Niebezpiecznik

TETRA to standard komunikacji, z którego korzystają służby i wojsko wielu krajów. W Polsce z TETRY korzysta m.in. policja. TETRA oferuje szyfrowanie transmisji, ale w jednym z algorytmów właśnie znaleziono błędy, które pozwalają na rozszyfrowanie komunikacji. Co jednak ciekawsze, badacze twierdzą, że rodzaj znalezionego przez nich błędu jasno wskazuje na to, że to celowy backdoor. I że był obecny od kilkudziesięciu lat…

Backdoora znaleziono tylko w algorytmie TEA1, a w ramach standardu TETRA algorytmów jest kilka. Do użytku służb przeznaczono algorytmy TEA2 i TEA3, a nie TEA1. Zgadnijcie, o jakie radiotelefony TETRA i z jakim algorytmem zawnioskowała i otrzymała Komenda Główna Policji w 2018? Rok później wnioskowano już o TEA2.

Jeśli właśnie zaczęliście krzyczeć z przerażenia, że dane obywateli przekazywane przez policyjne radiotelefony są zagrożone, to mamy dla Was smutną wiadomość. Krzyczeć z przerażenia powinniście już od lat, bo w Polsce służbom wciąż zbyt często zdarza się porozumiewać w sposób całkowicie nieszyfrowany. Nie pytajcie skąd wiemy ;)

Co wiemy o backdoorze w TETRA?

Badacze swoje znalezisko przedstawią na sierpniowym BlackHacie, ale już teraz udostępnili stronę TETRA:BURST. Strona zwiera wynik analizy kupionej na eBay’u radiostacji. Analiza miała miejsce ponad dwa lata temu. Całość na jaw wychodzi dopiero teraz, bo przez ostatnie lata badacze o odkrytych błędach informowali służby, aby przygotować “rynek” na ujawnienie dziury.

A rynek jest spory… Przypomnijmy, że TETRA powstała jeszcze w latach 90-tych, a radiostacje, które z niej korzystają produkuje m.in. Motorola. Używają ich nie tylko mundurowi, ale też firmy prywatne. I tu należy wyjaśnić, że TETRA korzysta z wielu różnych protokołów (TEA1 do TEA4). Po części właśnie po to, aby inaczej traktować ruch ważny od mniej ważnego (z tego powodu, dla służb przeznaczone są TEA2 i TEA3). Ale wszystkie te protokoły łączy “zamkniętość“. A jak wiemy, “proprietary cryptography” rzadko kiedy dobrze się kończy.

Oto lista 4 odkrytych podatności, z czego dwie są krytyczne. Jedna z tych dwóch dotyczy algorytmu TEA1 i backdoora.

Okazuje się, że algorytm TEA1 używa 80-bitowego klucza, ale istnieje sposób na to, aby drastycznie zredukować entropię klucza. Dzięki temu transmisję można rozszyfrować w czasie rzeczywistym na zwykłym komputerze z prostym modułem SDR.

Kto korzysta z dziurawej TETRY?

Badaczom udało się ustalić, że TEA1 było wykorzystywane przez U.S. Africom. I w zasadzie żadnych innych jednostek policji lub wojska nie ujawniono, może dlatego, że badacze nie znają polskiego? Ale żarty na bok, zapytaliśmy KGP, czy dalej korzystają z tych zamówionych w 2018 roku radiotelefonów i dlaczego wnioskowali konkretnie o algorytm TEA1, choć dla służb przeznaczone są inne algorytmy? Kiedy otrzymamy odpowiedzi, opublikujemy je w aktualizacji do tego artykułu.

Warto jednak zauważyć, że nawet w przypadku korzystania z TEA2 czy TEA3, drugi z krytycznych błędów odnalezionych przez badaczy, dotyczący algorytmu AIE można wykorzystać niezależnie od tego, jaki szyfr TEA jest wykorzystywany do szyfrowanej części transmisji. Atakujący udaje stację bazową i emituje podsłuchany wcześniej, już nieaktualny time-stamp (na podstawie którego tworzony jest klucz szyfrujacy). Radiotelefon jest “głupi” i odpowie kluczem, który wygenerował dla poprzedniej komunikacji. W ten sposób nagraną historyczną komunikację da się rozszyfrować.

Ale czy to na pewno backdoor?

ETSI, czyli europejski instytut standaryzacji telekomunikacji, który współtworzył TETRĘ twierdzi, że nie. To co odkryli badacze, to wg jego reprezentanta, Claire Boyera, feature a nie bug ;)

“Standard TETRA został opracowany wspólnie z przedstawicielami agencji bezpieczeństwa i został tak zaprojektowany, aby spełniać wymogi kontroli eksportowej, która determinuje siłę szyfrowania”

Mówiąc wprost, TEA1 jest tak silny, jak chciano aby był silny. Celowe osłabianie algorytmu i tzw. “algorytmy eksportowe”, to nic nowego. Już w 2009 roku wspominaliśmy o protokołach szyfrujących w sieciach GSM, informując że niektóre z nich celowo były projektowane jako słabe i możliwe do złamania. Bo ktoś chciał mieć możliwość ich słuchania.

Smutny wniosek na koniec

Na koniec, nie umniejszając wagi tym odkryciom, podsumujmy znalezione błędy najprościej jak się da:

TETRA to zbiór kilku “sposobów” komunikacji. Badacze znaleźli 4 błędy. Te małogroźne dotyczą wszystkich użytkowników TETRA, ten najgroźniejszy tylko jednego z algorytmów, który przez żadną istotną służbę “ratunkową” nie powinien być wykorzystywany, bo jest algorytmem “eksportowym”, celowo osłabionym. O czym ETSI i sprzedawcy wiedzieli, ale czego publicznie nie komunikowali.

Morał na koniec, taki jak zawsze. Skrytość i zamkniętość protokołów szyfrowania kolejny raz potwierdza, że łamanie zasady Kerckhoffa w kryptografii nie prowadzi do niczego dobrego.

PS. Jeśli doczytałeś do końca i chciałbyś wejść mocniej w temat radiokomunikacji, a raczej przechwytywania, analizowania i modyfikowania sygnałów radiowych, które Cię otaczają (np. z różnej maści urządzeń IoT) to polecamy lekturę tego artykułu.

Aktualizacja 7.08.2023 g 15:00

Pisząc ten tekst skierowaliśmy pytania do Komendy Głównej Policji. Chcieliśmy wiedzieć m.in. czy polska policja korzysta wyłącznie TEA1? Dziś odpowiedział nam kom. Michał Gaweł z KGP przesyłając następujące oświadczenie.

Standard TETRA jest najczęściej na świecie używanym rozwiązaniem na potrzeby porządku publicznego i ratownictwa. Jest on opracowany i stale unowocześniany przez Europejski Instytut Norm Telekomunikacyjnych. Jak w przypadku wielu innych rozwiązań TI (takich jak systemy operacyjne, sieci bezprzewodowe i komórkowe oraz wiele innych) z czasem wykrywane są jego niedoskonałości. Jest to naturalny proces. Mając jednak na uwadze grono użytkowników i firm technologicznych zainteresowanych rozwojem tego standardu można założyć, że problem jest poddawany gruntownej analizie. Z informacji, którymi dysponuje Policja wynika, że luki zostały wykryte w ramach projektu dofinansowanego ze środków UE. Na tą chwilę Policja dysponuje już roboczymi informacjami o znacznym wyeliminowaniu luk, wynikającymi z działań producenta podjętych przed opublikowaniem informacji o wystąpieniu luk.  Sprawa ta będzie monitorowana i ewaluowana.