Mobilkryptering brutt og lekket på internett

[fjarle]

En veiviser som gjør det svært enkelt å bryte GSM-kryptering er lekket på internett.

 

Les mer

[dios]

«Det kreves derfor fortsatt relativt store mengder kunnskap før man kan avlytte naboens telefonsamtaler.»

 

Og heldigvis er det jo ikke som at man har et stort, internasjonalt nettverk hvor man kan spre kunnskap raskt og nesten helt kostnadsfritt!

 

[sgiga]

Bak lekkasjen står Karsten Nohl og 24 andre hackere, og formålet med arbeidet har vært å sette fingeren på behovet for ny og sikrere kryptering i verdens mobilnett.

Jada, mer som å tenne på hus for å sette fingeren på behovet for mindre lettantennelige hus. Eller som å stikke skrutrekkere i sidene på bilhjul for å sette fingeren på hvor lett de er å pungtere. Eller rett og slett bare kaste stein på vinduer for å sette fingeren på hvor lettknuselige de er. Eller ...

 

Skulle ha fått tak i de tullingene og hengt dem opp ned etter beine og "massert" dem med balltre. Sånn for å sette fingeren på behovet for en mindre pinefull form for massasje.

[JohndoeMAKT]

sgiga: Jeg er ganske så uenig. Her snakker vi om digre firmaer som nedprioriterer privatpersoners sikkerhet bare fordi det ikke er lagt nok fokus på saken. Den beste måten å tvinge bransjen til å oppdatere seg er å lage nok overskrifter slik at folk får øynene opp for at dette er et problem.

[aklla]

Jada, mer som å tenne på hus for å sette fingeren på behovet for mindre lettantennelige hus. Eller som å stikke skrutrekkere i sidene på bilhjul for å sette fingeren på hvor lett de er å pungtere. Eller rett og slett bare kaste stein på vinduer for å sette fingeren på hvor lettknuselige de er. Eller ...

 

Skulle ha fått tak i de tullingene og hengt dem opp ned etter beine og "massert" dem med balltre. Sånn for å sette fingeren på behovet for en mindre pinefull form for massasje.

 

når krypterings-teknologien de bruker er 21 år gammelt sier det seg selv at noe må gjøres, når de store firmaene ikke prioriterer det så tvinger folk som Nohl bransjen til å prioritere det.

dette har skjedd mange ganger før og vil skje mange ganger også, det ganger oss brukere/kunder.

 

alle de eksemplene du kommer med finnes det faktisk løsninger på, du må bare betale for å få det.

slike produkter har det vært etterspørsel etter og dermed har markedet tilpasset seg.

 

du kan ikke kjøpe bedre krypterings-teknologi til mobilen din(krypterte telefoner finnes, men det krever at begge parter har kryptering, er svin-dyrt og er totalt upraktisk).

i motsetning til veldig mange andre bransjer, så styres slike ting av leverandøren og ikke etter etterspørsel og marked.

[Olaaaaa]

Det har vært godt kjent i mange år hvordan man kan avlytte GSM-nett med man-in-the-middle-angrep. Dette krever bare en del dyrt utstyr. Det som publiseres nå gjør at man ikke lenger trenger så mye utstyr, men det er fortsatt langt fra dette til det blir mulig for script kiddies å avlytte samtalen din.

 

Fun fact forresten, GSM var det første tilgjengelige systemet for den allmenne befolkning som brukte noen form for kryptering. USA var veldig imot dette. Samtidig var det et av de siste store systemene som baserer seg på at angripere ikke kjenner til krypteringsalgoritmen som en del av sikkerheten. I dag er kryptering av kommunikasjon vanlig, og alle de mest brukte krypteringsalgoritmene baserer seg på kjente design som alle kan få innsyn i.

