Afluisteren van GSM-communicatie is een ‘eitje’

Dit koppen verschillende kranten. Ze baseren zich hierbij op een publicatie van de AIVD en GovCert. De berichtgeving doet geloven dat er een doorbraak op het gebied van het kraken van gsm-verkeer op handen is. Maar wat verandert er op dit moment nou daadwerkelijk op het gebied van gsm-kraken?

Dat het gsm-protocol veiligheid niet hoog in het vaandel heeft staan is al jaren bekend. Zelfs de Wikipedia beschrijving van het gsm-protocol weidt uit over de verschillende aanvalsmogelijkheden waarbij de eerste aan gsm gerelateerde aanval dateert uit 1997. Aan de kwetsbaarheid van gsm verandert op dit moment dus niets. Het is niet zo dat het protocol op het punt staat gekraakt te worden: dit is het al enige tijd. 

Deze zomer presenteerde onderzoeker Karsten Nohl een apparaat dat hij voor vijftienhonderd dollar had gebouwd. Dit apparaat kan het versleutelde gsm-radiosignaal uit de lucht halen en opslaan op een pc. Vervolgens heeft hij een programma ontwikkeld waarmee hij het versleutelde gesprek kan omzetten is een luisterbaar gesprek (of een leesbare sms). Zijn oplossing is niet nieuw. Het feit dat hij het met een zeer beperkt budget heeft uitgevoerd en de manier waarop hij dit heeft gedaan op internet publiceert wel.

Vanuit dit laatste ontstaat dan ook de opschudding. Dat het gsm-procotol zo lek is als een mandje is al jaren bekend. Maar het feit dat iedereen straks het werk van Nohl kan kopiëren en met zijn software zelf gesprekken en sms'jes kan afluisteren leidt tot een verhoogde dreiging en dus een hoger risico dat hier misbruik van gemaakt gaat worden.

Sommige media suggereren over te stappen op umts of gprs. Consumenten doen er goed aan om hun telefoon zo in te stellen dat alleen het umts-signaal wordt ondersteund. Dit heet op telefoons vaak 'umts only' en is te vinden in het instellingen menu (afhankelijk van het toestel onder bijvoorbeeld netwerk, connectiviteit, netwerkmodus, mobiel netwerk). Soms moet er in plaats van voor umts voor wcdma worden gekozen. Hoewel de gprs-dataverbinding wellicht niet eenvoudig ingezien kan worden, is gprs wel een uitbrieding op het oorspronkelijke gsm-protocol. En mobiele telefoons kunnen hier geen onderscheid in maken. Vergeet dus het door sommige media verkeerd overgenomen advies om over te stappen op pprs of umts en gebruik enkel umts (zoals GovCert ook adviseert).

Ben ik dan veilig?

Umts is veiliger dan gsm. En veilig genoeg voor het huis-, tuin- en keukengebruik. Maar als de telefoon gebruikt wordt voor echt vertrouwelijke zaken bieden de standaard diensten op dit moment helaas geen oplossing. Er zijn diverse bedrijven die in dit beveiligingsgat zijn gesprongen en cryptografische telefoons aanbieden. Maar omdat zowel de beller als de ontvanger hier dan over moet beschikken biedt dit de gewone consument geen oplossing. Het zou mooi zijn als de mobiele telefonie industrie een nieuwe veilige standaard zou introduceren, waarbij het gespreksverkeer van telefoon tot telefoon versleuteld zou zijn. Bijvoorbeeld op dezelfde manier waarop we met digitale certificaten op dit moment een mailtje kunnen beveiligen. Technisch is dit ook prima mogelijk, al zouden consumenten hun telefoon vermoedelijk vaker moeten opladen en zouden overheden er genoegen mee moeten nemen dat ze met een echt veilige oplossing ook geen criminelen meer kunnen afluisteren. Een echt veilige verbinding is immers ook door de operator niet in te zien en dus ook niet te tappen…