AT&T und Verizon blockieren die Veröffentlichung des Sicherheitsbewertungsberichts zu Salt Typhoon

• Die US-Telekommunikationsanbieter AT&T und Verizon verhindern die Veröffentlichung eines Sicherheitsbewertungsberichts zu Salt Typhoon
• Ein US-Senator weist darauf hin, dass die beiden Unternehmen die Veröffentlichung der Ergebnisse staatlicher Cybersicherheitsuntersuchungen behindern
• Der Bericht soll sich mit der Bewertung der Aktivitäten der mit China verbundenen Hackergruppe Salt Typhoon befassen
• Die beiden Telekommunikationsunternehmen sollen die Veröffentlichung aus Gründen der Vertraulichkeit und Sicherheit abgelehnt haben
• Der Vorgang hat zu einer Kontroverse über nationale Sicherheit und Transparenz bei privater Telekommunikationsinfrastruktur geführt

---

Kontroverse um die Veröffentlichung des Sicherheitsbewertungsberichts zu Salt Typhoon

• AT&T und Verizon blockieren die Veröffentlichung des Sicherheitsbewertungsberichts zu Salt Typhoon
  • Der Bericht enthält eine Bewertung der Cyberbedrohungen für die Telekommunikationsinfrastruktur in den USA
  • Es handelt sich um ein Dokument, das auf Grundlage der Untersuchungsergebnisse von Regierungsbehörden erstellt wurde
• Ein US-Senator kritisiert, dass die beiden Unternehmen das Recht der Öffentlichkeit auf Information und die Transparenz der Cybersicherheit beeinträchtigen
  • Der Bericht soll eine Analyse der Aktivitäten der mit China verbundenen Hackergruppe Salt Typhoon enthalten
• Beide Unternehmen verweigern die Veröffentlichung mit Verweis auf Sicherheitsgründe und Vertraulichkeitsverpflichtungen
  • Konkrete rechtliche Grundlagen oder Details wurden nicht offengelegt

Politische und industrielle Auswirkungen

• Der Vorfall weitet sich zu einer Debatte über nationale Sicherheit und den Verantwortungsbereich privater Telekommunikationsunternehmen aus
  • Dabei werden Fragen zum Informationsaustausch zwischen Staat und Privatwirtschaft aufgeworfen
• Es werden Zweifel laut, ob die Systeme zur Abwehr von Cyberbedrohungen in der Telekommunikationsinfrastruktur ausreichend sind
  • Die Nichtveröffentlichung der Ergebnisse der Sicherheitsbewertung könnte künftige politische Diskussionen beeinflussen
• Bislang sind weder die konkreten Inhalte des Berichts noch ein Veröffentlichungstermin bekannt

[GN⁺]

