Het GPRS-encryptiealgoritme GEA-1 dat eind vorige eeuw door telefoons werd gebruikt voor het versleutelen van dataverbindingen was opzettelijk verzwakt, waardoor het mogelijk was om de encryptie te kraken, zo stellen onderzoekers op basis van een crypto-analyse. De ontwerpers van het algoritme lieten in het ontwerpdocument van het GSM GPRS Encryption Algorithm (GEA) uit 1998 al weten dat ze met de op dat moment geldende exportbeperkingen rekening zouden houden (pdf).

Het encryptiealgoritme had 64-bit beveiliging moeten bieden, maar bood in werkelijkheid slechts een beveiligingsniveau van 40-bit. Volgens de onderzoekers is dit een bewuste ontwerpkeuze van de ontwikkelaars geweest. Door het lagere beveiligingsniveau was het mogelijk voor aanvallers om gebruikers passief af te luisteren. Voorwaarde was dat een aanvaller het versleutelde radioverkeer onderschepte alsmede 65 bits van "bekende keystream" data. Het gaat dan om 65 bits van versleutelde data waarvan de plaintext al bekend is.

"Het ontwerp van GPRS bevat tal van packetheaders en dingen die voorspelbaar zijn, waardoor het relatief eenvoudig is om door alleen passief af te luisteren 65 bits aan bekende keystream te onderscheppen", zegt Matthew Green, cryptograaf en hoogleraar aan de Johns Hopkins University, op Twitter. Hij merkt op dat het algoritme grotendeels is uitgefaseerd en alleen in nog wat oudere telefoons en basebands aanwezig is.

Voor eigenaren van dergelijke telefoons kan de aanwezigheid van GEA-1 een probleem zijn, aangezien het via een malafide telefoonmast mogelijk is een downgrade-aanval uit te voeren zodat de telefoon van GEA-1 gebruikmaakt als het toestel dit ondersteunt. GEA-1 en GEA-2 werden in 2013 officieel uitgefaseerd. De zwakte die in GEA-1 werd gevonden is niet aanwezig in GEA-2, stellen de onderzoekers. Ook dit algoritme biedt echter geen volledige 64-bit bescherming en zou volgens de onderzoekers niet meer moeten worden gebruikt.

Toch is het verdwijnen van GEA-1 geen reden voor feest, stelt Green. "Omdat aan het eind van de dag overheden dezelfde motieven hebben om encryptiestandaarden te saboteren. We doen alsof we te verlicht zijn om dit tegenwoordig te doen, of dat we slim genoeg zijn om het te zien. Misschien, maar ik betwijfel het." Green voegt toe dat erin het volgende decennium zeer waarschijnlijk onderzoekers zullen zijn die zelfde rapporten publiceren over de encryptiealgoritmes die we tegenwoordig gebruiken.

Eind vorige eeuw hadden verschillende landen exportbeperkingen opgesteld voor encryptieproducten. De langste sleutellengte die werd toegestaan was 40 bits. In het ontwerpdocument stellen de ontwerpers dat het GEA-algoritme moet kunnen worden geëxporteerd, waarbij er rekening met de op dat moment geldende exportbeperkingen wordt gehouden.

Iets wat ook de onderzoekers stellen. "We hebben laten zien dat de eerste versie van het GPRS Encryption Algorithm, GEA-1, alleen 40-bit (van 64) security biedt. We hebben verder laten zien dat het zeer onwaarschijnlijk is dat de zwakte toevallig is. Aangezien GEA-1 was ontwikkeld om te kunnen worden geëxporteerd binnen de exportbeperkingen van Europese landen eind jaren 1990, is dit mogelijk een aanwijzing dat een beveiligingsniveau van 40 bits een obstakel was voor encryptiealgoritmes om de noodzakelijke toestemming te krijgen." Met hun onderzoeksrapport hebben de onderzoekers nu laten zien waar de zwakte zich precies bevindt.