Sicherheit beim Garagentor

[ThorstenGehrig]

Makki, ich kann dich beruhigen, das faken der Network provided number ist ohne Zugriff auf die Vermittlungstechnik selbst unmöglich.

Hi Bojo7,
definiere bitte "Vermittlungstechnik"?
Mit einem Asterisk-Server und einem passenden SIP/IAX-Provider kommt man da manchmal schon verdächtig nahe an "interne" features.
Z.B. ist es damit auch möglich einen "Custom Ringtone" (aka. Vodafone Ring-Up-Tone - also ein eigener Rufton z.B. mit Musik hinterlegt) zu generieren.
Währenddessen kann man auch schon hören/aufzeichen was der A-Teilnehmer sagt während es noch klingelt (und noch KEINE gebührenpflichtige Verbindung zustanden gekommen ist)... alles auch schon in der CT nachzulesen - also kein wirkliches Insiderwissen.

Die digitalisierung in diesem Bereich hat ehemalige "sichere/kontrollierte" Zonen mancherorts gefährlich weit geöffnet - wobei auch früher war das ganze nicht sicher: siehe Captain Crunch

Gruß
Thorsten

[bojo7]

Makki, ich kann dich beruhigen, das faken der Network provided number ist ohne Zugriff auf die Vermittlungstechnik selbst unmöglich.
Egal was du in deinem Rufaufbau machst, die Network provided wird immer, ob du willst oder nicht, von der Vermittlungstechnik in die Signalisierung eingefügt, das ist ein fixes Feature bei der Anschlusskonfiguration, ohne dem (wenn nicht eingerichtet) kein aktiver Call möglich ist.
Von der Anschluss Seite also nicht beeinflussbar, als Operator kann man das natürlich anders konfigurieren, man denke nur an ISDN Serienschaltungen, wo die Serienleitung die Nummer der Kopfnummer (und nicht die eigene) als Network provided mitschickt! Dazu braucht man aber Zugriff und das Know How auf der Vermittlungstechnik.
Und hat man wirklich unauthorisierten Zugang dahin, hat man sowieso andere Absichten, Sorgen und Probleme. Der letzt große Vorfall war der Hack der Ericsson AXE in Griechenland (Hellasgate, Greek Watergate) um 100 Handys von Regierungsmitgliedern, Botschaftern usw abzuhören. Wer dahintersteckte weiß man bis heute nicht so genau, der Hack war in Plex geschrieben, die Programmiersprache der Ericsson Entwickler, muss also ein Insider gewesen sein.

[makki]

Das finde ich interessant speziell in einem Land wie Deutschland hätte ich das nicht gedacht.

Du wirst vermutlich lachen: ich auch nicht..

Nur aus reiner Neugier: Bist Du sicher dass es auch bei Hanni&Nanni geht (also bei allen andern), ud immer noch geht. Könnte ja sein dass nur ein Anschluss betroffen war oder es inzwischen gefixed wurde.

1) Ja, bin ich. Das wurde und kann nicht gefixed werden.. Daily business.. Maximal ein durchscnittlicher IT-Posten bei einem KMU reicht für "CLIP no-screening" (wo wir das Kind vorhin schon beim Namen hatten.. bedeutet: der Anrufer kann die User-provided CLI setzen, auf was er will..)
2) (eingeständniss!) natürlich könnte ich das jetzt leichter als Hanni oder Nanni machen (ich darf es zwar trotzdem nicht und weiss das auch ganz gut- und ich setzte das auch nur ein, wenn es jemand absolut nicht glauben mag)

Letztlich würde ich soweit gehen, das das fälschen der Network-provided CLI auch nur eine Frage des Aufwandes ist.. (die dann bis auf 15 SS7 Spezis keiner mehr zurückverfolgen kann)

Ja das darf man wirklich nicht, das steht in Absatz 2 von 66j im TKG, was ich nicht gequoted hatte weil es kriminelle eh nicht kratzt.

Eben, wenn ich als Verbrecher Garagen oder Häuser aufmache kümmert mich aber weder das StGB noch das TKG

Das ist halt wie immer, die kleinen haben mehr zu verlieren.

Das wirds vermutlich sein Ich kenne das TKG&Co auch nur so genau, weil ich mir keins zwischen die Lichter geben lassen kann, werde & will..

