Allt fler av Huaweis anställda i västvärlden arresteras och Huawei-utrustning för det kommande 5G-nätet förbjuds i flera länder. Men vad skulle en mobilnätsleverantör kunna ställa till med, egentligen?

Huawei-anställda i Polen och Kanada har arresterats, anklagade för ekonomiska oegentligheter och spioneri, medan Danmark har utvisat två anställda som varken hade uppehålls- eller arbetstillstånd. Exakt vad de har gjort får vi sannolikt aldrig veta.

Huaweis utrustning har förbjudits i Australien, Frankrike, Japan, Kanada, Norge, Nya Zeeland och USA. I Storbritannien har British Telecom börjat plocka bort utrustning och Tyskland och Tjeckien har uppmanats att följa efter, men har inte gjort det ännu (jan 2019). Sverige funderar på saken (feb 2019). Detsamma verkar gälla ZTE som också tillverkar en stor del av all världens mobiltelefoner. Företaget Huawei menar att de inte har några kopplingar till kommunistpartiet = staten, men ändå har sagda parti reagerat med stor ilska och har mot-arresterat en kanadensisk medborgare och dömt honom till döden (jan 2019).

MUSTs chef Gunnar Karlson säger ”som kinesisk lagstiftning ser ut är kinesiska företag skyldiga att hjälpa de kinesiska underrättelse- och säkerhetstjänsterna om de vill det. Det innebär naturligtvis risker när man gör affärer med den typen av företag, som man måste ta hänsyn till”. Den mannen vet tyvärr vad han pratar om.

75 procent av all världens mobiltelefoner och 90 procent av persondatorerna tillverkas i Kina. 2015 blev det klart att en kinesisk moderkortstillverkare hade satt in en liten extrakrets i sina serverprodukter som gav ”någon” fullt tillträde till maskinen utan att det märktes i övrigt. De komprometterade moderkorten såldes till amerikanska Supermicro som byggde in dem i servrar som hamnade hos 30 amerikanska företag, däribland Amazon och Apple, en bank och hos DoD och försvaret. Påstår FBI.

Sådana ”supply chain compromises” hotar hela det västerländska samhällets säkerhet. Problemet kan inte åtgärdas på något enkelt sätt.

I förlängningen öppnar man för att främmande makts signalunderrättelsetjänst är inne i nationell telekommunikation och kan avlyssna allt vi säger.

Vet inget, hör inget, ser inget

Bild: Trip Advisor

Vi lever praktiskt taget i våra mobiltelefoner idag. Ingen kan tänka sig att vara utan sin telefon. E-brev tas emot och sänds via telefonen och den mesta information vi överför, går över mobilen. Väldigt få tänker på vad de skickar över mobilen och vem som skulle kunna vara intresserad av det, utöver mottagaren? Många, tyvärr.

Väldigt få har någon uppfattning om IT-säkerhet över huvud taget. Särskilt inte svenska politiker. Skolan undervisar inte om det och samhället i övrigt fungerar som ett glatt leende på en mobilskärm och en glad tumme som sveper över skärmen. Eftertanken är noll.

Tre vägar in

Vad skulle en tillverkare av nätverksinfrastruktur, nära knuten till en totalitär stat med en önskan att ta över världen, kunna göra för att skaffa sig en fast ankarposition i ett land? Det finns tre vägar in i landet fördelat på nätverksinfrastruktur och handapparater, vilka alla dessutom kan säljas till ett väldigt fördelaktigt pris. De kan förses med program som läcker vitala uppgifter om användarna och nätet.

Handapparaterna kan lämna ut information om användaren, som position, namn, kontakter, vänner på sociala media, lagrade lösenord, bilder från kameran, ljud etc.
Basstationerna kan positionera telefoner, lagra på sig information om samtalen och avlyssna tal och SMS. De kan logga vilka telefoner som finns i närheten, logga kryptonycklar, logga telefonernas IMSI- och ESN-nummer, fånga mejl och bilder och användas till sabotage i största allmänhet.
Central utrustning håller nätet igång och om den elake tillverkaren byggt in lämpliga trojaner i servrarna kan denne lamslå nätet utan att operatören kan ingripa.

När tillverkaren får tag i vår information kan denne lätt bilda sig en uppfattning om hur infrastrukturen är uppbyggd och hur den ska kunna utnyttjas för informationsstölder, eller för att lamslå landet.

Kom ihåg att jag inte alls har sagt att det här har hänt, eller att något av företagen är skyldiga. Jag bara säger att möjligheten finns!

