Hlavní navigace

Co s prolomeným GSM?

 Autor: 29
Jiří Peterka 4. 1. 2010

Německý expert Karsten Nohl poukázal na nedostatečnost šifry A5/1, vyvinuté již v roce 1987, ale dodnes používané v GSM sítích pro šifrování hovorů. Ukázal, jak ji prolomit, a zveřejnil i data, která to usnadňují. Podle něj měla být A5/1 nahrazena již před 15 lety, dosud se tak ale nestalo. A tak chce mobilní průmysl dotlačit ke změně alespoň dnes.

Samotný závěr minulého roku kupodivu nebyl nijak skoupý na zajímavé události. Jedna z nich, a to údajné prolomení GSM, se dokonce dostala mezi hlavní zprávy  do večerních zpravodajských relací i v ČR, v úterý 29. prosince.  Řada médií tuto zprávu prezentovala jako zásadní zlom v historii GSM, prezentovaný na konferenci Chaos Communication Congress, konané v závěru roku v Berlíně. Jako kdyby dosud jakékoli odposlouchávání GSM hovorů nepřipadalo v úvahu, ale teď se naopak stalo tak snadným, že ho může dělat skutečně kdokoli. Třeba že vás může odposlouchávat i váš zvídavý soused.

To ale není úplně přesné. Ten, kdo chtěl odposlouchávat GSM hovory, určitě měl šance i dříve. A ten asi nejzvídavější, tedy stát, na to nepotřeboval ani žádnou technologii: jednoduše si dal do zákona, že operátoři mu musí poskytnout přístup do jejich sítí tak, aby mohl odposlouchávat hovory bez jakéhokoli šifrování. Samozřejmě až v případě oprávněného požadavku, na základě rozhodnutí soudu. Vedle toho, díky povinnosti data retention (uchovávání provozních a lokalizačních údajů) operátoři po stát ještě sami a systematicky schraňují i veškeré informace o tom, kdo a komu kdy volal (byť bez zaznamenávání samotného obsahu hovoru).

Pokud jde o „technologická“ řešení, pak i zde existuje více možností. Jednou z nich jsou aktivní útoky, využívající falešné základnové stanice. Když se k některé z nich koncové zařízení připojí, má tento mobilní „man-in-the-middle“ jako na dlani vše, co potřebuje. Nevýhodou je ale nepraktičnost tohoto řešení (hlavně geografické omezení), i možnost odhalení.

Mnohem atraktivnější je čistě pasivní řešení, založené na (pasivním) odposlouchávání  rádiového provozu mezi koncovým zařízením (mobilem) a základnovou stanicí. Jelikož takovouto možnost má skutečně kdokoli v dosahu a je principiálně velmi jednoduchá, je tento rádiový provoz šifrován. Tedy alespoň v digitálních mobilních sítích. V Evropě, stejně jako ve většině dalších lokalit, je v sítích GSM za tímto účelem používána 64-bitová proudová šifra, označovaná jako A5/1 (a jen v některých zemích světa „uměle oslabená“ A5/2, z důvodů exportních omezení).

A právě s touto šifrou (A5/1) je problém, kterého se týká i událost z konce loňského roku.

Co je špatně na A5/1?

Proudová šifra A5/1 je poměrně starého data: byla vyvinuta v roce 1987 a byla na ní aplikována strategie „security through obscurity“, když byla dlouho a záměrně udržována v tajnosti (a i dnes je známa jen skrze reverzní inženýrství a specifické úniky). I přes tento její handicap se ale zdá, že neobsahuje žádnou zásadnější chybu, díky které by ji někdo mohl prolomit „lusknutím prstu“, okamžitě a s nulovými náklady. Jak by ostatně mohly naznačovat nynější palcové titulky o „prolomení GSM“.