Makki

[ThorstenGehrig]

beim mittlerweile 4. Telko Provider und hatte schon einige solche Fälle aufzuklären nach polizeilicher Anfrage. Irgendeine Spur gibt's immer.

@Bojo:... deine Telcos waren aber immer in D, oder?
... einer der beliebten VoIP-Anbieter die so was unterstützen sitzt in Canada. Selbst wenn man seine Spuren nicht verwischt hat - bezweifle ich die Kompetenz und das Engagement der deutschen Strafverfolgungsbehörden die Spur bis nach Canada und weiter zu verfolgen.

@Admins: kann mal jemand diesen "Clip-No-Screen-Thread" von dem Ursprünglichen "wie mache ich die Garage sicher"-Thread abkoppeln.
@Hartwig: sorry - das Thema hat deinen Threat wohl vollkommen gekapert
Um vielleicht zum Thema zurückzukommen: @Hartwig: hast du für dich schon einen Lösungsweg überlegt?

Gruß
Thorsten

[bojo7]

Das das mit einem Handy nicht unbedingt was zu tun hat ist mir schon klar, ich meinte nur wenn das so einfach wäre würde ich ein Prepaid Handy nehmen, den gefakten Call durchführen und das Handy dann entsorgen, da würden dann wirklich keine Spuren bleiben. Selbst die original Rufnummer würde da nichts mehr helfen, weil das Handy bereits zb in der Donau versenkt ist.

Auch mit deiner Lösung bist du rückverfolgbar, du mußt den Call ja irgendwie ins öffentliche Netz wo der Gerufene lebt übergeben. Dh irgendwo hast du eine Zusammenschaltung und über die plus gewählte Nummer plus ungefähre Uhrzeit bist du greifbar!

Ich arbeite jetzt seit über 10 Jahren im Core Netz (TDM und VoIP) Bereich beim mittlerweile 4. Telko Provider und hatte schon einige solche Fälle aufzuklären nach polizeilicher Anfrage. Irgendeine Spur gibt's immer.

Edith sagt: Mit solchen Fällen meine ich nicht Clip no Screening Missbrauch um ein Garagentor zu öffnen, das ist mir noch nicht untergekommen, eher Gebührenbetrug, Drohung, usw

[ThorstenGehrig]

... schon garnicht bei den in diesen Kreisen beliebten Prepaid Teilnehmern!

Zusammengefasst würd ich sagen es gibt größere Sicherheitslücken als Clip no Screening!

Ja - es gibt größere Sicherheitlücken - aber einen einen Anrufer mit einer Handynummer zu Simulieren hat nichts mit einem Handy zu tun. Den Anruf kann ich von jedem beliebigen Telefon initieren - nicht zurückverfolgbar auf den Ursprünglichen A-Teilnehmer (Einwahl mit "meinem" Telefon in ein dafür präparierten Call-Through-VoIP-Server - eingeben der gewünschten A-Rufnummer mit MFV - Zielrufnummer hinterher - fertig).

Okay - ich schätze das Risiko als niedrig ein - weil die meisten Einbrecher wohl nicht diese IT-Kentnisse haben - und wenn doch - dann Brechen Sie woanders ein :-)

Mein Tor - gestern Eingebaut - wird zukünftig per Handy mit A-Teilnehmer-"Authentifizierung" geöffnet (KNX fehlt noch in der Garage - Garage hat keinen Zugang zum Haus).

Wer aber diesen Security-Mechanismuss (Handyanruf) nutzen möchte - und die Sicherheit erhöhen will - kann ja per Anruf einen Callback auf eine Programmierte Nummer aktivieren... - das würde vielleicht die Security erhöhen :-)

Gruß
Thorsten

[bojo7]

Clip no Screening oder UPCPN wird im Normalfall nur gegen Gebühr und schriftlichen Auftrag im Festnetz freigeschaltet. Im mobilnetz wird's meines Wissens garnicht gemacht, schon garnicht bei den in diesen Kreisen beliebten Prepaid Teilnehmern!
Zusätzlich wird bei jedem Call, auch bei denen mit user provided calling party number im der Signalisierung immer die Anschlussnummer (Network provided party number) mitübertragen, dh der Netzbetreiber weiß auf jeden Fall von welchem Anschluss der Call kommt, das schon alleine aus Eigeninteresse um den Call verrechnen zu können!
Komplizierter wird's wenn Calls aus dem Ausland kommen, hier kommt die Network provided nicht immer mit, dh der Betreiber des Angerufenen kann eventuell nicht sagen, woher der Call wirklich kommt. Hier muss man dann den Provider woher der Call kam um Hilfe ersuchen, denn der Har sie sicher, wie gesagt schon aus Eigeninteresse.
Zusammengefasst würd ich sagen es gibt größere Sicherheitslücken als Clip no Screening!

