Мобильные телефоны следят за вами

1 Star2 Stars3 Stars4 Stars5 Stars (Оцени первым)

 Весной 2001 года на страницах респектабельных американских журналов New Yorker и New York Times Magazine стала появляться большая, размером во всю полосу реклама, отличавшаяся весьма необычным для столь коммерческого жанра содержанием. Над крупной фотографией сотового телефона была помещена надпись: «Теперь оборудован для 3 сторон: вы; те, кому вы звоните; правительство».

 

Это заявление– ни в коей мере не преувеличение, говорилось в дальнейшем тексте рекламы, поскольку оборотной стороной стремительного развития компьютерных коммуникаций стала для людей повышенная уязвимость их частной жизни. От звонков по сотовому телефону до электронной почты в Интернете– всюду право граждан на тайну личной информации находится ныне под угрозой. В этом, собственно, и состоял основной посыл рекламного объявления, опубликованного Американским союзом гражданских свобод (American Civil Liberties Union, ACLU) в нескольких ведущих национальных изданиях США. В ACLU убеждены и доказывают, опираясь на факты, что правительственные спецслужбы постоянно нарушают конституцию, защищающую граждан от несанкционированной правительственной слежки.

 

Правда, после 11 сентября 2001 года разведывательные и правоохранительные органы получили массу дополнительных санкций на усиление электронной слежки, а вести разговоры о чрезмерном вторжении государства в тайну личной жизни стало как бы несвоевременно и «антипатриотично». А потому после 2001 года в Интернете заметно сократился объем новой содержательной информации о серьезных и явно искусственно созданных слабостях в защите коммуникационных компьютерных программ или, к примеру, в популярнейшей системе сотовой телефонии GSM.

 

Но и в 2000 году про защиту GSM практически все наиболее существенное стало уже известно, несмотря на многолетние попытки окружить подробности схемы завесой секретности.

Либо ложь, либо некомпетентность

 

Для начала – две цитаты. Две диаметрально противоположные точки зрения, которые сразу же дадут читателю представление об остроте проблемы.

 

Вот что говорил в конце 1999 г. Джеймс Моран, директор подразделения, отвечающего в консорциуме GSM за безопасность и защиту системы от мошенничества: «Никто в мире не продемонстрировал возможность перехвата звонков в сети GSM. Это факт… Насколько нам известно, не существует никакой аппаратуры, способной осуществлять такой перехват.

 

А вот реакция Питера Гутмана, весьма известного хакера‑криптографа из Оклендского университета (Новая Зеландия): «Имея ситуацию, когда целый ряд компаний продает оборудование для перехвата GSM (причем делается это уже в течение определенного времени и с весьма открытой рекламой в Сети), этот директор по безопасности „либо лжет, либо некомпетентен, либо и то, и другое разом“ (цитируя строку из книги Deep Crack). Интересно то, что сейчас все рекламирующие данное оборудование фирмы устроили ограниченный доступ на свои сайты, по‑видимому, для поддержания мифа о том, что „не существует аппаратуры, способной осуществлять такой перехват“».

 

Всю вторую половину 1990‑х годов в Интернете и СМИ не раз вспыхивали дискуссии как вокруг самой защиты системы мобильной связи GSM, так и вокруг многочисленных случаев ее компрометации. К концу десятилетия почти всем уже, по сути дела, стало ясно, что GSM – это классический пример провала стратегии, именуемой на англоязычном Западе SbO, что в зависимости от чувства юмора расшифровывают либо как Security by Obscurity (безопасность через неясность), либо как Security by Ostrich (безопасность по‑страусиному). На протяжении примерно десяти лет постепенно обнажались типичные пороки и неудобства стратегии, согласно которой степень защиты системы в значительной степени увязывается с сохранением в тайне как особенностей конструкции, так и случаев ее компрометации. То, что от рождения несет в себе перечисленные порочные черты, является вполне естественным. Просто потому, что рождалась GSM в соответствующих исторических условиях и от вполне определенных родителей.

 

Что такое защита GSM и как она создавалась  

В принципе, по своему замыслу, цифровая система GSM вполне могла бы быть чрезвычайно защищенной. В основе ее лежит свод документов под названием «Меморандум о понимании стандарта GSM» или MoU Groupe Special Mobile standard. Этот Меморандум был подготовлен на излете Холодной войны по инициативе ведущих телекоммуникационных компаний Западной Европы. Разрабатывал техническую документацию GSM Европейский институт стандартов по телекоммуникациям (ETSI), а в создании схемы безопасности, в целом призванной защитить новую систему от перехвата, прослушивания и мошенничества, активное участие приняли спецслужбы стран НАТО.