Problém této šifry je úplně jiný a jaksi „přirozený“: je to představa některých lidí, že konkrétní bezpečnostní řešení  mohou být „na vždy“. Že je stačí jednou vytvořit, a pak je lze libovolně dlouho používat. Tedy že „vydrží“ libovolně dlouho a není třeba je obměňovat. Je to vlastně ignorování skutečnosti, že technologický vývoj jde velmi rychle kupředu, a že to co v určité době nebylo vůbec reálné, se s postupem času stává stále reálnějším – a nakonec i prakticky realizovatelným, s dostatečně nízkými náklady a nízkou další režií (například časovou).

To je bohužel častý nešvar, kterému se zde nevyhnul ani mobilní průmysl.  A tak celé nedávné vystoupení Karstena Nohla na 26.ročníku bezpečnostní konference Chaos Communication Congress v Berlíně bylo především „důrazným vzkazem“, adresovaným celému GSM průmyslu, aby se probudil a laskavě udělal to, co měl udělat už dávno: nahradit stářím zeslabenou šifru A5/1 něčím adekvátnějším současné realitě.

Pravdou je, že v 3G/UMT sítích se používá modernější, a hlavně mnohem silnější 128-bitová šifra A5/3.  Jenže drtivá většina hlasového provozu je stále vedena přes klasické GSM, ve kterém je stále používána ještě původní 64-bitová  šifra A5/1, která dodnes  nebyla nahrazena. Podle samotného Karstena Nohla se tak mělo stát již před 15 lety.

Mobilní průmysl to ale celou dobu viděl jinak. A i dnes, již po důrazném „vzkazu“ z Berlína, to hlavní reprezentant celého mobilního průmyslu (GSMA Asociace) vidí v zásadě stále stejně: že se vlastně nic neděje a že ke skutečnému prolomení je ještě hodně daleko. Jak se píše v tiskové zprávě GSMA z 30.12.2009:

Domníváme se, že tento výzkum, který se zdá být částečně motivovaný i komerčními důvody, je ještě hodně daleko od praktického útoku na GSM. Celkově se A5/1 ukázala být velmi efektivním a nezlomným nástrojem pro zajištění důvěrnosti.

Jak A5/1 stárla, až zestárla

Sám Karsten Nohl hovoří o tom, že šifra A5/1 byla shledána nedostatečně silnou již v roce  1994 – a zřejmě i proto dnes poukazuje na to, že měla být nahrazena  již před 15 lety. V následující ukázce z jeho prezentace na Berlínské konferenci je pak naznačena  historie pokusů o prolomení této šifry.

slide Karstena Nohla

Dá se shrnout asi tak, že již poměrně dávno byly formulovány postupy, jak tuto šifru prolomit (či spíše „rozluštit“?), víceméně hrubou silou a nikoli nalezením chyby v jejím návrhu. Ještě nějakou dobu ale nebyly tyto postupy prakticky realizovatelné. Tedy: jak pro koho, protože vše je otázka nákladů, resp. dostupných zdrojů. Pokud máte dost peněz na výpočetní a paměťovou kapacitu, nemusíte ani moc čekat. 

Třeba již před deseti lety bylo v literatuře (a to i v ČR, viz článek z českého CHIPu z února 2000) popisováno prolomení šifry A5/1 (konkrétně nalezení tajného klíče), a to

za méně než sekundu pomocí obyčejného PC se 128 MB RAM a dvou 73GB pevných disků, a to na základě analýzy známé dvouminutové komunikace.

Dnes by se, podle dostupných odhadů (viz např. tento zdroj), mělo za cca 200 000 USD nechat pořídit specializované a prakticky použitelné odposlouchávací zařízení pro GSM, které  dokáže získat klíč k dešifrování komunikace za jednotky sekund. Což je sice stále příliš na nějaké „domácí špehování“, ale už se to určitě dostává „do dosahu“  různých kriminálních skupin.

S čím ale vlastně nyní přišel Karsten Nohl, když vše už je známo – a za dostatek peněz dostupno – již nějakou dobu?

