Govcert: koop alleen UMTS-only telefoons
Overheidsinstantie Govcert adviseert om alleen nog mobiele telefoons met een UMTS-only functie te kopen en voor vertrouwelijke gesprekken crypto-telefonie te gebruiken. De aanbevelingen staan in een factsheet die gepubliceerd werd na de GSM-hack die tijdens het Chaos Comunication Congres onthuld werd. Daar liet de Duitse beveiligingsonderzoeker Karsten Nohl zien hoe hij via een zeven jaar oude Motorola-gsm en gratis software die hij op het internet vond, mobiele gesprekken, voicemails en sms-berichten kon hacken en afluisteren.
Govcert stelt dat de technische middelen die nodig zijn om gesprekken af te luisteren nog niet allemaal publiek beschikbaar zijn. "Op basis van wat al publiek is, is het voor iemand met goede kennis van GSM niet moeilijk de ontbrekende stukken in te vullen", zo laat de overheidsinstantie weten.
Toestel
Aangezien UMTS encryptiealgoritmen gebruikt die niet kwetsbaar zijn voor deze aanval, wordt voor vertrouwelijke gesprekken aangeraden om mobiele telefoons op basis van UMTS technologie (met UMTS-only mogelijkheid) of crypto-telefonie te gebruiken. "Voer bij gebruik van sms-authenticatie een risicoanalyse uit. Overweeg zonodig de invoering van additionele maatregelen."
Ook bij de aanschaf van nieuwe mobiele apparatuur wordt geadviseerd om voor toestellen met een UMTS-only functie te kiezen. Dat voorkomt dat de telefoon (ongemerkt) overschakelt op GSM voor betere ontvangst. Door beperkte dekking is het echter niet altijd mogelijk van UMTS gebruik te maken.
UMTS
Bij UMTS wordt gebruik gemaakt van de UEA1-encryptie met een sleutellengte van 128 bits voor de versleuteling tussen mobiele telefoon en basisstation. De UEA1-encryptie van UMTS is beter dan A5/1 van GSM omdat de sleutellengte twee keer zo lang is. Verder is het UEA1-algoritme al lange tijd geleden gepubliceerd, in tegenstelling tot de GSM-encryptie, en is onderzocht door wetenschappelijke instellingen. Daarbij zijn er nog geen significante zwakheden gevonden.
UMTS heeft tweezijdige authenticatie: niet alleen is de handset door het netwerk geauthenticeerd, ook is de mogelijkheid ingebouwd dat de handset het netwerk authenticeert, wat een betere bescherming biedt. Daarnaast wordt in UMTS de integriteit van het signaleringsverkeer beveiligd met een aparte sleutel, zo laat de factsheet weten.
nog een oud type GSM. :)
http://www.bbc.co.uk/news/technology-13013577
Zie ook het filmpje bovenaan de pagina.
En kun je GSM uitzetten via instellingen? Heeft iemand dat wel eens geprobeerd. Ik heb het nog nooit gezien.
Greetingz,
Jacco
GovCert heeft destijds ook adviezen gegeven, dit bulletin volgt op nieuwe ontwikkelingen.
Het lijkt me een stuk handiger als providers de adviezen van Karsten Nohl et al opvolgen, als ik het goed begrepen heb gaat het om simpele maatregelen (uit te voeren door providers) om de versleuteling te verbeteren.
Een Windows PC is ookm te hacken, moeten we nu ook een NIET-Windows PC kopen? En al die Android Malware? Mogen we dan ook geen Android meer gebruiken....
GovCERT staat een beetje buiten de realiteit als ze dit aangeven.
Als GovCERT eerst eens hun werk gaat doen en de overheid veilig maken dan mogen we weer meepraten met grote mensen.
Mijn europese telefoon kan niet overweg met de 3G/4G technieken hier in de USA en gebruikt dus GSM/EDGE. Wanneer je met een UMTS-only foon dan naar de US gaat kan je niet meer bellen. Brilliant.
Volgend jaar: Zwakte in sommige UMTS netwerken i.v.m compatibiliteit GSM. Wedden dat het als "nieuws" gepresenteerd gaat worden...
Mijn europese telefoon kan niet overweg met de 3G/4G technieken hier in de USA en gebruikt dus GSM/EDGE. Wanneer je met een UMTS-only foon dan naar de US gaat kan je niet meer bellen. Brilliant.
Nee, een onveilige telefoon kopen omdat je misschien ooit eens keer een weekje op vakantie mag in de USA (en daar dan vervolgens vooral wil bellen kennelijk.), dat is pas brilliant! ;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.