[Gaston]

Ich werde mal ausprobieren wie's mit der Sicherheit diesbezüglich in Luxemburg aussieht

Gerade getestet, bei uns geht es beim grössten Anbieter wohl nicht. Wenn ich eine andere Nummer benutze wird meine Hauptanschlussnummer benutzt.

Allerdings gibt es soweit ich weis den Service "CLIP no-screening" bei uns eh nicht.

Gruss,
Gaston

[Gaston]

Das stimmt, ich kenne das TKG und interpretiere diesen Abschnitt auch ebenso wie er geschrieben.
Das ist nur leider nicht die Realität, weil ich (aus zufall/spass-test) nunmal weiss, das Hanni&Nanni bei "ganz bekannten" Anbietern als User-provided CLI senden können, was sie wollen.

Das finde ich interessant speziell in einem Land wie Deutschland hätte ich das nicht gedacht. Aber es bestätigt das was ich gesagt habe: Nicht sicherheitsspezifische Aspekte an Dritte abgeben

Nur aus reiner Neugier: Bist Du sicher dass es auch bei Hanni&Nanni geht (also bei allen andern), ud immer noch geht. Könnte ja sein dass nur ein Anschluss betroffen war oder es inzwischen gefixed wurde.

Ich werde mal ausprobieren wie's mit der S>icherheit diesbezüglich in Luxemburg aussieht

Ich rufe Dich - Einverständniss vorausgesetzt (weil man darf das ja nun IMHO wirklich nicht! das interessiert kriminelle aber evtl. auch garnicht) - gern mit Deiner eigenen Nummer oder einer von den Cayman Islands an (da wär ich aktuell eh lieber statt Schneeschippen)

Ja das darf man wirklich nicht, das steht in Absatz 2 von 66j im TKG, was ich nicht gequoted hatte weil es kriminelle eh nicht kratzt.

Lustigerweise, die ganzen "kleinen" Voip/SIP-Provider halten sich penibelst daran und setzen das technisch mögliche um.. Aber was hilft das wenn es an einem Anschluss von der Oberpostdirektion trotzdem geht

Das ist halt wie immer, die kleinen haben mehr zu verlieren. Aber gerade in diesem Fall wundert es mich schon, dass es so ist.

Gruss,
Gaston

[makki]

OT..

Das ist alles andere als schwammig.

Das stimmt, ich kenne das TKG und interpretiere diesen Abschnitt auch ebenso wie er geschrieben.
Das ist nur leider nicht die Realität, weil ich (aus zufall/spass-test) nunmal weiss, das Hanni&Nanni bei "ganz bekannten" Anbietern als User-provided CLI senden können, was sie wollen.
Ich rufe Dich - Einverständniss vorausgesetzt (weil man darf das ja nun IMHO wirklich nicht! das interessiert kriminelle aber evtl. auch garnicht) - gern mit Deiner eigenen Nummer oder einer von den Cayman Islands an (da wär ich aktuell eh lieber statt Schneeschippen)

Lustigerweise, die ganzen "kleinen" Voip/SIP-Provider halten sich penibelst daran und setzen das technisch mögliche um.. Aber was hilft das wenn es an einem Anschluss von der Oberpostdirektion trotzdem geht

Makki

[Gaston]

Danke @swiss, sind beides sehr gut gemachte Dokumente.

[swiss]

Full ACK @swiss (Nette Grafik, kanns du die Quelle (link) posten (Thread oder PM)).

Die Statistik wurde von der Schweizerischen Kriminalprävention auf grundlage der Polizeiberichte veröffentlicht. Die schöne Grafik ist aber aus dem Prospekt eines Fensterherstellers

-> Hier <- der Link.

Auch interessant zum Thema Sicherheit ist der offizielle Flyer der Polizei.