 

Основу системы безопасности GSM составляют три секретных алгоритма (вплоть до конца 2003 г. официально так и не раскрытые, сообщаемые лишь тем, кому это требуется по необходимости – поставщикам оборудования, операторам связи и т.д.):

• A3 – алгоритм аутентификации, защищающий телефон от клонирования;

• А8 – алгоритм генерации криптоключа, по сути дела, однонаправленная функция, которая берет фрагмент выхода от A3 и превращает его в сеансовый ключ для А5;

• А5 – собственно алгоритм шифрования оцифрованной речи для обеспечения конфиденциальности переговоров. В GSM используются две основные разновидности алгоритма: А5/1 – «сильная» версия шифра для избранных стран и А5/2 – ослабленная для всех остальных. (В 2000‑е годы для следующего поколения мобильной связи, G3, создан совершенно новый криптоалгоритм, получивший название А5/3. Еще имеется вариант А5/0 – это когда режим шифрования вроде как включен, но в действительности его нет, поскольку вместо битов ключа используются одни нули.)

 

Мобильные станции (телефоны) снабжены смарт‑картой (SIM), содержащей A3 и А8, а в самом телефоне имеется чип с алгоритмом А5. Базовые станции также снабжены чипом с А5 и «центром аутентификации», использующим алгоритмы АЗ‑А8 для идентификации мобильного абонента и генерации сеансового ключа шифрования.

 

Вся эта архитектура при надлежащем исполнении и качественных алгоритмах призвана гарантировать надежную аутентификацию пользователя, обеспечивая защиту мобильных станций от клонирования и прочих методов мошенничества, а также качественное шифрование конфиденциальных переговоров. Собственно говоря, именно это и декларируется компаниями, успешно занимающимися разворачиванием GSM по всему миру и уже охватившими услугами удобной связи многие сотни миллионов человек на планете.

Но реальность такова, что спецслужбы, занятые защитой правительственной связи, одновременно вовлечены и в деятельность противоположного рода: перехват и дешифрование коммуникаций в разведывательных целях. По этой причине, как свидетельствуют очевидцы, вокруг степени защиты GSM бушевали немалые страсти, поскольку спецслужбы стран НАТО имели довольно разные точки зрения на этот счет. Германия настаивала на сильных алгоритмах, поскольку имела самую длинную границу с коммунистическим блоком, другие же страны склонялись к ослабленному варианту. В конце концов в качестве основы криптосхемы для А5 была избрана французская военная разработка.

 

Первые утечки, первые тревоги 

Как бы строго ни контролировались коммерческие секреты, понятно, что широкое распространение продукции рано или поздно приводит к утечкам информации. В GSM они стали появляться уже в начале 90‑х годов. К 1994 году основные детали алгоритма А5 уже были известны. Во‑первых, British Telecom передала всю техническую документацию Брэдфордскому университету, забыв заключить соглашение о неразглашении информации. Во‑вторых, описание А5 появилось в материалах одной из конференций в Китае. Короче говоря, детали о конструкции алгоритма понемногу стали просачиваться в печать, и в конце концов кембриджские ученые М. Роу и Р. Андерсон опубликовали восстановленную по этим деталям примерную криптосхему в Интернете.

 

Представляет схема собой следующее. А5 реализует поточный шифр на основе трех линейных регистров сдвига с неравномерным движением. Такого рода схемы на языке специалистов именуются «криптографией военного уровня» и при верном выборе параметров способны обеспечивать очень высокую стойкость шифра. Однако, в А5 длины регистров выбраны очень короткими – 19, 22 и 23 бита. Начальное заполнение этих регистров в сумме и дает 64‑битный сеансовый ключ шифрования в GSM. Уже одни эти укороченные длины регистров дают теоретическую возможность для хорошо известной криптографам лобовой атаки, когда перебирают заполнение двух первых регистров, восстанавливая содержимое третьего регистра по выходной шифрующей последовательности.

 

Регистры сдвига в схеме А5 имеют не только короткую длину, но и слабые прореженные полиномы обратной связи. Это дает шансы на успех еще одной атаке – корреляционному анализу, позволяющему вскрывать ключ по просачивающейся в выход информации о заполнении регистров. В июне 1994 года д‑р Саймон Шеферд из Брэдфордского университета должен был представить на коллоквиуме IEEE в Лондоне свой корреляционный способ вскрытия А5. Однако, в последний момент его выступление было запрещено спецслужбой GCHQ, Штаб‑квартирой правительственной связи. Доклад был сделан лишь на закрытой секции и опубликован в засекреченном сборнике.

