SIM-skandale: NSA stjæler millioner af krypteringsnøgler
Gemalto er for de fleste et ukendt selskab, men det er en af verdens største leverandører af sim-kort til firmaer i 85 lande. Ifølge dokumenter lækket af Edward Snowden og opfanget af The Intercept, er National Security Agency (NSA) og British Government Communications Headquarters (GCHQ) anklaget for at have stjålet millioner af krypteringsnøgler. Krypteringsnøglerne benyttes til at sikre vores telefonopkald og tekstbeskeder idet de sendes gennem telefonnetværket, en nøgler er placeret på sim-kortet og en anden i hjertet af netværket.
Uden disse nøgler, skal sikkerhedsagenture have lov til at aflytte en telefon og samarbejde med teleudbyderen, med kendskab til krypteringsnøglerne omgås alt det besvær – de kan ganske enkelt opsnappe samtaler og tekstbeskeder mellem telefon og udbyder, dekryptere indholdet og dermed følge med i hvad der foregår – uden at efterlade sig nogen umiddelbare spor.
Cyberstalking og malware
I 2010 startede NSA og GCHQ et samarbejde som gik ud på at spionere og hacke en række ingeniøre rundt om i verdenen som var forbundet med Gemalto. Ved at undersøge Facebook konti, mail udvekslinger med mere, fik man til sporet sig ind på hvordan nøgler blev udvekslet og af hvem – med det formål at finde ud af hvordan man kunne infiltrere deres interne netværk. Der blev angivet en ‘score’ på folk afhængig af en række variabler, blandt andet hvor mange gange specifikke tekniske termer blev brugt, folk med højere ‘score’ blev i højere grad overvåget.
Til sidst lykkedes det dem gennem malware at “få adgang til hele deres netværk” som der står i et af de lækkede dokumenter.
I løbet af 2011 skulle NSA og GCHQ have været i gang med at stjæle koder fra Gemalto i mere end et dusin lande, inklusiv Tyskland, Rusland, Italien og Sverige. Dokumenterne viser ligeledes af nogle af Gemalto’s konkurrenter var i søgelyset i 2011, heriblandt tyske Giesecke og Devrient.
Det er jo ganske genialt at gå direkte til kilden hvis man ikke synes at man har tid til at knække krypteringsnøglerne eller gå den lovlige vej gennem en domstol, men med ovenstående i mente, kan det undre at Obama den 17 januar 2014 stod og fortalte, at “til syvende og sidst skal alle mennesker i verden, uanset nationalitet, føle sig sikre på, at USA ikke spionerer på almindelige mennesker som ikke udgør en trussel mod vores nationale sikkerhed.”
Hvad kan du gøre
Også her i Danmark benytter enkelte teleselskaber sim-kort fra Gemalto, der er tale om Telia, 3 og Telenor ifølge denne artikel fra Computerworld.
3 fortæller at de “er i tæt dialog med Gemalto” og Telenor lover naturligvis at følge sagen til dørs.
Gemalto har også udtalt sig i sagen. “På dette tidlige stadie kan vi ikke verificere at disse angreb har fundet sted, og vi havde ingen kendskab til at agenturerne udførte disse operationer.” fortælles der i selskabets forklaring. Ydermere fortæller de at de naturligvis tager sagen yderst alvorligt og at de vil afsætte alle ressourcer til at undersøge sagen i fulde og forstå omfanget af sådan et angreb.
Der findes nogle tiltag vi selv kan gøre for at øge sikkerheden, applikationer som TextSecure og Silent Text kan bruges som alternativ til sms beskeder og Signal, RedPhone og Silent Phone krypterer taleopkald. Det forudsætter naturligvis at begge parter har applikationen.
Sikkerhedsagenture kan formentlig sagtens knække krypteringen alligevel, men det ville kræve lidt mere fodarbejde.
Som Christopher Soghoian, teknologichef ved American Civil Liberty Union fortæller, så er vi “nødt til at stoppe med at forvente, at teleselskaberne kan levere sikre metoder til at foretage opkald og udveksle tekstbeskeder.”
Kilde: TechCrunch