Hacker-News-Kommentare

• Ich habe früher einmal die Spezifikation für die lawful-intercept-Funktion eines 3G-Datenknotens geschrieben.
  Das zentrale Designprinzip war eine Struktur ohne Vertrauen in den Netzbetreiber. So sollten die Mitarbeiter vor dem Einfluss organisierter Kriminalität geschützt werden.
  Die Überwachung wird über die LI-Konsole der Strafverfolgungsbehörde gestartet, und der Netzbetreiber erfährt nichts davon. Das System war so ausgelegt, dass bis zu etwa 3 % des Datenverkehrs überwacht werden konnten, ohne in Logs oder Verwaltungstools aufzutauchen.
  Wenn jedoch ein Hacker in die LI-Konsole eindringt, kann er aufgrund des Designs gezielt bestimmten Traffic abgreifen, ohne entdeckt zu werden.
  Da mehrere Anbieter LI-Konsolensoftware liefern und standardisierte Protokolle verwenden, ist es selbst im Problemfall schwer, die Verantwortung eindeutig zuzuordnen.
  • Ich habe im Netzbetrieb eines großen US-Telekommunikationsunternehmens gearbeitet, und einige Ingenieure konnten anhand der Call-Flow-Analyse ungefähr erkennen, welche Knoten überwacht wurden. Vollständig verborgen war das also nicht.
  • Ich frage mich, was genau eine LI-Konsole ist und wo sie installiert wird.
  • Ich frage mich, ob damit vielleicht das RAVEN-System gemeint ist.
• Die Regierung hat Telekommunikationsunternehmen zu lawful-intercept-Funktionen verpflichtet, und nun missbrauchen böswillige Akteure genau diese von der Regierung geforderte Backdoor. Trotzdem von Sicherheit und Privatsphäre zu reden, ist heuchlerisch. Am Ende muss man bessere Politiker wählen.
  • Ich habe früher als Sicherheitsberater gearbeitet und ein Unternehmen betreut, das Hardware für Überwachungssysteme herstellt. Diese Geräte waren Black-Box-Appliances, die der Carrier nur installieren musste, um die staatlichen Anforderungen zu erfüllen.
    Sicherheitstests durften aber nur im Kundennetzwerk stattfinden, und das Produkt selbst durfte auf keinen Fall angefasst werden. Wenn man sich das interne Sicherheitsniveau ansieht, ist es sehr wahrscheinlich, dass diese Geräte schon vor langer Zeit kompromittiert wurden.
  • Es ist wichtig, Politiker auszutauschen, aber im Kern ist es ein strukturelles Problem des Staates.
    1. Ein Gesetzentwurf wird vorgeschlagen, obwohl das Problem falsch verstanden wurde → 2) er wird verabschiedet, erzeugt aber viele neue Probleme → 3) dann tritt man wieder zur Wahl an, um genau diese Probleme lösen zu wollen → 4) endlose Wiederholung.
  • Das eigentliche Problem ist nicht die Backdoor selbst, sondern die schwache Sicherheit der Telkos. Überwachungssysteme müssen rechtlich existieren, aber große Carrier sind komplex und haben schwache Sicherheitskontrollen.
    Solche Umgebungen sind Hauptziele für staatliche Hacker, und der Fall Salt Typhoon zeigt das. Selbst wenn das Überwachungssystem nicht gehackt wurde, wäre es äußerst gefährlich, wenn stattdessen Call-Routing- oder Abrechnungssysteme übernommen würden.
  • Ich stimme der Behauptung nicht zu, dass die Regierung hier Privatsphäre als Argument anführt. Tatsächlich verhindern AT&T und Verizon die Veröffentlichung von Mandiants Sicherheitsbewertungsbericht.
  • Ich frage mich, ob das alles Spekulation ist oder bereits bestätigte Tatsachen.
• All das ist dank CALEA (Communications Assistance for Law Enforcement Act) aus dem Jahr 1994 möglich. Am Ende muss die Regierung mit dem von ihr selbst geschaffenen Einfallstor leben. Solche staatlich vorgeschriebenen Backdoors müssen jetzt abgeschafft werden.
• Als ich vor zehn Jahren bei Verizon gearbeitet habe, kam ein externes Sicherheitsteam zur Prüfung und übernahm mit nur einer Windows-Jenkins-Konsole in 3 bis 4 Stunden das gesamte Netzwerk. So schwach war die interne Sicherheit.
• Inzwischen können neben China auch verschiedene andere Staaten und Einzelpersonen auf Telekommunikations-Überwachungssysteme zugreifen.
  Die einzigen, die keinen Zugriff haben, sind die normalen Nutzer.
  Solche Systeme dienen am Ende nur zum Sammeln von Erpressungsmaterial oder zur politisch motivierten Manipulation der Justiz. Da verschlüsselte Messenger ohnehin weit verbreitet sind, ist diese Art der Überwachung unnötig.
• Die Veröffentlichung solcher Berichte zu verhindern, ist ein schwerer Schlag für das Management systemischer Risiken.
  Wenn die Angriffswege nicht offengelegt werden, bleibt der Rest der Infrastrukturbranche völlig im Blindflug. Um den Ruf einzelner Unternehmen zu schützen, wird die gemeinsame Sicherheit geopfert.
  • Dazu gibt es ein Interview bei Cybersecurity Dive über die relevanten Angriffsvektoren.
• Ich teile einen MSN-Artikellink ohne Datadome-Skript und einen Link zur Textversion.
  (Erstaunlicherweise liefert Microsoft das über HTTP aus.)
  • Ich frage mich, warum es hier einen Rückfall von HTTPS auf HTTP gab.
• Die Telekomunternehmen wollen nicht, dass sichtbar wird, welche Backdoors sie gebaut haben und wie schlecht sie sie verwalten.
  Nicht nur Mobilfunkanbieter, auch Heim-ISPs wie Comcast, Cox und Charter sind sogar noch deutlich inkompetenter. Ich habe das bei mehreren Unternehmen aus erster Hand erlebt.
• Dieser Vorfall ist ein Beispiel dafür, wie die USA autoritäre Politik zu kopieren versucht und dabei gescheitert ist.
  Ohne China bei Sicherheit, Überwachung und technischer Leistungsfähigkeit einholen zu können, schwächt das Land stattdessen nur seine eigene innere Stabilität.
  Wirtschaftliche Schwierigkeiten und Massenentlassungen beschleunigen den Brain Drain, was Chinas technologischen Vorsprung in einem Teufelskreis noch weiter stärkt.
  • Die aktuelle Lage fühlt sich fast so an, als hätte sich der Kalte Krieg zwischen den USA und der Sowjetunion umgekehrt.