Прошла еще пара лет, и до анализа А5 дошли руки у сербского криптографа д‑ра Иована Голича, наиболее, вероятно, авторитетного в академических кругах специалиста по поточным шифрам. С чисто теоретических позиций он описал атаку, позволяющую легко вскрывать начальные заполнения регистров всего по 64 битам шифрпоследовательности. (Справедливости ради надо, правда, отметить, что в реальности данная атака оказалась значительно более трудоемкой. Проведенный в стенах Microsoft эксперимент действительно привел к вскрытию ключа, но понадобилось для этого около двух недель работы 32‑узлового кластера машин РП‑300. Практичной такую атаку никак не назовешь. Правда, и репутация у криптоэкспертов Microsoft, мягко говоря, не блестящая.) Но в той же работе Голича был описан и еще один метод, известный в криптоанализе под общим названием «балансировка время‑память», позволяющий существенно сокращать время вскрытия за счет интенсивных предвычислений и хранения предварительных данных в памяти. Так, к примеру, можно было сократить количество опробований вариантов ключа всего до смешных 222 (вскрытие просто «влет»), но для этого требовались 64 терабайта дисковой памяти (что, понятное дело, тоже трудно назвать приемлемыми цифрами для практичной атаки). Но сама идея четко продемонстрировала метод постепенного выхода на реальное соотношение параметров.

А вскоре пошли и сигналы уже о действительном вскрытии защиты системы GSM.

Клонирование и перехват

В апреле 1998 г. группа компьютерных экспертов и криптографов из Калифорнии широко объявила и продемонстрировала, что ей удалось клонировать мобильный телефон стандарта GSM. Ранее всеми по умолчанию предполагалось, что цифровые сети GSM гораздо надежнее защищены от этой напасти, приносящей миллионные убытки сетям аналоговой сотовой телефонии.

 

Возглавлял группу Марк Брисено (в Сети более известный как Лаки Грин), глава ассоциации SDA (Smartcard Developer Association), представляющей интересы разработчиков программного обеспечения для смарт‑карт. Избрав своей целью определить степень стойкости GSM к попыткам клонирования, исследователи занялись обратной разработкой модуля SIM – той самой смарт‑карты, что вставляется в сотовый телефон, содержит алгоритмы АЗ‑А8 и однозначно идентифицирует абонента. В процессе подготовки к работам по вскрытию содержимого чипа, в руки к исследователям неисповедимыми путями попало описание «алгоритма COMF128» – наиболее широко распространенной практической реализации АЗ‑А8 в SIM‑модулях. Эта документация помогла быстрее и полностью восстановить всю необходимую информацию о схеме. После этого Брисено пригласил для ее анализа двух молодых, но уже известных криптоаналитиков, аспирантов Калифорнийского университета в Беркли Дэвида Вагнера и Иэна Голдберга. Тем понадобилось всего несколько часов, чтобы отыскать в схеме фатальные прорехи и разработать метод извлечения из смарт‑карты секретного содержимого с помощью 219 опросов чипа (примерно 8 часов).

Представители консорциума GSM, как это принято, сразу же объявили полученные результаты «лабораторными» и не несущими реальной угрозы пользователям сотовой связи. По сути, угроза была представлена «нереальной» лишь на том основании, что в США обладание оборудованием для клонирования и публичная практическая демонстрация разработанной атаки являются противозаконными. Но уже очень скоро стали появляться сообщения о демонстрации клонирования телефонов GSM в странах с иным законодательством, в частности, в Германии.

 

Затем, вместе с освоением новых способов атак – через анализ побочных каналов утечки информации – появились и намного более эффективные методы клонирования. Так, в 2002 г. группа криптографов исследовательского центра IBM продемонстрировала, что взламывать алгоритм СОМР128 и клонировать SIM‑карту можно меньше чем за минуту [RR02].

Об имеющихся на рынке средствах перехвата и мониторинга GSM (сама возможность чего до неприличия долго отрицалась официальными представителями MoU) наиболее красноречиво рассказывают реальные объявления в Интернете. Чтобы не ходить далеко, достаточно процитировать текст веб‑страницы одного из виртуальных магазинов, развернутых в России в конце 1990‑х годов (вскоре, правда, сайт упрятали из общего доступа поглубже – по той же, в сущности, схеме, как это делают все солидные‑официальные торговцы подобной аппаратурой):

 

