Dieses Thema ist bei jedem Einsatz von Datenübertragung (nicht nur per Funk) in drei Ausprägungen
zu betrachten:
- Sicherheit, dass die Daten am Zielrechner fehlerfrei ankommen und
- Sicherheit, dass die Daten nicht in falsche Hände geraten und gelesen oder
- verändert werden.
Davon abhängig sind die Sicherheitsmaßnahmen, die ergriffen werden müssen. Funknetze bieten im allgemeinen schon interne Schutzmechanismen, die aber u.U. nicht ausreichen. Mit einfachen Fehlerkorrektur-Protokollen kann eine sichere (vor Störungen auf dem Funkweg) Ankunft der Daten erreicht werden. Ein Schutz vor Abhören und (bösartiger) Veränderung ist mit mehr Aufwand verbunden. Im Prinzip sind alle Datenübertragungswege mit mehr oder weniger Aufwand abhörbar.
Das Cryptophone ist ein Handy, dessen gesamte Kommunikation stark verschlüsselt werden kann, und dessen Source-Code für Reviews offen ist, sodass man verifizieren kann, dass definitiv keine Backdoors vorhanden sind. Für sichere Kommunikation auch außerhalb des Versorgungsbereichs der europäischen GSM-Netze kann die Kommunikation automatisch per Bluetooth über ein Thuraya-Phone durchgeführt werden. Hersteller ist das Berliner Unternehmen GSMK Gesellschaft für Sichere Mobile Kommunikation mbH.
Lassen Sie sich vom im Frühjahr ´98 in den Medien behandelten "D2-Hack" nicht zu sehr verunsichern. Dabei ging es darum, ob man von einer SIM-Karte eine Kopie anfertigen kann und damit auf Kosten des Besitzers der Original-Karte telefonieren kann. Unter bestimmten Umständen ist das tatsächlich möglich: der Kopierer muss das Original in der Hand haben (wenn sie Ihnen gestohlen wurde, sollten Sie das sofort dem Netzbetreiber melden, damit die Karte unverzüglich gesperrt wird) und die PIN kennen (um die IMSI leicht auszulesen). Es wurde also tatsächlich eine Sicherheitslücke gefunden, die aber in der Praxis nur eine geringe Rolle spielt.
Zehn Jahre später hat sich diese Einschätzung allerdings etwas geändert. Aufgrund neuer Erkenntnisse und gewaltig gestiegener Rechenkapazität kann der A5/1-Algorithmus jetzt nicht mehr als uneingeschränkt sicher betrachtet werden. Mehr dazu im Heise-Artikel 26C3: GSM-Hacken leicht gemacht vom Dez. 2009. Fragt sich noch, ob man auf dem Phone feststellen kann, ob in einem bestimmten GSM-Netz noch die angreifbare Variante des A5-Algorithmus verwendet werden kann?
Im Juli 1999 wurde auch eine Sicherheitslücke in den Pager-Diensten Scall, Skyper und Cityruf der Deutschen Telekom entdeckt, die einige Wochen nach Entdeckung gefixt wurde. Dabei wurde ausgenutzt, dass der Server unbeschränkt viele Versuche zuließ, die PIN einzugeben. Wie schwerwiegend das war, muss man beurteilen, wenn man weiß, dass damit die persönlichen Daten des Benutzers ermittelt werden, das Gerät an bzw. abgestellt werden und der Empfangsbereich sowie verschiedene Zusatzoptionen wie VoiceBox etc. verstellt werden können. Die Einzelheiten sind noch im Web-Archiv nachzulesen, "www.bock.nu".
Auch WEP (Wired Equivalent Privacy; die auf RC4 basierende Verschlüsselung von Karten nach dem 802.11-Standard) kann nicht mehr als sicher betrachtet werden. Nach einigen theoretischen Attacken auf WEP erbrachten im August 2001 Mitarbeiter der AT&T Labs den Nachweis, dass WEP unsicher ist (PDF-Datei). Der 128-Bit-Schlüssel kann schon durch eine passive Analyse des Funk-Datenverkehrs mit einfachen Tools ermittelt werden.
Seit November 2001 bietet Agere (vormals Lucent; Produktname: "Orinoco") als erster WLAN-Hersteller für seine Produkte ein Firmware-Update zum kostenlosen Download an, das eine sichere WEP-Verschlüsselung bietet und vor Angriffen durch Programme wie WEPCrack und AirSnort schützt. Nachteil dieser Lösung wie auch der anderen ist, dass sie nicht herstellerübergreifend funktionieren. Aber allemal besser, als das Netz weiter quasi ungeschützt zu lassen... An einer Verbesserung des Standards arbeitet die Wi-Fi Alliance.
Weitere Infos zum Thema Sicherheit von Wireless LANs auf einer dedizierten Dafu-Seite.
Auch bei Bluetooth wurden einige Sicherheits-Lücken entdeckt. Allerdings ist der Grund für die Probleme fast immer eine schlampige Implementierung (und nicht etwa eine mangelhafte Standardisierung). Mehr Infos zu diesem Thema in Kürze.
Fazit: verlassen Sie sich niemals darauf, dass es unmöglich ist, Daten in GSM-Netzen und (Funk-)Netzen in anderer Technik abzuhören. Lesen Sie z.B., wie Wissenschaftler, darunter Adi Shamir von RSA, es geschafft haben, eine GSM Verschlüsselung zu knacken. Nutzen Sie bei sensiblen Daten immer noch eine zusätzliche Software-Verschlüsselung Ihres Vertrauens. Dann ist es egal, ob die Kommunikation abgehört wird - solange dieses andere Verfahren nicht geknackt ist...
Auch das Thema "Vertrauen in die Telekommunikation" gehört auf diese Seite. Man kann sich z.B. nicht einfach darauf verlassen, dass die Absender-Nummer, die im Handy-Display angezeigt wird, auch wirklich der Absender einer Nachricht ist. Diese Möglichkeit ist in GSM-Netzen beabsichtigt. So können z.B. die MMS von der D2-Sprachmailbox die Nummer des Absenders haben, obwohl sie von der Sprachmailbox generiert wurden. Aber wenn ein Dienst im Internet anbietet, SMS mit beliebigen Absendern versehen zu verschicken, lädt das eher zum Missbrauch ein...
Man kann Nachrichten und Daten vor dem Versand komplett verschlüsseln.
Bei wertvollen Daten sollte man das unbedingt tun. Als Quasi-Standard dafür hat sich PGP (Pretty Good Privacy) etabliert.
Eine deutsche Anleitung zu diesem Freeware-
Eine Möglichkeit des Schutzes von Daten vor Veränderung ist eine digitale Signatur.
In Deutschland gibt es dafür ein eigenes Gesetz. Dieses Signaturgesetz wurde zum 29.7.2017 durch das Vertrauensdienstegesetz (VDG) abgelöst.
Hilfsmittel zur Erzeugung digitaler Signaturen sind entweder Chipkarten wie
z.B. die von Telesec oder z.B. das
Handschriften-Erkennungs-System für Normalstifte
(HESY) von René Baltus und Marc-Bernd Woop.
Unterschriftenpads gibt es auch von StepOver.
Ein Hinweis zum Geldsparen: Wenn Daten verschlüsselt werden, kann man sie praktisch nicht
mehr komprimieren. Daher ist es sinnvoll, die Daten erst zu komprimieren
und dann zu verschlüsseln. Die Sicherheit leidet darunter nicht.
Der Berliner Datenschutzbeauftragte hat eine sehr gründliche Analyse über
Mobilfunk und Datenschutz
veröffentlicht. Sie ist auch auf der Dafu-CD zu finden.
Auch der Hamburger Datenschutzbeauftragte hat zum
Thema Mobilfunk
interessantes zu sagen. Lesen Sie auch die
Anforderungen zur informationstechnischen Sicherheit von Chipkarten.
Weitere Infos zum Thema Datensicherheit + Kryptographie:
zur Startseite von dafu.de |
Impressum | Datenschutz-Erklärung (DSGVO)