Prolomení GSM?

Se svým týmem pracoval Karsten Nohl posledních 5 měsíců nejen na metodě, ale hlavně na datech, která následně umožňují mnohem snazší „prolamování“ šifry A5/1. S maximálním zjednodušením si to lze představit jako obrovskou tabulku, kterou stačí vypočítat jednou, ale pak ji lze opakovaně využívat pro již relativně snadný „překlad“ zašifrovaných dat na původní nezašifrovaná data.

Rozhodující část výpočetní složitosti celého prolomení, jinak implementovaná v drahém a složitém  dešifrovacím zařízení, zde vlastně byla přenesena do jednorázového vypočítání celé rozsáhlé tabulky (anglicky: code book). Stalo se tak  s využitím výkonného hardwaru, zabudovaného do herních konzolí a výkonných grafických karet, a nasazeného tak, aby se dosáhlo vysoké míry paralelismu. Na (jednom) běžném PC by prý výpočet trval déle jak 100 000 let.

Výsledná tabulka byla navíc optimalizována tak, aby se zmenšil její objem – z původních 128 Petabytů na pouhé 2 TB, což je při dnešních kapacitách pevných disků již zvládnutelné. Výsledná optimalizovaná tabulka je označována jako „rainbow book“. No a to možná nejpodstatnější, čím se tento pokus liší od nejméně jednoho předchozího pokusu se stejným zaměřením: výsledek byl zveřejněn.

Praktickým důsledkem je tedy to, že případná zařízení pro odposlech půjde zkonstruovat s podstatně nižšími náklady. Například sám Karsten Nohl v rozhovoru pro CNET odhaduje, že za 30 000 USD lze již dnes postavit dešifrovací zařízení, schopné nalézt klíč dříve než za minutu. Jeho cílem ale není stavět takováto zařízení, natož je používat – ale poukázat na to, že v dnešním GSM není nic, co by kriminálním živlům významněji bránilo  odposlouchávat cizí hovory, ale i datové přenosy a různé „mobilní autentizace“. Neměli bychom totiž zapomínat na to, že GSM dnes není jen o telefonii, ale i o datových přenosech, a v neposlední řadě i o různých „mobilních klíčích“ k často velmi cennému majetku.

Co bude dál?

Zajímavou otázkou je nyní to, jak se k celé věci postaví sám mobilní průmysl. První reakce ze strany GSMA, zmiňovaná výše, naznačuje spíše snahu bagatelizovat celý problém. Měli bychom ji ale hodnotit i ve světle dnešních PR praktik, které velí spíše zatloukat, než přiznat problém. Podstatná bude dlouhodobější reakce, která by mohla vykrystalizovat na nadcházejících jednáních odborných orgánů a bezpečnostních komisí GSMA, a mohla by nějak „prosáknout“ na nadcházejícím každoročním kongresu mobilního sektoru v Barceloně (v polovině února).

Pro potřebné technologie přitom mobilní svět nemusí chodit daleko, k dispozici má 128-bitovou šifru A5/3, kterou již používá v 3G/UMTS sítích, a která je z dnešního pohledu považována za „dostatečně silnou“.  Nicméně jak těžké bude ji nasadit i ve 2G sítích (GSM sítích)? Bude to vůbec možné, aniž by se musela měnit koncová zařízení? Jak těžké to bude, kolik to dá práce, jak dlouho to bude trvat, a hlavně: kolik to bude stát? To se asi teprve ukáže.

Celá věc má ale ještě jeden zajímavý háček, a tím je samotná otázka toho, zda vůbec mají být naše mobilní hovory šifrovány (již samotnou mobilní sítí). Třeba v pevné telefonii nijak šifrovány nejsou, a nebyly šifrovány ani v analogových mobilních sítích. Nebude nakonec řešením konstatování, že šifrování hovorů vlastně není až tak důležité – a že když někdo chce důvěrnost při své mobilní komunikaci, musí si ji zajistit sám? Což samozřejmě může, a někteří to dnes již také dělají  – ale již na vlastní náklady.

