- Als erstes mobiles Betriebssystem mit erweiterten Sicherheitsmaßnahmen für Mobilfunkverbindungen sowohl für Verbraucher als auch für Unternehmen ausgestattet und adressiert damit direkt strukturelle Schwachstellen der Kommunikations-Link-Schicht
- Bietet IT-Administratoren eine Steuerungsfunktion, mit der sich die 2G-Unterstützung auf verwalteten Geräten deaktivieren lässt
- Fügt eine Funktion hinzu, die Null-Chiffre-(null cipher)-Verbindungen auf Modem-Ebene blockiert und so das Risiko des Abfangens von Sprach- und SMS-Verkehr reduziert
- Zentrale Zielbedrohungen sind Überwachungs- und Abfangangriffe, die Schwächen der Mobilfunkstandards ausnutzen, etwa False Base Station (FBS), Stingray, IMSI catcher
- In Fortsetzung des Android-Sicherheitsmodells, das alle Netzwerke als feindlich betrachtet, wird die Kommunikationssicherheit auf Plattformebene weiter gestärkt
Stärkung der Netzwerksicherheit in Android
- Das Android-Sicherheitsmodell geht davon aus, dass alle Netzwerke feindlich sind, und schützt Nutzer vor Paketinjektion, Manipulation und Abhören
- Es verlässt sich nicht auf Link-Layer-Verschlüsselung, sondern ist so konzipiert, dass der gesamte Netzwerkverkehr Ende-zu-Ende-verschlüsselt (E2EE) ist
- Bei Verbindungen über Mobilfunknetze weist die Kommunikations-Link-Schicht eigene Sicherheits- und Datenschutzprobleme auf
- False Base Stations (FBS) und Stingray nutzen Schwächen der Mobilfunkstandards aus und schädigen Nutzer
- Smartphones können die Legitimität einer Mobilfunkbasisstation vor dem Verbindungsaufbau nicht zuverlässig prüfen
- Angreifer können dies vielfältig ausnutzen, vom Abfangen von Datenverkehr über das Sideloading von Malware bis hin zu massenhafter wahlloser Überwachung
- Für besonders gefährdete Nutzer wurde die Härtung der Mobilfunktelefonie als Priorität vorangetrieben
- Im Fokus stehen 2G-Netzrisiken, Risiken durch Null-Chiffre, weitere FBS-Bedrohungen sowie die Härtung des Basebands gemeinsam mit Ökosystempartnern
2G und die Geschichte inhärenter Sicherheitsrisiken
- Das mobile Ökosystem übernimmt 5G schnell, und viele Netzbetreiber stellen 2G-Dienste ein
- In den USA haben die meisten großen Netzbetreiber ihre 2G-Netze bereits abgeschaltet
- Dennoch unterstützen alle bestehenden Mobilgeräte weiterhin 2G und verbinden sich automatisch mit 2G, wenn es verfügbar ist
- Eine 2G-Verbindung kann durch bösartige Angriffe aus der Ferne erzwungen werden
- Geräte können unauffällig auf eine reine 2G-Verbindung herabgestuft werden, sodass sie Nicht-2G-Netze ignorieren
- Dieses Verhalten tritt unabhängig davon auf, ob die lokale Netzbetreiberinfrastruktur 2G bereits abgeschaltet hat
- 2G, erstmals 1991 eingeführt, bietet nicht das Sicherheitsniveau späterer Generationen
- 2G auf Basis des GSM-Standards hat keine gegenseitige Authentifizierung (mutual authentication) und erlaubt dadurch leicht Man-in-the-Middle-Angriffe
- Seit 2010 haben Sicherheitsforscher wiederholt gezeigt, wie sich 2G-Datenverkehr über Funk leicht abfangen und entschlüsseln lässt
- Die Kombination aus veralteter 2G-Sicherheit und erzwungenem Downgrade von 5G oder 4G auf 2G ist die häufigste Missbrauchsmethode von FBS, IMSI catcher und Stingray
-
Missbrauchsbeispiele mit Stingray
- Mögliches Sideloading von Pegasus-Malware auf das Telefon eines Journalisten
- Ein ausgefeilter Phishing-Fall, bei dem eine einzelne FBS Hunderttausende Menschen betroffen haben soll
- Betrugsangriffe, bei denen vermutlich durch Downgrade auf 2G SMSishing-(Smishing)-Payloads injiziert wurden
-
Gegenmaßnahme in Android 12
- Einführung einer Funktion, mit der Nutzer 2G auf Modem-Ebene deaktivieren können
- Pixel 6 war das erste unterstützte Gerät; inzwischen wird die Funktion von allen Android-Geräten unterstützt, die Radio HAL 1.6 oder höher erfüllen
- So konzipiert, dass Nutzer bei Notrufen nicht beeinträchtigt werden
