En ny rapport, der handler om sikkerheden i to gamle krypteringsalgoritmer, der er lige så gamle som 2G-netværket, har sendt chokbølger gennem det internationale cybersikkerhedssamfund.
Rapporten, der er udarbejdet af europæiske forskere, kortlægger hvordan sårbarheder i de to krypteringsalgoritmer kan udnyttes til spionage af telefonens internettrafik.
Det skriver Vice
Algoritmerne stammer helt tilbage fra 1990'erne og 2000'erne, og forskerne bag rapporten mener, at den matematiske sandsynlighed for at sårbarhederne er opstået ved en fejl er meget lille.
Sagt med andre ord: Ssårbarhederne var plantet i algoritmerne med vilje.
De to algoritmer med hver sin sårbarhed hedder GEA-1 og GEA-2, og de blev brugt i mobiltelefoner da teleindustrien, tilbage i 2G-netværkets tid vedtog GPRS-standarder.
I forsøget på at klarlægge, hvor sandsynligt det var, at nogen havde plantet sårbarhederne, har forskere forsøgt at designe en lignende krypteringsalgoritme ved hjælp af en talgenerator, der genererede tilfældige numre.
Men under eksperimentet, konstaterede forskerne, at "i en million forsøg kom vi ikke engang tæt på en så svag instans."
Dermed kunne de graverende sårbarheder kun være plantet.
Dette har har den arbejdsgruppe, der designede algoritmerne, efterfølgende bekræftet. Men, der var en grund, fortæller en talsmand for European Telecommunications Standards Institute (ETSI), der designede GEA-1-algoritmen.
Vedkommende indrømmede, at algoritmen indeholdt en svaghed, men sagde, at den blev indført, fordi eksportbestemmelserne på det tidspunkt ikke tillod stærkere kryptering.
"Vi fulgte regler: Vi fulgte eksportkontrolbestemmelser, der begrænsede styrken af GEA-1," skriver vedkommende i en mail.
Svagheden i GEA-1, der blev udviklet i 1998, er, at den kun giver 40-bit sikkerhed.