Connect with us

Künstliche Intelligenz

Digitaler Behördenfunk: Neue Schwachstellen bei Tetra – Verschlüsselung versagt


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Experten der niederländischen IT-Sicherheitsfirma Midnight Blue haben erneut mehrere Schwachstellen im europäischen Funkstandard Tetra (Terrestrial Trunked Radio) beziehungsweise damit verknüpften Verschlüsselungslösungen aufgedeckt. Dieser wird hierzulande und weltweit vor allem für den digitalen Behördenfunk genutzt – also etwa von Polizei, Rettungskräften und anderen Blaulichtbehörden. Schon vor zwei Jahren war das Team auf schwerwiegende Probleme mit Tetra-Verschlüsselungsalgorithmen und eine dadurch offenstehende Hintertür gestoßen. Nun wird deutlich: Auch die zusätzlich verwendbare Ende-zu-Ende-Verschlüsselung, die eigentlich als sicher gilt und Lauschangriffe verhindern soll, erweist sich zumindest in einer Implementierung als einfach zu umgehen.

Die durchgehenden Verschlüsselungslösungen von Tetra (E2EE) seien eine zusätzliche Sicherheitsebene über der Luftschnittstellenverschlüsselung mit den teils auszuhebelnden TEA-Algorithmen, schreibt Midnight Blue zu Tetraburst 2. Sie seien ausgerichtet auf Endnutzer wie Geheimdienste und Spezialeinheiten. Was die Arbeit der Forscher erschwerte: Das Design von Tetra E2EE ist proprietär, Geheimhaltungsvereinbarungen verhindern eine öffentliche Kontrolle.

Das Team hat nach eigenen Angaben eine „beliebte“ Tetra-E2EE-Lösung für Funkgeräte des Herstellers Sepura erhalten, Reverse Engineering dazu betrieben und das Ganze analysiert. Über die Ergebnisse haben die Experten am Donnerstag auf der BlackHat-Konferenz in Las Vegas berichtet und erste Details veröffentlicht.

Der für das untersuchte Sepura-Endgerät verwendete Verschlüsselungsalgorithmus setzt demnach zwar grundsätzlich auf eine 128-Bit-AES-Verschlüsselung. Der Haken: Diese wurde offenbar gezielt abgeschwächt, sodass sich die effektive Entropie der verschlüsselten Daten im Funkverkehr nur noch auf 56 Bits beläuft. Die Entropie beschreibt die durchschnittliche Anzahl von Entscheidungen – hier in Form von Bits – die benötigt werden, um ein Zeichen zu entschlüsseln. Die Abschwächung der Verschlüsselung macht es vergleichsweise einfach, sie etwa per Brute-Force-Attacken zu knacken und Gespräche abzuhören.

Weitere ausfindig gemachte Lücken bei der Verschlüsselung erlauben es, gefälschte Sprach- oder Datenpakete in den Funkverkehr einzuschleusen oder alte Nachrichten erneut abzuspielen. Dies kann die Einsatzkräfte massiv irritieren und ihre Arbeit gefährden, da sie auf die Richtigkeit der Informationen angewiesen sind. Die Reduzierung der Verschlüsselungsstärke auf 56 Bit wurde offenbar aus Gründen der Exportkontrolle vorgenommen und nicht transparent an die Endkunden kommuniziert. Die Forschungsergebnisse deuten darauf hin, dass viele Regierungen, die Millionen in diese Funksysteme investieren, sich der geringeren Sicherheitsstufe möglicherweise nicht bewusst sind.

Tetra wurde 1995 vom Europäischen Institut für Telekommunikationsnormen (ETSI) standardisiert. Die betroffene Verschlüsselungslösung hat die Critical Communications Association (TCCA) später entwickelt, die eng mit ETSI kooperiert. Brian Murgatroyd, Ex-Vorsitzender des für Tetra zuständigen technischen Gremiums bei ETSI, erklärte gegenüber Wired, dass E2EE in der Norm selbst nicht enthalten sei, da diese zunächst nur für Gruppen mit besonderen Sicherheitsbedürfnissen als wichtig erachtet worden sei. Käufer von Tetra-basierten Funkgeräten stehe es frei, andere Lösungen dafür einzusetzen. Die von der TCCA entwickelte und vom ETSI empfohlene Lösung gelte aber als weit verbreitet.

