с взломом через специальное оборудование.
Другой аспект безопасности мобильных устройств связан с развитием мобильных платежей. Эксперты отмечают, что устройства, подобные Apple iPhone, коренным образом изменили отношение к возможностям сотового телефона. Теперь смартфонами пользуются не только бизнесмены, но и обычные пользователи, которым удобнее покупать цифровой контент (например, в iTunes) или контролировать состояние банковского счета прямо с телефона. Уже упомянутый эксперт Том Кросс искренне удивляется тому, что до настоящего момента серьезных атак на iPhone было очень мало: «Чем больше платежных инструментов будет перенесено на смартфоны, тем привлекательнее они будут для взломщиков». Причем эта тенденция уже необратима - «все больше и больше финансовых операций будет производиться именно с телефона», - говорит Дейв Эмстер (Dave Amster), вице-президент исследовательской компании Equifax, и приводит в пример пользователей Blackberry, подвергающих риску свои данные, заказывая выписки по уплате кредита.
В России до сих пор нельзя говорить о сколько-нибудь развитом рынке VoIP-телефонии для коммерческого сектора, адаптированной под использование смартфонов. Крупные сотовые операторы буквально несколько месяцев тому назад запустили сети 3G, при которых еще можно действительно говорить о перспективах VoIP и мобильных платежей за цифровой контент. Тем не менее, в то, что и в России VoIP смогут воспользоваться мошенники, которые будут зарабатывать на отъеме денег от доверчивых абонентов, верится всерьез. Мобильные платежи, в силу того, что в России рынок до сих пор является серым, пока не могут считаться опасным с точки информационной безопасности направлением. До сих пор (на дворе - осень 2008 года) в стране нет закона, регулирующего взаимоотношения сторон с государством. Доказывать в таких условиях, кто кого обманул, практически нереально, а существующие решения интернет-банкинга серьезно не дотягивают до уровня европейских стран.