-
Minderung von 2G-Sicherheitsrisiken für Unternehmen
- Die Sicherheits- und Datenschutzvorteile der Deaktivierung von 2G für gefährdete Nutzer werden in der Branche anerkannt und sind auch für Android-Enterprise-Kunden wichtig
- Unternehmen benötigen starke Sicherheit, um sensible Daten und geistiges Eigentum zu schützen
- Android Enterprise bietet Verwaltungsfunktionen für sichere Konnektivität, darunter das Deaktivieren von Wi‑Fi-, Bluetooth- und USB-Datensignalen
- Ab Android 14 können Unternehmen und Behörden, die Geräte mit Android Enterprise verwalten, 2G-Downgrades einschränken
- Sie können mobile Verbindungen ihrem Bedrohungsmodell entsprechend konfigurieren und so vor 2G-basiertem Abfangen von Datenverkehr, Man-in-the-Middle-Angriffen und anderen Bedrohungen schützen
- Das 2G-Funkmodul kann dauerhaft deaktiviert oder so konfiguriert werden, dass Mitarbeiter bei Reisen in Hochrisikogebiete geschützt sind
- Diese Funktion ist Teil der mehr als 200 Verwaltungsrichtlinien, die Android Enterprise bereitstellt
- Für über 80 Ereignisse steht Audit Logging bereit, um unbefugte Zugriffe nachzuverfolgen, Sicherheitsvorfälle zu erkennen und Probleme zu beheben
Zusätzliche Funktion in Android 14 — Blockierung von Null-Chiffre
- Android 14 adressiert auch das Risiko von Mobilfunk-Null-Chiffre-(null cipher)-Verbindungen
- IP-basierter Datenverkehr wird auf Plattformebene durch E2EE geschützt, doch Mobilfunknetze legen leitungsvermittelten Sprach- und SMS-Verkehr offen
- Diese beiden Verkehrsarten werden nur durch Verschlüsselung auf der Mobilfunk-Link-Schicht geschützt; ob verschlüsselt wird, entscheidet allein das Netz, ohne Sichtbarkeit für den Nutzer
- Der Einsatz von Null-Chiffre wurde in kommerziellen Netzen bestätigt
- Sprach- und SMS-Verkehr, darunter OTP (One-Time Password), ist dadurch leichtem Abfangen über Funk ausgesetzt
- Einige kommerzielle Stingray-Systeme täuschen Geräten vor, keine Verschlüsselung zu unterstützen, und können sie so auf Null-Chiffre herabstufen und den Verkehr abfangen
- Android 14 führt eine Nutzeroption ein, mit der sich Null-Chiffre-Verbindungen auf Modem-Ebene deaktivieren lassen
- Wie bei der 2G-Steuerung bleiben Notrufe auch über unverschlüsselte Verbindungen möglich
- Auf Geräten mit aktuellem Radio HAL verbessert dies den Schutz der Kommunikationsprivatsphäre deutlich; in den kommenden Jahren wird Unterstützung für weitere Geräte erwartet
Fortlaufende Zusammenarbeit zur Anhebung der Mobilfunk-Sicherheitsstandards
- Parallel zur Arbeit an Android selbst beteiligt sich das Team regelmäßig an der Entwicklung und Verbesserung von Mobilfunk-Sicherheitsstandards
- Es beteiligt sich aktiv an Standardisierungsgremien wie der GSMA Fraud and Security Group und den Sicherheits- und Datenschutzgruppen (SA3) von 3GPP
- Das langfristige Ziel ist die Neutralisierung von FBS-Bedrohungen
- Innerhalb der GSMA FASG wird eine neue Initiative angeführt, die die Machbarkeit moderner Identitäts-, Vertrauens- und Zugriffskontrollverfahren untersucht, um die Sicherheit von Telekommunikationsnetzen grundlegend zu stärken
- Es wird die Defense-in-Depth-Strategie von Android verfolgt
- Zusammenarbeit mit internen Teams wie dem Android Red Team und dem Vulnerability Rewards Program
- Zudem Zusammenarbeit mit führenden akademischen Gruppen der Mobilfunk-Sicherheitsforschung; 2022 wurde über den ASPIRE-Zuschuss ein PoC-Projekt zur Bewertung der Härtung von 5G-Verbindungen unterstützt
- Die Forschungsergebnisse wurden auf der ACM Conference on Security and Privacy in Wireless and Mobile Networks vorgestellt
1 Kommentare
Meinungen auf Hacker News
Für die meisten Menschen scheint das ein passender Kompromiss zu sein. Das einzige landesweite 2G-Netz in den USA ist T-Mobile, und es soll am 2. April 2024 abgeschaltet werden.