 

Når det gjelder A5/3, eller KASUMI, så brukes dette, og har alltid blitt brukt i 3G-nett. Og i motsetning til hva man får inntrykk av i artikkelen, det er ikke bare det at den har en 128 bits nøkkel som gjør denne bedre enn A5/1, den har en mye mer robust kjernefunksjon som gjør den mye sikrere enn de foregående. Dessverre er nett som bruker både 3G og GSM fortsatt sårbare for MITM-angrep. Still, bruk 3G der dette er mulig, så er du trygg med mindre du har så mye statshemmeligheter at James Bond ville blitt sjalu.

 

Jeg må si meg imponert over at hvor lenge GSM-teknologien har vart, og med tanke på størrelsen, kompleksiteten og ressursbruken som ligger bak denne 2TB-torrenten, er det ikke vanskelig å se at designet, for sin tid, var veldig bra. Når det kommer til massasje med balltre, det å publisere svakheter og angrep er helt vanlig i kryptokretser. Spesielt med systemer som så lenge har hatt kjente svaketer.

[sgiga]

Poenget er at vi er omgitt av "svakheter" overalt mht sikkerhet. Mange folk låser ikke ytterdøra eller bilen, men det er ikke dermed sagt at det er greit å publisere slike "svakheter" på internett for å sette fingeren på problemet. Og der er punkt 2, nemlig problemet. Hvor ofte hører vi om problemer med avlytting av GSM samtaler? Og for hvem er dette i tilfelle et problem?

 

Enkelte bør få hodet ut av revva, og begynne å oppføre seg som folk. Dette store "avlyttingsproblemet" bæer mer preg av å få oppmerksommhet enn noe annet.

[Olaaaaa]

Svakhetene i GSM-nettet har vært kjent lenge. Hvordan man skal generere opp innholdet i det som nå har blitt lagt ut har vært kjent lenge. GSM-nettet nærmer seg døden i mesteparten av Europa. Forhåpentlig vis vil dette ha som konsekvens at utfasingen av nettet går fortere, eller sikkerheten for GSM blir oppgradert. Dette betyr igjen at ondsinnede hackere som vil utnytte denne kjente svakheten ikke får gjort dette. Bra for alle.

 

Det er forøvrig helt vanlig at man publiserer metoder dersom man finner ut hvordan man knekker et kryptosystem, for da kan alle som bruker dette være oppmerksomme på svakheten og finne måter å tette hullene på. Igjen, bra for alle, da sikkerheten rundt private data blir ivaretatt.

[Dandor]

For de som er interessert i litt mer, pdf og video (.mp4 eller .tor) av foredraget fra 26C3.

[Theo343]

Hvor mange ganger skal dette være en nyhet? Jeg hører dette omtrent annenhvert år.

[tecnic]

http://media.grc.com/sn/sn-213.mp3

[G]

Regner med at når f.eks. "øst-europeere" begynner å få til å ringe med telefonabonnementet ditt at det blir en helt annen lyd i media.

[Theo343]

Det jeg er mest redd for er all sårbar informasjon som sendes over SMS. Gudskjelov har noen fortsatt vett til å sende slikt via gammeldags post, noe av dette burde også være rekomandert siden hvem som helst kan åpne de fleste postkasser.

[cspace]

tele operatørene kan se brukernes SMS og lytte inn på samtalene dersom de vil. de kan også følge med på brukeren for å se hvor han befinner seg (nærmeste basestasjon) samt se alle inkomne og utgående samtaler. alt dette i sanntid. det er noe forskjellig fra leverandør til leverandør hvordan det implementeres. politiet trenger ikke å knekke noen kryptering og det er heller ikke slikt det praktiseres. kriminelle derimot trenger bare å kjenne de rette folkene på innsiden.

[JohndoeMAKT]

cspace: Hvem svarer du til? Bare generell opplysning?

[Theo343]

Og skulle det være noe vi ikke visste? Derimot har ikke politiet fritt spillerom som du forsøker å FUDe litt med her.

Endret 3. januar 2010 av Theo343