Nadzor novinarjev: afera Kos - Ranc

Čakajte malo, dajmo razčistit glede tega prisluškovanja.

Najprej ena zgodbica iz Nemčije. Tam so pred leti na veliko pisali o tem, da tajna služba prisluškuje vsepovprek. Dokaz so bili razni "šumi" in "poki" na linijah. To so časopisi gonili toliko časa, dokler ni šef tajne službe v enem intervjuju povedal nekako takole: "kadar mi prisluškujemo gotovo nič ne šumi in poka".

Zdaj pa k tehničnim podrobnostim.

Vem da so vcasih obstajal kombiji z bazno postajo. GSM standard ima dobro znani backdoor, ki v tem primeru omogoca poslusanje, ker bazna postaja zahteva od telefona naj ne enkriptira pogovora. Ampak a je to pasivno? Tukaj je vmes tujek, ki ne samo da pokrije osebo, kateri je prisluskovano, ampak se kar nekaj ljudi okoli.

Tukaj je več možnosti.

Prva, ki si jo že omenil je ta, da imaš mobilno bazno postajo, na katero se poveže žrtev napada. Ti prisluškuješ na sami bazni postaji (ali pa tvoja bazna postaja zahteva, da žrtev uporablja "kriptiranje" A5/0 - se pravi brez kriptiranja in poslušaš z navadnim radio skenerjem, OK, je še problem frequency hopinga, ampak načeloma to pustimo ob strani). Ves promet potem relayaš naprej v GSM omrežje. Tukaj gre za klasični man-in-the-middle napad.

To je možno zato, ker se GSM avtenticira bazni postaji, bazna postaja pa se telefonu ne avtenticira. Vendar je ta način rahlo nepraktičen, saj nekateri operaterji take "nove" bazne postaje ne spustijo v svoje omrežje (se pravi omrežje noče avtenticirati bazne postaje).

Drugi način je prestrezanje radijskih signalov med telefonom in bazno postajo. V tem primeru je treba najprej rešiti problem frequency hopinga, nato pa še dekriptirati A5/1 (šibkejši) oz. A5/2 (močnejši) šifrirni algoritem. Naprave za to obstajajo, saj so algoritem A5/2 že razbili leta 1999. Obstaja celo nek opensource projekt graditve GSM prisluškovalne naprave.

Za opensource prisluškovalno napravo je potrebno imeti USRP - Univerzal Software Radio Peripheral, ki stane tam nekje do 800 EUR in software GNU Radio (teče na vseh OS-ih). USRP je univerzalni radijski sprejemnik, ki sprejema vse vrste signlov, njihova "interpretacija" pa poteka v samem računalniku s posebnimi Python skriptami. Tako imaš en sam USRP, ki ga z različnimi skriptami spreminjaš v "različne" naprave. Obstaja skripta za GPS sprejemnik (satelitska navigacija), za sprejemnik digitalne TV, za FM radijski sprejemnik, itd. Sedaj ena skupina dela skripto za GSM sprejemnik. Končni cilj je sicer izdelati opensource bazno postajo, ampak to je že druga zgodba. Tako prisluškovanje je povsem pasivno.

Mimogrede, trenutno v tej skupini poteka debata glede prisluškovanja UMTS. Zaenkrat ne obstaja pasivna rešitev, problem pa se rešuje tako, da se naredi UMTS jamming, telefon ugotovi, da se ne more povezati preko UMTS in uporabiti A5/3 algoritma in "pade" nazaj na A5/2, ki ga pa že lahko razbijemo.

OK, tukaj obstaja še varianta prestrezanja prometnih podatkov z rahlo modificirano neko starejšo Nokio, ampak to so spet tehnične podrobnosti, ki tule niso tako relevantne...

Tretja možnost pa je prisluškovanje v centrali. Ker so komunikacije digitalne, ni problem narediti čiste digitalne kopije pogovora in ga preusmeriti nekam drugam. To je tudi pasivno in se kvaliteta zaradi tega ne zmanjša, ne poveča.

Mimogrede, pred časom je neka neznana skupina (verjetno kakšna služba, morda hekerji) v Ericsonovih centralah našla backdoor, s katerim so lahko neavtenticirano vklopili module za prisluškovanje. Tako so potem prisluškovali v Grčiji. So ap zadevo izvedli tako, da so digitalno kopijo prisluhov pošiljali na svoje GSM-je, se pravi - samo prisluškovanje je bilo izvedeno v centrali, poslušanje pa preko GSMov.

Ne, v Sloveniji se uporablja A5/2. Oni imajo napačne podatke. Drugače pa zadevo kar dobro spremljam od blizu...

Zaenkrat še nobenemu. Redno pa spremljam napredek projekta. Sem že tudi razmišljal o nakupu ali izdelavi USRP, samo 800 EUR je le 800 EUR...

Članek iz katerega sem "citiral".

Meni se samo prisluškovanje ne zdi toliko problemtično. Večji problem je nadzor nadzorovalcev. Pa delovanje pravne države.

Pravila morajo biti jasna. Zlorabe pa hitro in učinkovito odkrite in kaznovane.

Pa upraviteljem z nadzornimi tehnologiji se nikoli ne sme zaupati na lepe oči.

Glej, jaz nikoli nisem trdil, da je pravica do zasebnosti ABSOLUTNA pravica. Ni. Torej se jo sme omejiti.

Kdaj, kako - tukaj sem seveda restriktiven.

Prometni podatki so zame del komunikacije in sem mnenja, da bi jih morali varovati z visoko stopnjo varstva.

Preiskovanje z algoritmi pa je zame podobno kot "štih probe" osebnih preiskav na ulici ali stanovanj. Samo če obstajajo neki utemeljeni razlogi za to - sicer sem proti, saj sem mnenja, da je škoda v tem primeru prevelika.