-> Hier <-

[Gaston]

Soft-Authentikatoren auf Smartphones sind nicht sooo sicher, weil dafür die geheime Seed auf das Handy zu kopieren ist und damit prinzipiell kompromitierbar ist.

Ich weis zwar dass dies hier kein wissendschaftliches Forum für Sicherheit ist, aber dass sie Seed auf dem Handy kompromitierbar ist ist sicherheitstechnisch irrelvant.

Ich weis das klingt verblüfend. Sicherheit ist im Gegensatz zu den meisten andern Disziplinen (wie z.B. Heizungsregelung ) eine rein wissenschaftliche (theoretische) Disziplin. Was nicht ausschliesst dass man später in der Praxis eine Wahl treffen muss. Geht man pragmatisch an eine Sicherheitsbewertung heran kommt es in den meisten Fällen zu Fehleinschätzungen da man von "statischem Wissen" anstelle von "dynamischen Wissen" ausgeht.

Die Komprimtierung des Seeds als problematisch anzusehen führt dazu die Sicherheit vom ganzen System als "securty by obsucrity" einzustufen und somit sicherheitstechnisch abzuwerten. Somit wäre aber das "System" abgewertet, nicht der Fakt dass es sich auf einem Handy befindet.

Und ab hier wirds dann richtig kompliziert und würde alles an OT sprengen was es hier jemals gegeben hat :-) ... Also belass ich es dabei.

Gruss,
Gaston

[StefanW]

1. Tokken gehören streng genommen nicht zu den Dingen die man weiss sondern zu den Dingen die man besitzt. Meistens ist das entweder ein Hardwaretokken den man an den Schlüsselanhänger machen kann oder es ist ein Softwaretokken den man z.B. in Form einer App auf sein Mobiltelefon laden kann.

Richtig! Den Authentikator (Token) besitzt man und demonstriert den Besitz durch Angabe des angezeigten Tokencodes. Daher ist dieser ja auch mit einer PIN (die man persönlich kennt) zu kombinieren.

Wir vermieten solche Authentikatoren bereits zu tausenden an unsere Kunden inkl. Authentifizierungsservice. In Kürze gibt es das auch für das Wiregate Multifunktionsgateway, z.B. für VPN / Reverse-proxy.

Theoretisch wäre das auch als "Wechselcode" für eine Türöffnung geeignet, allerdings glaube ich nicht, dass sich jemand die Mühe machen will, bei jeder Garagenöffnung seinen am Schlüsselbund befindlichen Authentikator herauszukramen, die Nummer abzulesen und - zusammen mit einer PIN - über Handy / Bluetooth-Fernbedienung an die Garagentüröffnungelektronik zu senden, aber sicher wärs.

Soft-Authentikatoren auf Smartphones sind nicht sooo sicher, weil dafür die geheime Seed auf das Handy zu kopieren ist und damit prinzipiell kompromitierbar ist.

LG

Stefan

[Gaston]

Sorry für OT

aber das ist gesetzlich ziemlich extrem schwammig (wir sind Teilnehmernetzbetreiber..) und in der Realität noch schlimmer.
Bei uns kann das vielleicht keiner, bei fast allen grossen Telcos können das - sogar in DE aber auch Hanni&Nanni (Endkunden meine ich!); die User-Provided CLI ist wie bereits geschrieben: Schall&Rauch.

Makki

Naja, schwammig ? Ich weis nicht:

Paragraph 66j des TKG besagt für Netzbetreiber:

Anbieter von Telekommunikationsdiensten, die Teilnehmern den Aufbau von abgehenden Verbindungen ermöglichen, müssen sicherstellen, dass beim Verbindungsaufbau als Rufnummer des Anrufers eine vollständige national signifikante Rufnummer übermittelt und als solche gekennzeichnet wird. Die Rufnummer muss dem Teilnehmer für den Dienst zugeteilt sein, im Rahmen dessen die Verbindung aufgebaut wird. Deutsche Rufnummern für Auskunftsdienste, Massenverkehrsdienste, Neuartige Dienste oder Premium-Dienste sowie Nummern für Kurzwahl-Sprachdienste dürfen nicht als Rufnummer des Anrufers übermittelt werden. Andere an der Verbindung beteiligte Anbieter dürfen übermittelte Rufnummern nicht verändern.

Das ist alles andere als schwammig.

Gruss,
Gaston