Die Wahl des Algorithmus und des Schlüssels werde zwischen Lieferant und Kunde getroffen, führte Murgatroyd aus. ETSI habe keinen Einfluss darauf und wisse auch nicht, welche Programmroutinen und Schlüssellängen in einem System verwendet würden. Prinzipiell müssten sich Gerätehersteller und Kunden „immer an die Exportkontrollbestimmungen halten“. Midnight Blue hält daher „eine sorgfältige Risikobewertung im Einzelfall“ für erforderlich. Das Team hat zudem demonstriert, dass sich leicht bösartige Datenpakete in Tetra-Netzwerke einschleusen lassen („Packet Injection“). Zudem fanden sie kritische Schwachstellen in Multi-Cipher-Netzwerken: Würden verschiedene Verschlüsselungsverfahren genutzt, seien diese Implementierungen besonders anfällig. Selbst ein von ETSI entwickelter Sicherheitspatch sei „ineffektiv“.


(nen)



Source link

Künstliche Intelligenz

iX-Workshop: Aufgaben eines Informationssicherheitsbeauftragten | heise online


Informationssicherheitsbeauftragte (ISB) spielen eine Schlüsselrolle, wenn es darum geht, Sicherheitsrisiken zu minimieren und den Schutz sensibler Daten zu gewährleisten. Hierbei sollte für Leitung wie auch zukünftige Beauftragte klar sein, welche Erwartungen, Verantwortlichkeiten und Befugnisse mit der Rolle verbunden sind und welche Kompetenzen hierfür erforderlich sind.

Der Einstiegsworkshop Startklar: Ihre Rolle als Informationssicherheitsbeauftragter bietet einen umfassenden Überblick über die Aufgaben und Verantwortlichkeiten von ISBs, wie auch die Anforderungen, die an diese gestellt werden. Die Schulung erläutert zudem den Stellenwert des ISB im Unternehmen, sowie die notwendigen Rahmenbedingungen, die von der Organisationsleitung geschaffen werden müssen, damit ein ISB seine Rolle effektiv steuern und angehen kann.

Zu Beginn des Workshops werden Grundlagen zur Informationssicherheit und zum Informationssicherheitsmanagement vorgestellt. Wir stellen dar, weshalb die Tätigkeiten von ISBs in ein Managementsystem integriert sein sollten und wie diese arbeiten. Prototypisch orientieren wir uns an einem ISMS nach ISO 27001 als international führenden Standard.

Im weiteren Verlauf stellen wir Aufgaben und Verantwortlichkeiten sowie die Stellung innerhalb einer Organisation vor. Wir betrachten, welche Kenntnisse in Bezug auf Informationssicherheit, IT und soziale Fähigkeiten von Vorteil sind. Zudem werden die Schnittstellen des ISB zu internen und externen Akteuren, Teamarbeit, notwendige fachliche Kenntnisse und Soft-Skills besprochen. Der Workshop schließt mit einer Übersicht über relevante Schulungen und unterstützende Tools.

Die Schulung findet an zwei Vormittagen statt und ist interaktiv gestaltet. Als Teilnehmender haben Sie die Möglichkeit, konkrete Fragen zu stellen und von praktischen Beispielen zu profitieren. Der Workshop richtet sich an Personen, die die Rolle des Informationssicherheitsbeauftragten übernommen haben oder dies planen. Er ist auch für Führungskräfte gedacht, die eine solche Rolle in ihrer Organisation einführen möchten.

Durch die Inhalte führen Sie Ann-Kathrin Rechel, Viktor Rechel und Tim Fetzer, die als Cybersicherheits-Berater bei der secuvera GmbH tätig sind. Sie beraten und unterstützen Organisationen bei der Etablierung und Aufrechterhaltung eines ISMS bzw. BCM. Alle Referenten sind geprüfte Lead Auditors für ISO 27001.


Upgrade for Skills

Upgrade for Skills


(ilk)



Source link

Weiterlesen

Künstliche Intelligenz

PV-Wirtschaftlichkeit 2025: Was das Ende der festen Einspeisevergütung bedeutet


Die Einspeisevergütung ist für viele PV-Besitzer ein wichtiger Bestandteil ihrer Wirtschaftlichkeitsrechnung. Doch wie lange es sie in der bestehenden Form noch geben wird, ist unklar. Teile der Bundesregierung machen keinen Hehl daraus, dass sie die Förderung abschaffen wollen.