Det kan ju vara som Huawei säger, att de inte alls är infiltrerade av Folkets Befrielsearmé.

Bring your own disaster

Även om ett företags IT-avdelning faktiskt råkar ha koll på säkerheten och har förbjudit de anställda att använda andra än företagets datorer på företagets nät och företagets telefoner för arbetsprat, så lurar BYOD runt hörnet. Företagets utrustning kanske bara ger åtkomst till företagets egen app-butik, data är krypterat och all kommunikation sker via VPN.

De anställda tycker att säkerhetsrutinerna är för krångliga, struntar i IT-säkerheten och använder sina privata telefoner ändå. Går det inte att nå Internet på det interna trådlösa nätet, kör man på mobilnätet. Är det för svårt att skicka arbetsdokument via det interna nätet, fotograferar man dem och skickar dem med den privata telefonen eller ansluter datorn till mobilnätet med LTE-dongle. Folk vill helt enkelt leka med Facebook på arbetstid, porrsurfa, läsa nyheter och plocka hem trojaner.

Det finns inget som företaget kan göra åt det. Trådbundna lokala nätverk är såå ute 2019.

Appar

Alla telefoner som säljs idag är fulla av sk bloatware, en massa onödiga tillbehörsprogram som inte går att avinstallera. Operativsystemet Android blir allt komplexare och att en enskild, icke-tekniker skulle kunna ha full kontroll över vad alla appar gör i telefonen är osannolikt.

Tyvärr finns en avgörande risk att någon av apparna faktiskt gör något osannolikt, som att skicka data vidare till tillverkaren. Sådant upptäcks hela tiden.

Stopp och gisslantagande

Om samme tillverkare har gjort både mobilbasstationerna, tillhörande routrar och nätverksutrustning, radiolänkar och central utrustning i Mobile Switching Centre, har denne också full kontroll över utrustningens drift. Det kanske inte är uppenbart för den svenske ägaren, men så är det likafullt.

Så plötsligt har en svensk politiker talat illa om den totalitära staten, som vill hämnas. En dag slutar mobilnätet att fungera och landet lamslås. Inga telefoner fungerar, oavsett fabrikat. Kraftnätets ställverk kan inte nås. Larm slutar larma. Polisen kan inte kommunicera (för att de slutat med Rakel). Ett meddelande dyker upp hos operatören:

Betala 1234567 kronor i Bitcoin, annars slår vi inte på nätet igen. Och tala inte illa om vårt land igen.
Mvh Den Totalitära Staten.

Nej, men det kan väl inte hända?

När operatören har betalat, börjar nätet fungera igen. Men tar den otäcke tillverkaren bort sin trojan? Nej. Det skulle vara dumt. Det är alldeles för lönsamt att ha den kvar.

Nätet inte krypterat

Men är inte mobilnätet krypterat? Det har man ju hört? Det är det, men kryptot är enkelt och basstationen kan tvinga bort kryptot, utan att användaren märker det. Telefonen borde givetvis larma om det sker, men eftersom det är samme tillverkare som gjort telefon och basstation, händer givetvis inte det.

Och även om det skulle visas en liten skylt om att kommunikationen är osäker skulle gemene man inte fatta allvaret. ”Jag vill ju bara ringa till kompisen på jobbet. Och det ska vara nu, för just nu sitter jag fast i bilkön.”

Spoofade basstationer eller sk IMSI-catchers, alltså falska mobilbasstationer som lockade till sig mobilsamtal för att suga ut det göttaste och sedan skicka samtalet vidare till det riktiga mobilnätet, var populära ett tag. De verkar inte ha fått någon större spridning i samhället, men det behövs inte om den onde tillverkaren ändå har full kontroll över basstationer och infrastruktur.

För att kunna veta exakt vilken telefon som ringer, behöver man veta dess IMSI- och helst också IMEI-nummer. Det är en lätt match om samme tillverkare också tillverkat och sålt telefonen.

Man bör tänka som Jon Karlung, vd för Bahnhof, internetoperatör med säkerhets- och integritetsprofil. Han understryker att privatpersoner, myndigheter och företag bör utgå från att Internet per definition är osäkert – om man inte skyddar sig.

Farliga läckor

Rör det sig om viktiga telefonpratande personer inom statsapparaten eller försvaret kan informationen vara av sådan art att det är skadligt för rikets säkerhet om den kommer ut.

