Einleitung UMTS Grundlagen UMTS Sicherheitsarchitektur. UMTS-Sicherheit. Manuel Leupold / Christian Polt. 30. Mai 2011

Transkript

1 30. Mai 2011

2 Kurze Entwicklungsgeschichte der Mobiltelefonie Handynetze anfangs nur auf nationaler Ebene und analog verfügbar Durch GSM (Global System for mobile communication) wurden Netze digital und die Sicherheit erhöht (2G - Second Generation) GSM sorgt für weltweiten Standard und macht internationale Anbieter kompatibel zueinander, es gibt weiterhin in vereinzelten Ländern Variationen dieses Standards

3 Kurze Entwicklungsgeschichte der Mobiltelefonie Ende der 90er gab es dann Handynetze mit UMTS(3G - Third Generation) UMTS vereint öffentliche und private Systeme, Satelliten, Pager etc. und stellt weitere Multimedia Dienste wie. z.b. MMS, Mobile Commerce oder standortabhängige Services zur Verfügung Diese Entwicklung führt(e) zu folgendem Problem: Datenmenge wird größer, Datensensibilität nimmt zu Bereits 2001 waren fast 50% der weltweiten Telefonanschlüsse mobile Anschlüsse

4 Wachstum der Mobilfunknutzung

5 Bezeichnung und technische Merkmale UMTS (Universal Mobile Telecommunication System) ist die europäische Bezeichnung für Mobilfunksysteme der dritten Generation Weltweit in Fachkreisen wird es als IMT-2000 bezeichnet (International Mobile Telecommunications) UMTS dient der weltweiten, einheitlichen Nutzung von Sprach- Daten- und Multimediadiensten

6 Leistung GSM 2G Netze hatten Probleme bei der Datenübertragung durch schlechte Ressourcenverwaltung (5-15 kbit/s Übertragungsrate) GPRS (General Packet Radio Service) wurde als Paketvermittlungsdienst nachgerüstet (ca. 30 kbit/s Übertragungsrate) zusätzlich wurde die EDGE Technologie (Enhanced Datarate for Global Evolution) entwickelt, was für noch mehr Leistung sorgt Trotz dieser Upgrades ist die Übertragungsrate für moderne Services zu gering

7 Leistung UMTS UMTS passt die Bandbreite flexibel an und es sind Datenraten zwischen 384 KBit/s und 2 MBit/s möglich Die Übertragung funktioniert flexibel mit dem CDMA Verfahren (Code Division Multiple Access) anstatt mit starren Zeitschlitzen wie bei GSM üblich HSDPA (High Speed Downlink Packet Access) ist ein Upgrade für UMTS und sorgt für Datenraten bis zu 10 Mbit/s

8 UMTS Architektur In vier logische Blöcke unterteilbar: USIM (UMTS Subscriber Identity Module) UE (User Equipment) RAN (Radio Access Network) CN (Core Network)

9 UMTS Domänen User Equipment (UE) Access Network (AN) Core Network (CN) mit drei Unterdomänen: 1 Serving Network 2 Transit Network 3 Home Network

10 UMTS Komponenten

11 Allgemein Einleitung Basiert auf Sicherheitsarchitektur der GSM Netze, wobei neue Mechanismen hinzugefügt wurden, die upgradefähig für die Zukunft sind Die Sicherheitsarchitektur ist in Schichten unterteilt bei denen es zu potentielle Angriffen und Attacken kommen kann. Die Sicherheitsaspekte sind in 5 Gruppen unterteilt: 1 Netzzugangssicherheit (den meisten Angriffen ausgesetzt) 2 Netzwerksicherheit 3 Benutzersicherheit 4 Anwendungssicherheit 5 Sichtbarkeit und Konfigurierbarkeit der Sicherheit

12 Netzzugangssicherheit Mobilfunkteilernehmer muss im Einzugsgebiet uneingeschränkt alle Dienste nutzen können, ohne dass sich unauthorisierte Personen ein Profil über seine Aufenthaltsorte und Bewegungen erstellen können. Identität (IMSI) darf nicht auf der Luftschnittstelle ermittelt werden können. Zuordnung von Daten und Person darf nicht möglich sein. Wichtige Neuerung in UMTS: Netzwerk muss sich auch gegnüber dem Teilnehmer identifizieren (Vermeidung von IMSI-Catching durch Man-in-the-Middle). Teilnehmer werden durch temporäre Identitätserkennung (TMSI) identifiziert, IMSI bleibt verschleiert.