In ländlichen Gegenden gibt es auch regionale Carrier wie Commnet Wireless, die dort die einzige Abdeckung bieten, aber das ist selten, und normalerweise haben sie in ihrem gesamten Versorgungsgebiet 3G ausgebaut. Auch die Big Three erweitern ihre eigene Abdeckung so, dass sie sich mit diesen überschneidet. Trotzdem wird nach Murphys Gesetz irgendjemand mit einem Android-14-Smartphone feststellen, dass er außer 911 niemanden anrufen kann. Idealerweise sollte es im Zustand ohne Netz einen Button-Prompt geben, um 2G wieder einzuschalten. Nach FCC-Regeln müssen Mobiltelefone auf eine Null-Chiffre (null cipher) zurückfallen können, wenn das für das Herstellen eines Notrufs nötig ist.
(1) https://www.t-mobile.com/support/coverage/t-mobile-network-e...
(2) https://www.cellularmaps.com/regional-carriers/commnet-wirel...
Letztes Jahr habe ich vorher gefragt, ob ich ein neues Nicht-LTE-4G-Gerät aktivieren könne, und bekam die Antwort, das sei kein Problem. Es wurde aktiviert, aber ein paar Tage später blieb das Gerät hängen; nach mehreren Stunden mit dem technischen Support bekam ich eine neue SIM, doch wieder blieb es nach ein paar Tagen hängen. Als ich die SIM mit einem anderen Nicht-LTE-4G-T-Mobile-Gerät auf demselben Konto (iPad Pro) tauschte, funktionierten beide, und auch nach dem Zurücktauschen liefen sie eine Weile, bis nur das neue Gerät nach ein paar Tagen wieder hängen blieb. Am Ende fand der technische Support einen technischen Hinweis, dass Geräte, die nach einem bestimmten Datum im Jahr 2022 aktiviert wurden, nicht mehr funktionieren, wenn sie sich nicht alle 24 Stunden per 4G LTE registrieren. T-Mobile muss ein Skript geschrieben haben, um das umzusetzen, und es wirkt wie reines Marketing. Das Nicht-LTE-4G-iPad-Pro von 2016 funktioniert weiterhin gut, aber ein anderes Nicht-LTE-4G-Gerät musste ich durch ein neueres ersetzen. Es war dasselbe Gerät, das ich jahrelang bei T-Mobile genutzt hatte und nach sechs Monaten Inaktivität wieder aktivieren wollte; hätte ich es nur einen Monat früher reaktiviert, wäre es problemlos gegangen.
Kurz gesagt: Mobilfunkanbieter verdienen Geld mit dem Verkauf neuer Hardware und können behaupten, dass Geräte nicht unterstützt werden, obwohl sie in Wirklichkeit funktionieren könnten.
Was im Artikel am stärksten heraussticht, ist, dass der Kern eines Stingray im Grunde ein teurer Downgrade-Angriff ist. 2G zu deaktivieren könnte aus Sicht von Ma Bell ein wirksames Mittel sein, zu verhindern, dass Sicherheitsfirmen wie Stingray an den ohnehin üppigen Einnahmen knabbern. Weil sich die spielzeugartigen Methoden von Stingray unmittelbar als Bedrohung der nationalen Sicherheit herausgestellt haben, hat man auch 2G aufgegeben.
