Govcert: koop alleen UMTS-only telefoons
Overheidsinstantie Govcert adviseert om alleen nog mobiele telefoons met een UMTS-only functie te kopen en voor vertrouwelijke gesprekken crypto-telefonie te gebruiken. De aanbevelingen staan in een factsheet die gepubliceerd werd na de GSM-hack die tijdens het Chaos Comunication Congres onthuld werd. Daar liet de Duitse beveiligingsonderzoeker Karsten Nohl zien hoe hij via een zeven jaar oude Motorola-gsm en gratis software die hij op het internet vond, mobiele gesprekken, voicemails en sms-berichten kon hacken en afluisteren.
Govcert stelt dat de technische middelen die nodig zijn om gesprekken af te luisteren nog niet allemaal publiek beschikbaar zijn. "Op basis van wat al publiek is, is het voor iemand met goede kennis van GSM niet moeilijk de ontbrekende stukken in te vullen", zo laat de overheidsinstantie weten.
Toestel
Aangezien UMTS encryptiealgoritmen gebruikt die niet kwetsbaar zijn voor deze aanval, wordt voor vertrouwelijke gesprekken aangeraden om mobiele telefoons op basis van UMTS technologie (met UMTS-only mogelijkheid) of crypto-telefonie te gebruiken. "Voer bij gebruik van sms-authenticatie een risicoanalyse uit. Overweeg zonodig de invoering van additionele maatregelen."
Ook bij de aanschaf van nieuwe mobiele apparatuur wordt geadviseerd om voor toestellen met een UMTS-only functie te kiezen. Dat voorkomt dat de telefoon (ongemerkt) overschakelt op GSM voor betere ontvangst. Door beperkte dekking is het echter niet altijd mogelijk van UMTS gebruik te maken.
UMTS
Bij UMTS wordt gebruik gemaakt van de UEA1-encryptie met een sleutellengte van 128 bits voor de versleuteling tussen mobiele telefoon en basisstation. De UEA1-encryptie van UMTS is beter dan A5/1 van GSM omdat de sleutellengte twee keer zo lang is. Verder is het UEA1-algoritme al lange tijd geleden gepubliceerd, in tegenstelling tot de GSM-encryptie, en is onderzocht door wetenschappelijke instellingen. Daarbij zijn er nog geen significante zwakheden gevonden.
UMTS heeft tweezijdige authenticatie: niet alleen is de handset door het netwerk geauthenticeerd, ook is de mogelijkheid ingebouwd dat de handset het netwerk authenticeert, wat een betere bescherming biedt. Daarnaast wordt in UMTS de integriteit van het signaleringsverkeer beveiligd met een aparte sleutel, zo laat de factsheet weten.
nog een oud type GSM. :)
http://www.bbc.co.uk/news/technology-13013577
Zie ook het filmpje bovenaan de pagina.
En kun je GSM uitzetten via instellingen? Heeft iemand dat wel eens geprobeerd. Ik heb het nog nooit gezien.
Greetingz,
Jacco
GovCert heeft destijds ook adviezen gegeven, dit bulletin volgt op nieuwe ontwikkelingen.
Het lijkt me een stuk handiger als providers de adviezen van Karsten Nohl et al opvolgen, als ik het goed begrepen heb gaat het om simpele maatregelen (uit te voeren door providers) om de versleuteling te verbeteren.
Een Windows PC is ookm te hacken, moeten we nu ook een NIET-Windows PC kopen? En al die Android Malware? Mogen we dan ook geen Android meer gebruiken....
GovCERT staat een beetje buiten de realiteit als ze dit aangeven.
Als GovCERT eerst eens hun werk gaat doen en de overheid veilig maken dan mogen we weer meepraten met grote mensen.
Mijn europese telefoon kan niet overweg met de 3G/4G technieken hier in de USA en gebruikt dus GSM/EDGE. Wanneer je met een UMTS-only foon dan naar de US gaat kan je niet meer bellen. Brilliant.
Volgend jaar: Zwakte in sommige UMTS netwerken i.v.m compatibiliteit GSM. Wedden dat het als "nieuws" gepresenteerd gaat worden...
Mijn europese telefoon kan niet overweg met de 3G/4G technieken hier in de USA en gebruikt dus GSM/EDGE. Wanneer je met een UMTS-only foon dan naar de US gaat kan je niet meer bellen. Brilliant.
Nee, een onveilige telefoon kopen omdat je misschien ooit eens keer een weekje op vakantie mag in de USA (en daar dan vervolgens vooral wil bellen kennelijk.), dat is pas brilliant! ;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