13 Teilnehmer bei der AKA (Authentification and Key Agreement) Benutzer mit seinem Mobile System (MS): Besitzt auf seiner USIM einen 128 Bit-Schlüssel K. Home Environment (HE)/ Home Location Register (HLR): Besitzt den selben Schlüssel K wie der Benutzer. Visitor Location Register (VLR) / Serving GPRS Support Node (SGSN)

14 Ablauf der AKA MS schickt eine Anfrage an VLR/SGSN. VLR/SGSN schickt Authentication data request (enthält IMSI des Benutzers) an das HE/HLR. Dabei wird die Leitung (CN) als abhörsicher vorausgesetzt. HE/HLR berechnet n Authentifikationsvektoren und schickt diese über das CN an das VLR/SGSN zurück. Das VLR/SGSN wählt den nächsten Authentifikationsvektor AV aus und sendet daraus die Parameter RAND und AUTN an den Teilnehmer (MS).

15 Berechnung eines Authentifikationsvektor Quele:AxelBolta:SimulationundAnalysevonVerschlüsselungsalgorithmenam BeispielvonUMTS(2003)

16 Ablauf der AKA (Fortsetzung) Nachdem MS die Parameter RAND und AUTN vom VLR/SGSN erhalten hat, berechnet er AK mithilfe der Funktion f 5. Damit berechnet er sich die SQN aus den ersten 48 Bit von AUTN durch SQN = (SQN AK) AK und überprüft, ob sie noch nicht abgelaufen ist. Nun überprüft er die Gültigkeit des MAC, indem er XMAC = f 1 K (SQN RAND AMF ) berechnet und die Werte vergleicht. MS kann sich nun sicher sein, dass SQN, RAND und AMF korrekt sind und daraus mithilfe der Funktionen f2, f3 und f4 die die Antwort RES und die Schlüssel CK und IK berechnen. Die Antwort RES schickt er nun an VLR/SGSN zurück VLR/SGSN vergleicht die erhaltene Antwort RES mit der erwarteten Antwort XRES aus dem Authentifikationsvektor.

17 KASUMI Einleitung KASUMI wurde um 1999 von 3GPP entwickelt und ist eine modifizierte Version von MISTY1. Grundlage für die Algorithmen f 8 zur Datenverschlüsselung und f 9 zur Datenintegrität. Kompromiss zwischen Performance und Sicherheit, dadurch schnelle Implementierung in Software und Hardware.

18 Rundenteilschlüssel Der 128 Bit Hauptschlüssel K wird zunächst aufgeteilt in acht 16-Bit-Blöcke K = K 1 K 2 K 3 K 4 K 5 K 6 K 7 K 8. Es werden mithilfe von fest vorgegebenen Konstanten C j die Schlüssel K j = K j C j erzeugt. Die Rundenteilschlüssel ergeben sich aus folgender Tabelle:

19 Aufbau von KASUMI

20 Die KASUMI S-Boxen S7 und S9 Die S-Boxen S7 und S9 sind so entwickelt worden, dass sie sowohl in kombinatorischer Logik, wie auch als Lookup- Tabellen möglichst einfach und effizient implementierbar sind. Es besteht die Möglichkeit, sie in Algebraischer Normalform zu notieren, wobei die Anzahl der Terme im Vergleich zu anderen S-Boxen sehr klein ist (3 Terme bei S7 und 2 Terme bei S9). Beispiel: Lookup-Tabelle von S7 (8 Zeilen, 16 Spalten):

21 Algebraischer Normalform S7 Im folgenden seien x 0,..., x 6 die Eingabebits und y 0,..., y 6 die Ausgabebits von S7:

22 Sicherheit von KASUMI Steigende Komplexität durch Verbesserungen wurde meist kritischer bewertet als die Risiken durch nur theoretisch realistische Angriffe. Mögliche Risiken außerhalb des UMTS-Kontexts wurden zwar betrachtet und Veränderungen am Design überdacht, aber nicht immer umgesetzt. Die Sicherheit von KASUMI basiert auf der Nichtlinearität der S-Boxen S7 und S9 und natürlich auf der Geheimhaltung der Schlüssel. Folgende Angriffspunkte wurden bei der Entwicklung von KASUMI besonders berücksichtigt: lineare Kryptoanalyse differentielle Kryptoanalyse schwache Schlüssel