PV-Anlage

PV-Anlage

Wörtlich heißt es etwa in einem Strategiepapier des Bundeswirtschaftsministeriums zum Energiewende-Monitor (PDF): „Das künftige Förderregime für erneuerbare Energien erfolgt system- und marktorientiert. Das bedeutet: die konsequente Abschaffung der fixen Einspeisevergütung sowie die vollständige Beendigung der Vergütung bei negativen Preisen.“ Der Augsburger Allgemeinen sagte Bundeswirtschaftsministerin Katharina Reiche unlängst, dass sich neue kleine Anlagen bereits jetzt rechnen und keiner Förderung mehr bedürfen. Wobei Bestandsschutz für bereits betriebene Anlagen bestehen soll.

  • Die feste Einspeisevergütung steht vor dem Aus, neue Anlagen müssen bereits mit Nullvergütung oder Einspeisebegrenzung rechnen.
  • Die Wirtschaftlichkeit von PV-Anlagen hängt immer weniger von der Vergütung und immer stärker vom Eigenverbrauch ab.
  • Kleinere, eigenverbrauchsoptimierte Anlagen amortisieren sich oft schneller als große Anlagen.
  • Batteriespeicher steigern den Eigenverbrauch und verkürzen die Amortisationszeit, sind aber in Nutzen und Effizienz sehr unterschiedlich.
  • Künftige PV-Investitionen erfordern genauere Planung bei Dimensionierung, Ausstattung und Energiemanagement, um wirtschaftlich zu bleiben.

Wie der Gesetzgeber das künftige Förderregime ausgestalten will, steht bislang nicht fest. Doch mit einer fixen Einspeisevergütung sollten alle, die perspektivisch in eine PV-Anlage investieren wollen, besser nicht planen. Was die politischen Änderungen für private Haushalte bedeuten können, veranschaulichen wir anhand von zwei Beispielanlagen – mit und ohne Speicher. Das zeigt auch auf, ob es sich in Zukunft noch lohnt, bei der Planung einer PV-Anlage nur aufs Dach zu schauen.


Das war die Leseprobe unseres heise-Plus-Artikels „PV-Wirtschaftlichkeit 2025: Was das Ende der festen Einspeisevergütung bedeutet“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.



Source link

Weiterlesen

Künstliche Intelligenz

Mittwoch: Razzien rund um UNO-Zentrale, E-Auto als Powerbank für Mobilfunkmast


Rund um das New Yorker Hauptquartier der UNO wurden 300 SIM-Karten-Server und 100.000 SIM-Karten entdeckt. Deren Zweck ist undeutlich. Die Systeme könnten für geheime Kommunikation genutzt werden oder um das Mobilfunknetz zu überlasten. Die Behörden haben den tatsächlichen Verwendungszweck bislang aber nicht genannt. Um das Mobilfunknetz geht es auch bei einem Pilotprojekt in Österreich. Renault und der Provider A1 zeigen dabei, dass E-Autos im Notfall, etwa bei einem längeren Stromausfall, als Batteriespeicher für Mobilfunkstationen dienen können. Das soll die kritische Infrastruktur absichern. Derweil muss die US-Behörde für Verbraucherschutz im Finanzbereich ihre Arbeit deutlich reduzieren, denn sie ist bei Republikanern und der aktuellen US-Regierung unbeliebt. Konzerne wie Apple und Toyota profitieren. Die aus bereits nachgewiesenen Rechtsverletzungen folgenden Zahlungen werden nach Budgetkürzungen nun nicht mehr geprüft – die wichtigsten Meldungen im kurzen Überblick.

Über 300 SIM-Karten-Server mit 100.000 SIM-Karten sind in New York und New Jersey vom US Secret Service entdeckt und beschlagnahmt worden. Die Geräte waren an mehreren Standorten im Umkreis von 35 Meilen (gut 56 Kilometer) um das New Yorker Hauptquartier der Vereinten Nationen in Manhattan installiert. Dort geben sich hochrangige Diplomaten und Politiker aus aller Welt gerade ein Stelldichein zur UN-Generalversammlung. Die Server und SIM-Karten hätten die Telekommunikation des Landes stören können, etwa durch verschlüsselte Kommunikation sowie Denial-of-Service-Angriffe (DOS) zur vorübergehenden Unbrauchbarmachung von Mobilfunksendestationen. Der wirkliche Verwendungszweck der beschlagnahmten Einrichtungen ist bislang unklar: Mobilfunk-Server mit 100.000 SIM-Karten in New York beschlagnahmt.

Die Aufrechterhaltung des Mobilfunknetzes ist auch das Ziel des Pilotprojekts des österreichischen Telekommunikationskonzerns A1 und Renault. Diese haben in einer ländlichen Gemeinde demonstriert, wie Elektroautos Mobilfunkstationen mit Strom versorgen können. Sollte es zu einem Blackout kommen, können E-Autos als externe und emissionsfreie Batteriespeicher zur Notstromversorgung und Erhaltung des Mobilfunknetzes dienen. Zwar sind Rechenzentren und Vermittlungsstellen mit großen Notstromsystemen für viele Stunden abgesichert, doch dies ist laut A1 für tausende Mobilfunkstandorte nicht machbar. Hier könnten E-Autos mit V2L-Technik (Vehicle-To-Load) für bidirektionales Laden helfen: Elektroautos können bei Blackouts Mobilfunkstationen mit Strom versorgen.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier eine externe Umfrage (Opinary GmbH) geladen.

Budgetkürzungen der US-Regierung wirken sich abträglich auf den Verbraucherschutz aus. Davon profitieren neben Finanzinstituten auch Konzerne wie Apple und Toyota, die bei Rechtsverletzungen erwischt worden sind. Die US-Bundesbehörde für Konsumentenschutz im Finanzwesen, CFPB (Consumer Financial Protection Bureau), wird auf ein Minimum reduziert. Das Budget wird auf einen Bruchteil gestrichen, dem Großteil des Personals gekündigt. Das Amt soll nur noch für 26 ausgewählte Unternehmen zuständig sein, verteilt auf die Branchen Bonitätsbewertung, Schuldeneintreibung, internationale Überweisungen und Kfz-Finanzierung. Alle anderen Verfahren muss das CFPB einstellen: Apple Card und Toyota entkommen US-Verbraucherschutz.

Ein weiterer Fahrzeughersteller will mit einem neuen Elektroautomodell zurück in die Top Ten der deutschen Zulassungsstatistik. Nächstes Jahr soll es der Mercedes GLC EQ schaffen. Wichtige Bausteine dafür sollen eine Zonen-Architektur der Elektronik und die Versorgung mit Fahrenergie liefern. Der GLC mit Verbrennungsmotor ist laut Zahlen des Kraftfahrtbundesamtes das meistverkaufte Modell der Marke im laufenden Jahr. Im vergangenen Jahr lag nur die E-Klasse davor. Die erste elektrische Version trägt noch den Zusatz „mit EQ-Technologie“. Doch das dürfte der Hersteller bald fallen lassen und sich auf die angestammten Typenbezeichnungen konzentrieren: Mehr Technik, mehr Erfolg mit dem Mercedes GLC EQ?

Erfolgreich ist bislang auch das Survival-Spiel „Palworld„, das aber immer noch in der Early-Access-Phase steckt. Trotzdem will Entwickler Pocketpair die Marke vergrößern: Mit „Palworld: Palfarm“ wurde ein erstes Spin-Off angekündigt, das spielerisch am ehesten an die „Animal Crossing„-Reihe zu erinnern scheint. Gemeinsam mit Pals sollen Spieler eine Farm aufbauen und bewirtschaften, bevor die Güter in Shops verkauft werden. Im Spielverlauf kann man mit seinen Pals und anderen Inselbewohnern Beziehungen aufbauen. Komplett friedlich geht es dabei nicht zu. Die eigenen Farmen sind Ziel von böswilligen Pal-Monstern, vor denen man sich schützen muss: Mit „Palworld: Palfarm“ greift Pocketpair nach Pokémon auch „Animal Crossing“ an.

Auch noch wichtig:


(fds)



Source link

Weiterlesen

Beliebt