Anketa

Vadilo by vám, kdyby vaše mobilní hovory nebyly (při přenosu éterem) nijak šifrovány?

Našli jste v článku chybu?

4. 1. 2010 9:55

galoše (neregistrovaný)
Snad jednorázový kód na transakci, ne? Zneužití je sice omezený (spárování kódu jen na příslušnou transakci v bance, registrovaný kód v systému banky...), ale ono i čtení kdo co kam posílá (součást takové SMS, logicky), do toho nikomu nic není...
Některý banky umožňují zasílat i tento kód šifrovanou formou alias SIM Toolkit.
Kdyby to hromadně uživatelé vyžadovali, zavedou to banky všechny, jenže uživatelé, ti nejhloupější, ještě řvali, když se rušila možnost jen loginu a hesla, takže to má tak e…

4. 1. 2010 13:27

Ve státě, kdy si může policista objednat odposlech bez soudního rozhodnutí (tedy to mít musí, ale čísla co tam hodí jsou čistě na něm a nemusí se nikomu zodpovídat, jak souvisí s případem) a druhý den má plné DVD na stole, snad nebudeme řešit nějaké prolomení jakýchsi šifer, ne?

Komu jen trochu záleží na jeho datech, tak si vše stejně šifruje sám.

Podnikatel.cz: Přehledná titulka, průvodci, responzivita

Přehledná titulka, průvodci, responzivita

Měšec.cz: Zdravotní a sociální pojištění 2017: Připlatíte

Zdravotní a sociální pojištění 2017: Připlatíte

Podnikatel.cz: K EET. Štamgast už peníze na stole nenechá

K EET. Štamgast už peníze na stole nenechá

Vitalia.cz: Jak koupit Mikuláše a nenaletět

Jak koupit Mikuláše a nenaletět

Lupa.cz: UX přestává pro firmy být magie

UX přestává pro firmy být magie

120na80.cz: Rovnátka, která nejsou vidět

Rovnátka, která nejsou vidět

Podnikatel.cz: Na poslední chvíli šokuje vyjímkami v EET

Na poslední chvíli šokuje vyjímkami v EET

DigiZone.cz: Recenze Westworld: zavraždit a...

Recenze Westworld: zavraždit a...

Měšec.cz: Golfové pojištění: kde si jej můžete sjednat?

Golfové pojištění: kde si jej můžete sjednat?

Měšec.cz: Air Bank zruší TOP3 garanci a zdražuje kurzy

Air Bank zruší TOP3 garanci a zdražuje kurzy

Lupa.cz: Babiš: E-shopů se EET možná nebude týkat

Babiš: E-shopů se EET možná nebude týkat

120na80.cz: Rakovina oka. Jak ji poznáte?

Rakovina oka. Jak ji poznáte?

Vitalia.cz: Chtějí si léčit kvasinky. Lék je jen v Německu

Chtějí si léčit kvasinky. Lék je jen v Německu

Vitalia.cz: To není kašel! Správná diagnóza zachrání život

To není kašel! Správná diagnóza zachrání život

120na80.cz: Pánové, pečujte o svoje přirození a prostatu

Pánové, pečujte o svoje přirození a prostatu

DigiZone.cz: Milan Kruml: procházka TV historií

Milan Kruml: procházka TV historií

Podnikatel.cz: EET zvládneme, budou horší zákony

EET zvládneme, budou horší zákony

120na80.cz: 5 poporodních problémů a jejich řešení

5 poporodních problémů a jejich řešení

Lupa.cz: Google měl výpadek, nejel Gmail ani YouTube

Google měl výpadek, nejel Gmail ani YouTube

Root.cz: Nová třída SD karet A1 s vysokým výkonem

Nová třída SD karet A1 s vysokým výkonem