Bare kryptering kan hindre tapping

Myndighetene bruker derfor IMSI-catchere veldig sjelden. Men i et nytt lovforslag som er til høring foreslås at politiet skal få utvidet myndighet til å bruke slikt utstyr også uten forutgående rettsbehandling.

- Det finnes ende-til-ende kryptering som vi har anbefalt politikerne å bruke, men det er nok ikke mange som gjør det. Uten kryptering risikerer alle at dere samtaler og innholdet i dem blir tappet av IMSI-catchere som er åpent i salg på Internett, sier professor ved Universitetet og cypersikkerhetsekspert i Oslo Torleiv Maseng. til Telecom Revy.

- Det er riktig som det er kommet fram at sikkerheten er bedre i 3G og 4G-nett, men det er fullt mulig for IMSI-catcherne å sende samtalene over til GSM og 2G, sier Maseng.

- Men kan vi ikke sette telefonen slik at den blokkerer for alt annet enn 3G og 4G?

- Det er mulig på noen terminaler. Da kan ikke den som overvåker se innholdet i samtalene, men de kan likevel spores slik at overvåkrene kan se hvem du kommuniserer med, sier Maseng.

Vi sjekket vår egen nye smarte mobil. Den lar deg blokkere med bare 3G-kommunikasjon, men skal vi bruke 4G (LTE) må vi væresågod åpne for 2G også.

Forøvrig er det slik at IMSI-catchere i enkleste form er billige å kjøpe, men svært kompliserte å bruke. Det er nå kommet fram i ulike presseoppslag at det er ulike nivåer på disse falske basestasjonene. de enkleste koster kanskje bare noen tusenlapper og kan kun spore samtaler mens de mest avanserte kan avsløre innholdet i samtaler. Disse koster millionbeløp, blir det hevdet.

Lite operatørene kan gjøre

- Er det noe Telenor som operatør kan gjøre for å motvirke tapping av mobiler via IMSI-catchere?

- Operatørenes handlingsrom er begrenset i forhold til å motvirke en angrepsvektor mellom mobiltelefonen og en basestasjon vi ikke har kontroll over. På bakgrunn av påviste angrep mot 2G har Telenor de senere år gjort en rekke forbedringer i grunnleggende sikkerhet på 2G, blant annet med innføring av A5/3 krypteringsalgoritme. Hovedutfordringen når det gjelder falske basestasjoner, er at 2G til forskjell fra 3G kun har enveis autentisering. 2G er derfor mer sårbart for falske basestasjoner, svarer informasjonssjef  Kristin Vetleseter i Telenor Norge.

- Kan dere for eksempel hindre at mobilene tvinges over på 2G for dermed å kunne tappes? 

- Telenor har per i dag ikke mulighet til å hindre at mobiltelefoner tvinges over på 2G dersom en falsk basestasjon befinner seg i ditt dekningsområde. Enkelte mobilmodeller gir imidlertid brukeren mulighet til å velge bort 2G (kun bruke 3G/4G).

- Ser at en NUPI-forsker mener Telenors rolle i totalforsvaret må vurderes. Kommentar til det?

- Telenor Norge er en privat aktør som leverer telekomtjenester til privatkunder og private og offentlige virksomheter. Vi eier samfunnskritisk infrastruktur og vi ivaretar myndighetspålagte oppgaver etter avtale med regulatøren Post- og teletilsynet. For å møte en økt trussel innenfor telekom- og cyberområdet er det viktig med et tett samarbeid mellom aktører på tvers av bransjer og på tvers av privat og offentlig virksomhet og myndigheter (som PT, NSM, Politiet og Forsvaret). Omfattende og komplekse hendelser klarer ingen aktør å løse alene.  En del av sårbarhetene er også bransjeutfordringer med internasjonalt omfang, og vil til dels kreve koordinert innsats i nasjonal og internasjonal skala, sier informasjonssjefen.

I den sammenheng kan det være verdt å merke seg at ett kyberangrep på Telenors stamnett vil stoppe flytrafikk, finansvirksomhet og føre til tap av menneskeliv. Det er konklusjonen i en ny analyse fra Direktoratet for samfunnssikkerhet og beredskap (DSB) som ble lagt fram i går.

Ende-til-ende kryptering er tilgjengelig blant annet hos  Rohde-Schwartz og/eller Sectra for de som vil anskaffe slik kryptering. Iallfall den siste er godkjent til bruk i NATO.

