Bezpečnost v mobilní komunikaci
Úvodem
Všichni to známe (a ti mladší podstatně více, než my starší) – bez mobilního telefonu už neujdeme ani krok.
Všichni to známe – další a další policejní kauzy založené na odposlechu mobilních telefonů, prakticky každý,
kdo disponuje zajímavými informacemi, může být odposloucháván. Předpokládám, že stejně jako mne, Vás
sdělení některých politiků příliš neuklidní: „kdo nedělá nic protizákonného, odposlechu se bát nemusí“ anebo
„nárůst policejních odposlechů je dán zejména nárůstem počtu telefonních přístrojů v posledních letech“.
Výsledek je pak možné shrnout do velmi ignorantského prohlášení – citace zprávy Policejního prezidia –
„…Ani soudy, ani státní zastupitelství nedisponují konkrétními statistickými údaji o počtech navrhovaných,
nařízených a realizovaných odposlechů, tyto údaje by bylo třeba velmi komplikovaně zjišťovat…“. (jednalo
se o počet odposlechů nařízených státními zástupci v přípravném řízení).
Také tvrdíte, že do telefonu nic neříkáte a že z něj stejně nepůjde nic poznat? Měli jste již někdy možnost,
poslouchat zpětně své vlastní hovory? Já ano. A bylo to tristní. Nejen já, ale i vyšetřující policista a přítomní
obhájci přesně věděli (já byl naštěstí pouze jako svědek), o čem jsme hovořili. Proto jsem se začal již v roce
2001 zabývat také bezpečností v mobilní komunikaci. První telefony byly z obchodního hlediska skvělé – jejich
cena byla přes 200.000,- Kč a kupujících bylo také dost. S klesající cenou běžných přístrojů začala postupně
klesat cena i těch speciálních a s příchodem „chytrých“ telefonů
spadl prodej speciálních řešení k 0.
Šifrovací aplikace
Počet odposlechů stoupal a bezpečnost v mobilní komunikaci se snižovala. Poté přišla vlna šifrovacích aplikací,
o kterých nikdo nic neví, jen to, že „Pepa říkal, že to je dobrý a je to zadarmo“. Najednou nikoho nezajímalo,
jaký je šifrovací algoritmus, jak se generují klíče, kde je umístěn server, jak je samotná aplikace zabezpečena,
apod. Nikoho ani nezajímá, že ti lepší tvůrci aplikací (např. Threema) sami tvrdí, že základní verze je dobrá
pro hovory s přáteli a s rodinou, ale pro práci je třeba používat placenou verzi Business nebo Enterprise. A
samotné zabezpečení samotných aplikací – většinou buď vůbec žádné nebo 4-místný kód s maximem 10.000
pokusů, ale bez omezení počtu omylů. Kompletní šifrování včetně generování klíčů je u těchto aplikací umístěno
pouze v ROM paměti, která se dá poměrně jednoduše napadnout. Máme pocit, že šifrujeme, ale proti opravdu
sofistikovaným útokům zůstáváme zcela bezbranní.
Stručně o metodách odposlechu chytrých telefonů
Běžný GSM telefon je možné odposlouchávat přes mobilního operátora nebo online pomocí odposlechových
zařízení, případně pomocí speciálních softwarů umístěných přímo do telefonu. To, že je možné odposlouchávat
i „šifrovanou“ komunikaci přes různé aplikace odhalila v roce 2015 aféra italské společnosti Hacking team. Ta
dodávala (a dodává) státním složkám po celém světě speciální software. „O konkrétních možnostech Hacking
teamu dává přehled prezentace, která je součástí úniku. Nabízel například sledování webového prohlížeče,
odposlech mikrofonu, sledování klávesnice, natáčení uživatele webovou kamerou a podobně. Na mobilních
telefonech to bylo navíc i sledování historie volání, lokalizace uživatele a odposlech uživatele. Na mobilu má
odposlech úplně jiný rozměr, protože si sebou vlastně nosíte v kapse vlastní štěnici. Nabízené služby vypadají
velmi lákavě, protože nabízejí odpověď na řadu scénářů. Možnosti jsou až tak zajímavé, že se dá pochybovat
o tom, že to Hacking Team všechno opravdu dokáže. Výrobci nám totiž tvrdí, že jejich přístroje jsou skvělé a
bezpečné a najednou je tu firma, která tvrdí, že dokáže cokoliv.“
Řešení WHITE NOISE
Pokud uvažujete o pořízení opravdového šifrování (takového, kde máte plnou znalost algoritmu, způsob
generování klíčů, znáte proces jejich mazání a víte, kde je umístěn server) a chcete se bránit i možnému útoku
ze strany státních orgánů, nemáte moc na výběr. Buď budete nosit 2 telefony – 1. bude Váš vlastní, oblíbený
model a 2. bude speciální telefon, bez operačního systému s hardwarovým šifrováním. Toto řešení si našlo v
posledních letech velmi málo uživatelů, kteří byli ochotni s sebou 2 telefony nosit. Jsou opět známy případy z
praxe, kdy „malý“ telefon zůstal v kufru auta, a proto se vše řešilo běžným telefonátem, který byl odposloucháván.