Система профессионального тестирования и мониторинга  GSM 

Используя наше уникальное аппаратное и программное обеспечение, «Система…» будет отслеживать звонки в границах выделенной области, оставаясь подключенной к соединению. Она будет выводить на дисплей управляющие команды, идущие на телефон и от телефона, отслеживать речевой канал (голос) и резервный канал (где проходят: SIM –номер модуля идентификации абонента, IMSI – международный идентификатор абонента мобильной связи, TMSI – временный идентификатор абонента, SAK – ключ аутентификации абонента, PIN – номер персональной идентификации и другая информация). Процесс декодирования и выполнения всех калькуляций занимает около 2,5 минут, так что длительность телефонного соединения, которое вы отслеживаете, должна быть по крайней мере такого же порядка, чтобы устройство мониторинга могло обработать и проверить всю информацию, включая соответствующие значения для программирования нового SIM [т.е. для клонирования GSM‑телефона]. Программное и аппаратное обеспечение позволяют отслеживать конкретные номера телефонов. Можно создавать «файлы регистрации данных» ( data log flies ) для последующего анализа, а аудиоинформацию можно записывать для контроля с помощью звукозаписывающего оборудования (в поставку не входит).

В комплект поставки входит подробное Руководство и программное обеспечение для Windows или DOS . Данная система разработана для 900 Мгц GSM – cemeu . Цена – 4500 долларов. Все заказы оплачиваются через Western Union или трансфером банк‑банк.

 

«Cell Phone Crypto Penetrated,» by Declan McCullagh, Wired News, 6 Dec 1999, http://www.wired.com/news/politics/0,1283,32900,00.html

Re: Forthcoming Biryukov/Shamir result against A5/1 GSM privacy algorithm», Peter Gutmann, posting to cryptography@c2.net mailing list, 7 Dec 1999, http://www.mail‑archive.eom/cryptography@c2.net/msg02546.html

«Subject: A5», Ross Anderson, posting to Newsgroups: sci.crypt,alt.security; 17 Jun, 1994, http://www.ecn.org/crypto/etere/ander.htm

Продолжение следует…

Статьи на тему:

  • ВОЗ: Излучение от мобильных телефонов может вызывать рак
    Излучение от мобильных телефонов может вызывать рак – так заявляет Всемирная организация здравоохранения. Сейчас агентство причисляет сотовые телефоны к той же потенциально канцерогенной катег...
  • Как нас прослушивают
    Я работаю сисадмином, настраиваю сервера. В последнее время все больше заказов мне идет по прослушке — вот, недавно в одном крупном коммутационном центре настраивал BlackBox (СОРМ). Он прослушиваю...
  • Биометрия: мечты становятся явью, или превращаются в кошмар?
    Из утечки дипломатической переписки, опубликованной  WikiLeaks, мы узнали, что Государственный департамент гораздо  сильнее заинтересован в сборе биометрических данных, чем сообщалось ране...
  • Большой брат Microsoft следит за тобой
    В Microsoft идет разработка программного обеспечения, которое заставляет вспомнить о "Большом брате". Этот продукт позволит дистанционно отслеживать продуктивность сотрудников, их физическ...
  • Что о вас знает Гугл?
    Что такое Гугл знают, похоже, все. Слово «Гугл» уже почти стало синонимом понятия «поисковая система» так же, как, например, «Ксерокс» – синонимом слова &la...
  • Электронные паспорта в Гонконге
    В начале 2002 г. властями Гонконга принято решение о том, что начиная с 11‑летнего возраста все жители этого особого региона Китая должны иметь идентификационную смарт‑карту, содержащую ...
  • Зарядное устройство NOKIA для велосипеда
    Финский производитель мобильных телефонов компания Nokia представила в Амстердаме велосипедное зарядное устройство для телефонов. «Зарядка» вырабатывает электричество во время движения в...
  • Россия разрешила тотальную прослушку
    Государственная дума позволила силовикам слушать разговоры граждан Государственная Дума России во втором чтении приняла поправки к Уголовному кодексу РФ, согласно которым правоохранительным орг...
  • Новейшие развития в области глобализации
    На территории России осуществляется проект внедрения технологии спутниковой автоматической идентификации наземных объектов, навигации и управления ими с использованием орбитальных военных спутников ...
  • MATRIX сегодня – это TIA вчера
    Случайно или нет, но ровно через год после явления народу TIA, в ноябре 2003 стало известно о новой реинкарнации той же самой, в сущности, идеи, но теперь уже под видом не государственной, а коммерч...
Вы можете оставить комментарий, или ссылку на Ваш сайт.

Оставить комментарий

Вы должны быть авторизованы, чтобы разместить комментарий.

Рейтинг блогов Рейтинг блогов Rambler's Top100 free counters

Large Visitor Map