Sjekk selv

De som ønsker det kan faktisk selv sjekke om deres mobiler er havnet på en falsk basestasjon og følgelig kan bli tappet. Er symbolet grønt er alt OK. Er det derimot rødt kan det være fare på ferde. Programmet kan du laste ned her. (Vi er ikke kjent med om det er dette programmet Aftenposten har brukt for å identifisere de falske basestasjonene.)

PTS kan ikke tappe

Justisminister Anders Anundsen (Frp) sitter som ansvarlig statsråd for Politiets sikkerhetstjeneste, Nasjonal sikkerhetsmyndighet og Post- og teletilsynet. Alle har fått søkelyset på seg etter Aftenpostens avsløring av mulig mobilovervåking i Oslo.

- Er det nå helt sikkert at dette ikke er lovlig overvåking som er foretatt av norsk etterretning?

- Jeg har ikke oppfattet at det har vært en problemstilling i det hele tatt. Overvåking av norske tjenester har hjemmel i lov. Jeg tror du skal lete lenge i loven etter hjemmel for denne typen virksomhet, sier Anundsen til Aftenposten.

Og så vidt vi kan skjønne har faktisk ikke TTS lovlig adgang til slik overvåkning i dag ettersom to departementer i et høringsnotat nå foreslår en lovendring som skal gi dem det.

I et høringsnotatet fra Justis- og beredskapsdepartementet og Samferdselsdepartementet om endring av politiloven foreslås to alternativer når det gjelder hvilke situasjoner som politiet kan benytte slike tiltak som blant annet IMISI-catchere noe de tydeligvis ikke har adgang til i dag - det vil si kun rettskjennelse tillater PTS å bruke slik tapping. I dagens Næringsliv i dag går det fram at dette også skjer i "et fåtall tilfeller".

Men såvidt vi kan forstå av det offentlig tilgjengelige høringsnotatet foreslås det nå at myndighetene kan bruke slik overvåkning uten rettskjennelse når "tungtveiende samfunnsmessige hensyn" tilsier det eller for å "forebygge straffbare forhold".Etter alternativ 1 foreslås det at etablering av mobilregulerte soner og jamming kan benyttes i arbeidet med å forebygge og stanse alvorlige ordensforstyrrelser, forebygge straffbare forhold eller iverksette andre politioperative tiltak, når det er nødvendig for å beskytte liv og helse eller tungtveiende samfunnsmessige hensyn tilsier det. I tillegg foreslås det å åpne for etablering av mobilregulerte soner og jamming for å gjennomføre tvangsmidler i medhold av straffeprosessloven §§ 200 a, 202 b, 202 c eller 216 m (hemmelig ransaking, teknisk sporing og romavlytting).

I alternativ 2 foreslås det at etablering av mobilregulerte soner og jamming kan benyttes i arbeidet med å forebygge straffbare forhold som etter loven kan medføre straff av fengsel i tre år eller mer eller iverksette andre politioperative tiltak, når det er nødvendig for å beskytte liv og helse eller tungtveiende samfunnsmessige hensyn tilsier det.  I tillegg foreslås det å åpne for etablering av mobilregulerte soner og jamming for å gjennomføre tvangsmidler i medhold av straffeprosessloven §§ 200 a, 202 b, 202 c eller 216 m.

Det foreslås at kompetansen til å iverksette tiltakene legges til politimester og visepolitimester, samt sjef PST og assisterende sjef PST.  I tillegg foreslås det å åpne for at myndigheten i særlige tilfeller kan delegeres.Videre foreslås det at kontrollutvalget for kommunikasjonskontroll (KK-utvalget) og at Stortingets kontrollutvalg for etterretnings-, overvåkings- og sikkerhetstjenesten (EOS-utvalget) gis tilsynskompetanse for henholdsvis det ordinære politis og PSTs bruk av metodene i politiloven § 7 b.

I tillegg foreslås det endringer i ekomloven slik at politiet kan beslutte å unnlate å varsle Post- og teletilsynet om jamming mv., eller utsette varslingen, dersom unnlatt eller utsatt varsling etter en konkret vurdering er nødvendig av hensyn til samarbeidende tjenester, eller det er helt nødvending av hensyn til gjennomføringen av tiltak som nevnt i politiloven § 7 b. Endelig foreslås det at politiet kan beslutte at ekomtilbyderne ikke skal varsles dersom det er av avgjørende betydning for gjennomføringen av tiltaket. Det foreslås at slike beslutninger skal nedtegnes og begrunnes skriftlig.

Høringsfristen er 23. januar. Aftenpostens avsløringer danner nå en interessant bakgrunn for disse forslagene.

(Artikkelen er oppdatert 16.12.2014, klokken 11:38)