Anebo začnete používat řešení, které se prodává pod obchodním názvem WHITE NOISE švýcarské společnosti
Kudelski Security, která vyvinula ve spolupráci se společností Sennheiser šifrovaný Bluetooth Headset, který
funguje s operačními systémy IOS i Android a naprosto tyto možné útoky eliminuje. Veškeré šifrování se
odehrává v tomto sluchátku a Váš oblíbený telefon funguje pouze jako vysílač/přijímač šifrovaného bluetooth
signálu na straně jedné a jako vysílač/přijímač šifrovaného datového toku na straně druhé. Telefon můžete mít
až několik metrů od sluchátka nebo si můžete pořídit akusticky odrušený kufřík a tím zcela eliminujete i útoky na
mikrofon. Samozřejmě, součástí řešení je i chatovací funkce s možností přenášení šifrovaných souborů.
Pro uživatele, kteří neuvažují s takto sofistikovanými útoky je pro telefony Android s možností instalace mikro
SD karty připraven speciální čip, pro uživatele IPhonu řady 6,7 nebo 8 je připraven silikonový obal s vestavěnou
HW ochranou. To v praxi znamená, že opět můžete používat svůj oblíbený telefon a současně můžete mít velmi
dobře zabezpečenou komunikaci.
Řídící server je umístěn ve Švýcarsku, řešení je certifikováno dle standardů EAL 5+, uživatelská autorita pro
generování soukromých klíčů a certifikátů a pro správu skupin je v České republice. Toto společně s velmi
zajímavou cenovou politikou (opravdu zde neplatí, že co je švýcarské je dobré, ale drahé, vždyť sluchátko
stojí jen 6.800,- Kč bez DPH a měsíční paušál je 1.000,- Kč bez DPH) činí z tohoto řešení tu nejlepší variantu
opravdu kvalitního zabezpečení s možností používání vašich oblíbených přístrojů. Samotné používání řešení
WHITE NOISE je velmi intuitivní a nijak se neodlišuje od používání běžného telefonního seznamu.
Náročnější klientela si samozřejmě může zakoupit uživatelskou autoritu svou a programování všech
bezpečnostních atributů pak bude zcela pod jejich kontrolou. Toto řešení je stále cenově vysoce efektivní,
přestože existuje i možnost zakoupení celého systému, včetně serveru pro minimálně 100 účastníků. Podle
mého názoru však realizace tohoto řešení nezvýší příliš bezpečnost, zatímco nákladová stránka velmi prudce
roste.
Používání šifrovacích technologií je stejné, jako uzavírání pojistných smluv – dokud se nic neděje, pak je obojí
naprosto zbytečné. Je ale třeba se důkladně zamyslet nad tím, co se bude dít v okamžiku problému. A pojistil
by se někdo z Vás u zcela neznámé pojišťovny bez znalosti jejich výplat pojistného? A to vše jen pro to, aby
trochu ušetřil? Určitě ne.
Autor: Jiří Schmidt, společnost Probin
Zdroj: https://www.root.cz
Mohlo by Vás zajímat:
