Connect with us

Künstliche Intelligenz

Digitaler Behördenfunk: Neue Schwachstellen bei Tetra – Verschlüsselung versagt


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Experten der niederländischen IT-Sicherheitsfirma Midnight Blue haben erneut mehrere Schwachstellen im europäischen Funkstandard Tetra (Terrestrial Trunked Radio) beziehungsweise damit verknüpften Verschlüsselungslösungen aufgedeckt. Dieser wird hierzulande und weltweit vor allem für den digitalen Behördenfunk genutzt – also etwa von Polizei, Rettungskräften und anderen Blaulichtbehörden. Schon vor zwei Jahren war das Team auf schwerwiegende Probleme mit Tetra-Verschlüsselungsalgorithmen und eine dadurch offenstehende Hintertür gestoßen. Nun wird deutlich: Auch die zusätzlich verwendbare Ende-zu-Ende-Verschlüsselung, die eigentlich als sicher gilt und Lauschangriffe verhindern soll, erweist sich zumindest in einer Implementierung als einfach zu umgehen.

Die durchgehenden Verschlüsselungslösungen von Tetra (E2EE) seien eine zusätzliche Sicherheitsebene über der Luftschnittstellenverschlüsselung mit den teils auszuhebelnden TEA-Algorithmen, schreibt Midnight Blue zu Tetraburst 2. Sie seien ausgerichtet auf Endnutzer wie Geheimdienste und Spezialeinheiten. Was die Arbeit der Forscher erschwerte: Das Design von Tetra E2EE ist proprietär, Geheimhaltungsvereinbarungen verhindern eine öffentliche Kontrolle.

Das Team hat nach eigenen Angaben eine „beliebte“ Tetra-E2EE-Lösung für Funkgeräte des Herstellers Sepura erhalten, Reverse Engineering dazu betrieben und das Ganze analysiert. Über die Ergebnisse haben die Experten am Donnerstag auf der BlackHat-Konferenz in Las Vegas berichtet und erste Details veröffentlicht.

Der für das untersuchte Sepura-Endgerät verwendete Verschlüsselungsalgorithmus setzt demnach zwar grundsätzlich auf eine 128-Bit-AES-Verschlüsselung. Der Haken: Diese wurde offenbar gezielt abgeschwächt, sodass sich die effektive Entropie der verschlüsselten Daten im Funkverkehr nur noch auf 56 Bits beläuft. Die Entropie beschreibt die durchschnittliche Anzahl von Entscheidungen – hier in Form von Bits – die benötigt werden, um ein Zeichen zu entschlüsseln. Die Abschwächung der Verschlüsselung macht es vergleichsweise einfach, sie etwa per Brute-Force-Attacken zu knacken und Gespräche abzuhören.

Weitere ausfindig gemachte Lücken bei der Verschlüsselung erlauben es, gefälschte Sprach- oder Datenpakete in den Funkverkehr einzuschleusen oder alte Nachrichten erneut abzuspielen. Dies kann die Einsatzkräfte massiv irritieren und ihre Arbeit gefährden, da sie auf die Richtigkeit der Informationen angewiesen sind. Die Reduzierung der Verschlüsselungsstärke auf 56 Bit wurde offenbar aus Gründen der Exportkontrolle vorgenommen und nicht transparent an die Endkunden kommuniziert. Die Forschungsergebnisse deuten darauf hin, dass viele Regierungen, die Millionen in diese Funksysteme investieren, sich der geringeren Sicherheitsstufe möglicherweise nicht bewusst sind.

Tetra wurde 1995 vom Europäischen Institut für Telekommunikationsnormen (ETSI) standardisiert. Die betroffene Verschlüsselungslösung hat die Critical Communications Association (TCCA) später entwickelt, die eng mit ETSI kooperiert. Brian Murgatroyd, Ex-Vorsitzender des für Tetra zuständigen technischen Gremiums bei ETSI, erklärte gegenüber Wired, dass E2EE in der Norm selbst nicht enthalten sei, da diese zunächst nur für Gruppen mit besonderen Sicherheitsbedürfnissen als wichtig erachtet worden sei. Käufer von Tetra-basierten Funkgeräten stehe es frei, andere Lösungen dafür einzusetzen. Die von der TCCA entwickelte und vom ETSI empfohlene Lösung gelte aber als weit verbreitet.

Die Wahl des Algorithmus und des Schlüssels werde zwischen Lieferant und Kunde getroffen, führte Murgatroyd aus. ETSI habe keinen Einfluss darauf und wisse auch nicht, welche Programmroutinen und Schlüssellängen in einem System verwendet würden. Prinzipiell müssten sich Gerätehersteller und Kunden „immer an die Exportkontrollbestimmungen halten“. Midnight Blue hält daher „eine sorgfältige Risikobewertung im Einzelfall“ für erforderlich. Das Team hat zudem demonstriert, dass sich leicht bösartige Datenpakete in Tetra-Netzwerke einschleusen lassen („Packet Injection“). Zudem fanden sie kritische Schwachstellen in Multi-Cipher-Netzwerken: Würden verschiedene Verschlüsselungsverfahren genutzt, seien diese Implementierungen besonders anfällig. Selbst ein von ETSI entwickelter Sicherheitspatch sei „ineffektiv“.


(nen)



Source link

Künstliche Intelligenz

Jobs im öffentlichen Dienst sprechen auch ITler zunehmend an


In Krisenzeiten wächst offenbar der Wunsch nach einem sicheren Arbeitsplatz im öffentlichen Dienst, wie aus der aktuellen Berufestudie des Versicherers HDI hervorgeht. Dabei hätten insbesondere Angestellte aus der IT sowie aus der Bau- und Architekturbranche ein gestiegenes Interesse: 30 Prozent der Befragten in diesen Jobfeldern erklärten demnach, dass die Arbeit für den Staat heute attraktiver sei als noch vor fünf Jahren.

Unter Führungskräften seien das sogar 32 Prozent gewesen. Über die Gesamtheit aller befragten Berufstätigen hinweg hätten 24 Prozent dem öffentlichen Dienst mehr Attraktivität zugeschrieben. Bei gleichem Tätigkeitsfeld würden sich laut der Studie auch mehr der Befragten für eine Arbeitsstelle im öffentlichen Dienst entscheiden (43 Prozent) statt in der Privatwirtschaft (40 Prozent). Dabei zeigten sich Unterschiede bei den Altersgruppen: Insbesondere die Berufstätigen unter 25 Jahren und ab 45 Jahren neigten zum öffentlichen Dienst. Nur in der dazwischenliegenden Altersgruppe liege die Privatwirtschaft vorn.

54 Prozent der Berufstätigen in Deutschland sehen als größten Vorteil des öffentlichen Dienstes die Sicherheit des Arbeitsplatzes. Danach folgen höhere Bezüge im Ruhestand, ein besseres Nettogehalt sowie weniger Stress. Das Umfrageinstitut Yougov befragte im HDI-Auftrag im Juni und Juli insgesamt 3.739 Berufstätige, die Erhebung war demnach repräsentativ.

Ein weiteres zentrales Ergebnis der HDI-Studie ist, dass eine wachsende Mehrheit in Deutschland nicht mehr Vollzeit arbeiten möchte. Mittlerweile würden 53 Prozent der befragten Arbeitnehmerinnen und Arbeitnehmer Teilzeit bevorzugen, wenn es ein entsprechendes Angebot für sie gäbe. Im Vergleich zum letzten Jahr ist das ein neuerlicher Zuwachs um zwei Prozentpunkte, bis 2023 waren die Teilzeit-Anhänger noch in der Minderheit. Besonders bei jüngeren Arbeitnehmern unter 40 ist der Wunsch mit 57 Prozent stärker ausgeprägt.

Wer Homeoffice nutzen kann, möchte dies laut der Studie meist auch nicht mehr aufgeben. Mehr als zwei Drittel (68 Prozent) von denen, die heute dauerhaft oder regelmäßig im Homeoffice oder mobil arbeiten, sind gegen einen Rückruf an den Firmenarbeitsplatz sowie strikte Vorgaben, wie viel im Homeoffice gearbeitet werden darf. Bei den Angestellten, die aber ohnehin dauerhaft am Firmen arbeiten, sieht das aber etwas anders aus. Hier könnten sich 40 Prozent für einen generellen Rückruf ins Büro oder entsprechende Vorgaben erwärmen.


(axk)



Source link

Weiterlesen

Künstliche Intelligenz

Ausgemustert: Apple blockiert Downgrades von iOS 26 auf iOS 18


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Apple hat genau eine Woche nach Herausgabe von iOS 26 die Möglichkeit abgeschaltet, von der neuesten Version des iPhone-Betriebssystems auf iOS 18.6.2 zurückzukehren. Wer jetzt noch versucht, ein Downgrade vorzunehmen, bekommt eine Fehlermeldung. Denjenigen, die sich mit dem neuen Liquid-Glass-Design nicht anfreunden können, ist die Rückkehr zum alten Design in iOS 18 jetzt verwehrt.

Das Einstellen der Signierung älterer Versionen ist ein üblicher Vorgang, wenn Apple Updates herausbringt. Es ist eine Sicherheitsmaßnahme, um zu verhindern, dass potenziell fehlerbehaftete und unsichere alte Versionen neu installiert werden können. Beim Versuch einer Installation wird jeweils über Apples Server ein Abgleich vorgenommen, um anhand der digitalen Signatur der Software ihre Echtheit zu bestätigen. Apple kann damit aber auch so genannten Jailbreaks entgegenwirken, weil hierfür oft Lücken in älteren Betriebssystemversionen benutzt werden.

Die Rückkehr zu älteren iOS-Versionen ist allerdings auch bei vorhandener Möglichkeit alles andere als bequem. Nutzer müssen hierfür die ältere Version in Form einer IPSW-Datei auf einem Mac oder PC herunterladen und dann via USB-Kabel auf dem Gerät einspielen. Während Betaphasen ist das Downgrade eine Art letzte Rettung, wenn massive Probleme mit der Beta auftreten. Allerdings können Nutzer dann jeweils nur zu einem Backup der Daten zurückkehren, das sie vor dem Update auf die Beta vorgenommen haben.

Zusammen mit iOS 18.6.2 wurden auch die Signierungen von iPadOS 18.6.2 und tvOS 18.6 aus dem Verkehr gezogen. Apple wartet mit diesem Schritt in der Regel eine Woche.

iOS 18.7 wird indessen weiterhin signiert. Diese Version steht allerdings nur für bestimmte ältere Geräte bereit und dient dazu, diese mit Sicherheitsupdates zu versorgen. Wer ein Gerät besitzt, das iOS 26 unterstützt, findet kein passendes IPSW-File mit iOS 18.7, um damit ein Downgrade vorzunehmen.


(mki)



Source link

Weiterlesen

Künstliche Intelligenz

Lidl-Plus-App: Das Sammeln persönlicher Daten hat keinen Preis


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Ist der Begriff „kostenlos“ irreführend, wenn Nutzer für Rabatte ihre persönlichen Daten hergeben und auswerten lassen müssen? Das Oberlandesgericht Stuttgart (OLG) meint: Nein. Der fürs Verbraucherrecht zuständige 6. Zivilsenat hat mit einem Urteil vom Dienstag eine Unterlassungsklage des Bundesverbands der Verbraucherzentralen (vzbv) gegen das App-basierte Vorteilsprogramm Lidl Plus abgewiesen. Die Discounter-Kette muss die Gestaltung der App demnach nicht verändern und kann sie weiter als gratis bezeichnen (Az.: 6 UKl 2/25).

Der vzbv verklagte Lidl, weil er meint, der Anbieter dürfe das Bonusprogramm nicht als „kostenlos“ bezeichnen. Zwar zahlen Nutzer für die Mobilanwendung kein Geld. Sie müssen aber ihre persönlichen Informationen hergeben, die der Betreiber dann verwerten kann. Nach Ansicht der Verbraucherschützer ist das eine Art Bezahlung. Deshalb hätte Lidl einen „Gesamtpreis“ angeben müssen – in diesem Fall den Wert der personenbezogenen Daten.

Das OLG sieht das in erster Instanz anders: Nach deutschem und europäischem Recht bezieht sich ihm zufolge der Begriff „Preis“ auf einen Geldbetrag. Weil Kunden für die App keinen Euro bezahlen müssen, existiere auch kein „Gesamtpreis“, der angegeben werden müsste. Die Gesetze sollten Verbraucher vor versteckten finanziellen Kosten und Abofallen schützen, nicht vor der Nutzung von Daten, heißt es in der Urteilsbegründung.

Auch eine Irreführung kann das Gericht nicht erkennen. Wer die Nutzungsbedingungen der App studiere, finde direkt neben dem Wort „kostenlos“ die Erklärung, dass im Gegenzug Daten gesammelt und verwendet werden, erläutert er. Für einen aufmerksamen Leser sei also klar, dass die App zwar kein Geld koste, aber trotzdem eine Art Gegenleistung in Form der eigenen Daten erfordere. Kunden müssen ein Kästchen anklicken, über das sie sich im Zuge der Anmeldung für das Programm mit den Teilnahmebedingungen von Lidl Plus einverstanden erklären.

Wegen der anderweitig noch offenen Rechtslage und der grundsätzlichen Bedeutung des Sachverhalts hat das OLG Stuttgart eine Revision zugelassen und so den Weg zum Bundesgerichtshof (BGH) freigemacht. Die Verbraucherzentrale werde „aller Voraussicht nach“ diesen Weg gehen und die Frage zum Bezahlen mit Daten höchstrichterlich klären lassen, kündigte vzbv-Vorständin Ramona Pop an. Bonus-Apps seien „keineswegs kostenlos“. Verbraucher bezahlten Rabatte bei deren Einsatz mit der Preisgabe persönlicher Daten. Darüber müssten die Nutzer zumindest deutlicher als bisher in Kenntnis gesetzt werden.


(vbr)



Source link

Weiterlesen

Beliebt