[Collesanmarco]

Um die Position eines Netzteilnehmers herauszufinden und seine Gespräche aufzuzeichnen, braucht es nur wenig: die Telefonnummer, etwas freie Software und ein günstiges altes Handy.
Karsten Nohl und Sylvain Munaut demonstrierten auf dem 27. Hackerkongress des Chaos Computer Clubs mit einfachen Mitteln, wie die gesamte Telekommunikation eines Netzteilnehmers, inklusive Gespräche in Handynetze, abgehört werden können. Zudem ist es möglich, weltweit den Ort eines Nutzers zu bestimmen. Normalerweise kosten die entsprechenden Gerätschaften, beispielsweise für den Polizeieinsatz, zwischen 40.000 und 50.000 Euro. Dieser finanzielle Aufwand ist jedoch nicht nötig. Es reicht ein altes Handy. Zudem muss der Angreifer in den Besitz der Telefonnummer kommen. Das dürfte nur in wenigen Fällen eine echte Hürde sein.

Das erworbene Angriffstelefon muss modifiziert werden. Entsprechende Open-Source-Firmware gibt es beim Osmocom-Projekt. Außerdem muss der Nutzer für einen Angriff den Verkehr der entsprechenden Mobilfunkzelle abhören können. Um in die Nähe eines Opfers zu kommen, reicht allerdings eine einfache Abfrage beim Netz, das bereitwillig Auskunft erteilt. Die Privatsphäre eines Nutzers wird hier nicht vom Netzbetreiber geschützt, im Unterschied zu Informationen, die für die Abrechnung beim Kunden des Netzbetreibers wichtig sind.

In insgesamt drei Schritten wird der Nutzer bis auf die Zelle genau geortet. Dazu verwendet der Angreifer stille Kurznachrichten, von denen der Nutzer prinzipbedingt nichts erfährt. Sollte der Netzbetreiber solche Nachrichten blockieren, gibt es noch den Weg mit einer kaputten Kurzmitteilung. Neben der Position erfährt der Angreifer noch die IMSI (International Mobile Subscriber Identity) und TMSI (Temporary Mobile Subscriber Identity) des Nutzers, wichtige Informationen zur effektiven Filterung der Daten einer Mobilfunkzelle.

Das Angriffstelefon muss mit einer neuen Firmware bespielt und der DSP-Code des Handys gepatcht werden, damit die Verschlüsselung ignoriert wird. Das Handy muss mit einem Computer verbunden werden, damit die Daten effizient ausgewertet werden können. Dass die GSM-Verschlüsselung keine Hürde ist, hat Nohl schon mehrfach bewiesen.

Um beide Kommunikationswege abzuhören, vom Angegriffenen zur Zelle (Uplink) und von der Mobilfunkzelle zum Netzteilnehmer (Downlink), muss im Angreifertelefon zudem der Uplink-Filter entfernt werden.

Nohl und Munaut demonstrierten das vor dem Hackerpublikum erfolgreich. Mit nur vier Handys wurde das Gespräch zwischen zwei dieser Geräte abgehört. Sie waren in einem kommerziellen GSM-Netzwerk eingebucht, also nicht im experimentellen GSM-Netzwerk des Kongresses. Herausgekommen sind zwei Dateien mit Audioaufnahmen: Eine Uplink-Datei und eine Downlink-Datei mit den Gesprächsinhalten der beiden Teilnehmer. Diese müssen nur noch zusammengeführt werden.

Eine Möglichkeit, der Abhörbarkeit zu entgehen, wäre das Umschalten des Mobiltelefons auf reinen 3G-Betrieb. Das bieten aber die wenigsten Geräte überhaupt an. Häufig gibt es die Option nur bei Modems für das mobile Internet. Nohl sagte zudem, dass viele Handys für Telefonate zurück in den GSM-Betrieb fallen, wenn etwa 3G-Geräte wie das iPhone die verfügbare Bandbreite auslasten.

GSM-Netze sind wie ein nicht vertrauenswürdiges Netzwerk vom Nutzer zu behandeln, ist das Fazit der beiden GSM-Experten.

Es gäbe aber einige einfache Möglichkeiten für Netzbetreiber, Angriffe zumindest zu erschweren. Laut Nohl sind davon auch schon einige längst vorgesehen. Die Umsetzung lässt jedoch auf sich warten. Ganz oben auf der GSM-Wunschliste ist das Abschalten von SMS Home Routing. Eine Lösung wäre beispielsweise, dass ein Netzbetreiber dem anderen nur mitteilt, dass eine Kurznachricht nach Belgien geschickt werden soll und sich der verantwortliche Betreiber dann selbst um die Lokalisierung kümmert.

Desweiteren sollen 23-Byte-Nachrichten zwischen Geräten nicht unnötig mit vorhersehbaren und immer gleichen (2b) Füllbytes aufgefüllt werden, nur weil eine Nachricht etwa nur 3 Bytes lang ist. Stattdessen soll dieser Bereich mit zufälligen Werten gefüllt werden. Das ist seit zwei Jahren sogar schon vorgesehen. Allerdings wurde das Update noch nicht auf eine Basisstation aufgespielt. Nohl und Munaut witzelten, dass diese einzelne Codezeile wohl noch bei der Qualitätssicherung liegt.

Außerdem sollten Netzbetreiber Schlüssel für die Kommunikation nicht wiederverwenden und immer einen neuen generieren. Einige Netzbetreiber tun das für Kurznachrichten bereits, allerdings wird für Telefonate dann der letzte SMS-Schlüssel verwendet. Der Anwender müsste also zwischen Telefonaten eine Kurzmitteilung verarbeiten, um seine Sicherheit zu erhöhen.

Außerdem wird gefordert, dass TMSIs öfter als nur einmal am Tag gewechselt werden und Frequency Hopping, das bereits unterstützt wird, auch eingesetzt wird. Diese fünf einfachen Schritte würden laut Nohl und Munaut einen Angriff zumindest erschweren.

Quelle: [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]