Eine Einstellung, mit der Nutzer 2G abschalten können, gab es schon länger; neu scheinen hier also die Null-Chiffre und die Unternehmensverwaltung zu sein. Die Null-Chiffre loszuwerden ist gut, und es wäre schön, auch schwache Chiffren oder Export-Chiffren abzulehnen.
Wenn man 4G oder 5G behalten möchte, ist man aufgeschmissen. Ich persönlich bevorzuge 4G/5G, weil der 2G/3G-Fallback außerhalb der 4G/5G-Abdeckung in meinem Netz fast nutzlos ist. Wenn Android 14 auf das S21 kommt, hoffe ich, dass es zumindest die im Artikel beschriebene Option zum Deaktivieren von 2G geben wird.
Die neue Option hier klingt so, als würde sie tatsächlich alle 2G-Funktionen abschalten.
Bei der Stelle „Das Netz entscheidet, ob der Traffic verschlüsselt wird, und Nutzer können nicht sehen, ob Verschlüsselung aktiv ist“ vermute ich, dass die Betriebssystem-UI ursprünglich dafür gedacht war, unverschlüsselte Verbindungen anzuzeigen. Aber weil staatliche Akteure das nicht wollten, scheint keine der beiden Seiten etwas anzuzeigen.
Außerdem gilt die Verschlüsselung, selbst wenn sie aktiviert ist, nur für die Funkstrecke der Datenübertragung und nicht Ende-zu-Ende zwischen den Endgeräten. Andernfalls könnte man ja keine Festnetztelefone anrufen; daher dürfte es für den Netzbetreiber ohnehin leicht sein, die Rohdaten zu entschlüsseln. Es würde in Szenarien helfen, in denen etwa eine Botschaft eine gefälschte Basisstation aufstellt und die Daten von Demonstranten draußen abgreift. Und ich frage mich auch, wie man erkennen könnte, wenn viele Bits auf 0 gesetzt werden, um wie beim ursprünglichen GSM den Verschlüsselungsschlüssel zu schwächen.
Die NSA und andere staatliche Akteure haben inzwischen andere Mittel, daher kann man solche Funktionen wohl öffentlich machen und Internetpunkte sammeln.
Dass Google bei der Sicherheit hilft, ist ungefähr so, als würde eine freundliche Mafia an die Tür klopfen und Schutz anbieten. Man darf nicht vergessen, dass Google die Spitze der bösen Unternehmen ist, die alle Daten unter ihre Kontrolle bringen wollen. Genau dieses Unternehmen hat „don’t do evil“ zu „do things“ geändert.
Wäre ich nicht zu Apple gewechselt, würde ich eine solche Funktion auf einem GrapheneOS-Telefon gerne nutzen.
Außerdem gibt es auch den allgemeinen Anreiz, Funktionen zu schaffen, die mehr Menschen oder Organisationen dazu bringen können, Android zu wählen.
AT&T hat 3G-Geräte bereits abgeschaltet, und es gibt auch Android-Apps, die behaupten, Stingrays oder gefälschte Basisstationen zu erkennen. Trotzdem ein guter Schritt von Google.
GrapheneOS hat ebenfalls eine ähnliche Funktion implementiert, um auf 4G-Mobilfunknetze zu beschränken. Das ist gut, wenn das Telefon meint, eine 3G- oder 2G-Verbindung sei besser, obwohl 4G meines Wissens schneller ist.
Der Nachteil ist, dass man in Situationen, in denen das 4G-Netz völlig überlastet ist, zum Beispiel auf einem Festivalgelände, Anrufe oder SMS verpassen kann, die man hätte empfangen können, wenn ein Wechsel auf 2G möglich gewesen wäre. Das ist mir tatsächlich passiert: Das Telefon hatte eine 4G-Verbindung, aber SMS funktionierten nicht, solange 2G nicht erlaubt war.
Vielleicht sollte man zuerst einmal VPN-Leaks bei Always-on-VPN stoppen.
https://issuetracker.google.com/issues/250529027
Bedeutet das mehr, als dass mein Unternehmen 2G auf meinem Telefon deaktivieren kann?