23 Angriff auf KASUMI Im Jahr 2010 veröffentlichten die israelischen Forscher Orr Dunkelman, Nathan Keller und Adi Shamir eine Attacke gegen KASUMI. Sandwich-Angriff : Related-Key-Attack, mit dem die Forscher den gesamten 128-Bit Schlüssel in 2 Stunden knacken konnten. Nur theoretischer Angriff, denn es werden 4 zum Schlüssel K verwandte Schlüssel benötigt, was in der Praxis unwahrscheinlich ist.

24 Integrität Einleitung Die Datenintegrität wir mithilfe der MAC-Funktion f9 sichergestellt (auch UMTS Integrity Algorithm (UIA) genannt). Die Eingangsparameter für f9 zur Berechnung der Prüfsumme MAC-I (32 Bit) sind: IK: Der Integrity Key aus dem Authentifikationsvektor COUNT-I (32 Bit): Sequenznummer zur Integritätssicherung (wird pro Nachricht um eins erhöht); verhindert Replay-Attack FRESH (32 Bit): Zufallszahl DIRECTION (1 Bit): Zur Kennzeichnung der Übertragungsrichtung MESSAGE: beliebig lange Nachricht Daraus wird der Padded String (PS) COUNT-I FRESH MESSAGE DIRECTION gebildet (sodass die Blocklänge ein Vielfaches von 64 wird)

25 Die Funktion f9 Quele:AxelBolta:SimulationundAnalysevonVerschlüsselungsalgorithmenam BeispielvonUMTS(2003)

26 Datenverschlüsselung Die Datenverschlüsselung wir mithilfe der Funktion f8 sichergestellt (auch UMTS Encryption Algorithm (UEA) genannt). Die Funkton f8 ist eine Stromchiffre, die Datenblöcke der Länge zwischen 1 und Bit ver-/entschlüsselt. Die Eingangsparameter für f8 sind: CK: Der Cypher Key aus dem Authentifikationsvektor COUNT-C (32 Bit): Sequenznummer zur Verschlüsselung BEARER (5 Bit): die eindeutige Kennung eines Funkkanals DIRECTION (1 Bit): Zur Kennzeichnung der Übertragungsrichtung LENGTH (16 Bit): gibt die Länge des benötigten Schlüsselstromblocks an Daraus wird COUNT-C BEARER DIRECTION gebildet (sodass die Blocklänge 64 Bit wird)

27 Die Funktion f8 Quele:AxelBolta:SimulationundAnalysevonVerschlüsselungsalgorithmenam BeispielvonUMTS(2003)

28 Benutzersicherheit Benutzersicherheit= Sicherheit auf Benutzerbene der Endgeräte Zwei Arten der Benutzersicherheit: 1 User-to-USIM 2 USIM-to-Terminal

29 Sichtbarkeit und Konfigurierbarkeit der Sicherheit Sichtbarkeit: Der Benutzer wird bei UMTS informiert, ob die Verbindung verschlüsselt ist oder nicht Weiterhin wird der Benutzer informiert sobald er das Netzwerk wechselt und der entsprechende Sicherheitsgrad des Netzwerkes wird ihm angezeigt. Wichtig bei Wechsel in ein GSM Netz während eines Telefonates, Einkäufen im Internet oder ähnlichen Transaktionen.

30 Sichtbarkeit und Konfigurierbarkeit der Sicherheit Konfigurierbarkeit: Man kann entscheiden ob und wann ein Dienst ausgeführt werden soll, in Abhängigkeit bestimmter Sicherheitsmerkmale Dienste können so konfiguriert werden, dass sie nur eingeschränkt oder garnicht auf dem Gerät funktionieren, wenn sie nicht den eingestellen Sicherheitsmerkmalen entsprechen z.b. können nicht verschlüsselte Anrufe sofort abgelehnt werden oder ausgehende Verbindungen in einem nicht verschlüsselten Netz werden garnicht erst erlaubt. zusätzlich werden nur bestimmte Sicherheitsalgorithmen für eine Verbindung akzeptiert