När tillverkaren fått tag i informationen går den direkt till den totalitära statens säkerhetstjänst, som pusslar ihop alla bitarna och kan bygga upp en bild av hur statsledningen och försvaret är sammansatt, vilka som arbetar var och vilka deras närmaste medarbetare är. Positionsdata ger uppgifter om var militärförbanden finns osv. Användaren kan mycket väl ha stängt av GPS-mottagningen i apparaten, tror denne, men den kan vara på ändå. Alternativt kan basstationerna positionera telefonen ganska väl utan GPS.

Avsikten är naturligtvis att skaffa sig långsiktig tillgång till värdefulla företagshemligheter och känsliga nätverk inom staten, försvaret och landets infrastruktur.

IoT

Sakernas Internet är den nya skräcken, särskilt som man räknar med att alla de nya IoT-sakerna ska kopplas mot Internet via 5G-nätet. Vad vi ska med internanslutna diskmaskiner och brödrostar till är det ingen som vet, men vi ska ha dem! Internetanslutna kameror i hemmet och på arbetsplatsen (övervakningskameror, smarta TV-apparater, Chromecast, bebisövervakare, apparater med talförståelse etc) saknar det mest grundläggande skydd mot intrång från Internet, helt enkelt för att det är för dyrt för tillverkaren att satsa på säkerhet. Och eftersom köparna ändå inte bryr sig om säkerhet, så varför kasta ut pengar på det i onödan? Folk köper ändå. Frivilligt.

Om ett flertal tillverkare i den totalitära staten samverkar kring detta, skulle de kunna få full insyn med bild och ljud i snart sagt vartenda hem och företag, bara konsumentpriset är det rätta. Och det går att ordna.

Resultat

– Käre unge ledare, har ni påbörjat det militära angreppet på Sydkorea?
– Oj, jag trodde det var ett datorspel!

Bild: Markus Szyszkowitz, CC BY-SA 3.0

Om den totalitära staten har skaffat sig information om landets infrastruktur och militära uppbyggnad, nyckelpersoner, militärbasernas placering och beväpning, flygvapnets tillstånd, hur kraftnätet styrs, styrningen av vatten och avlopp mm, skulle denne kunna:

Använda uppgifterna till utpressning, ekonomisk eller politisk.
Använda uppgifterna till att förstå hur Sverige kommer att ställa sig i olika politiska frågor.
Använda uppgifterna till att ta över landets resurser för egen del.
Använda uppgifterna för att placera egna nyckelpersoner på viktiga ställen.
Använda uppgifterna för att infiltrera innovationsföretag eller försvar.
Använda uppgifterna till att spionera på regimkritiker och förhindra att de kan kommunicera.
Använda uppgifterna till att ställa sig in hos politiker för att få viktiga uppdrag, såsom byggen av hamnar eller gasledningar.
Använda abonnenternas bankuppgifter till stöld.
Använda abonnenternas identitet till att sprida falsk propaganda på sociala media.
Sälja uppgifterna till en tredje totalitär stat som vill ta hand om Sverige.

Motmedel

Sectra Tiger/S. Bild: Sectra

Det enda som gäller för den som vill prata hemligt, vilket egentligen borde gälla alla, är att skaffa en telefon från Sectra i Linköping. Deras Tiger-telefoner (”Tiger som muren”) är end-to-end-krypterade och skickar bara krypterat taldata över mobilnätet. Då spelar det ingen roll om basstationerna snokar på dataströmmen för den är redan starkt krypterad. Sectra tillåter inte heller att användaren installerar några tredjeparts-appar.

Sectras produkter är så bra att de klassats av NATO och EU på nivå SECRET och HEMLIG av det svenska försvaret.

Men det hindrar ändå inte telefonen från att positioneras av basstationerna. Om den onde tillverkaren har kontrollen över MSC kan denne ändå se vem samtalet kom ifrån och vart det gick.

Ibland kan det räcka med information om att ett samtal skett och var abonnenten befann sig och inte nödvändigtvis exakt vad som sades. Så kan det till exempel vara inför en militärmanöver eller en attack från säkerhetspolisen, när den totalitära staten kan behöva skydda sina infiltratörer. Om alla de här ”kända” telefonerna finns i närheten kan det vara dags för agenterna på ambassaden att ta skydd. Händer det ofta, kan det vara dags att lämna landet eller byta identitet. Kommer någon av de ”kända” telefonerna in på ambassaden kan det vara läge att ta fram kirurgverktygen.

VPN, då?

Räcker det inte med att installera ett VPN i en helt vanlig telefon, som krypterar utgående tal- och datatrafik? Om telefonens infrastruktur redan är komprometterad ger det inget som helst skydd. VPN kräver en krypteringsnyckel och den kan telefonen lagra någonstans och skicka vidare. Och innan data krypterats måste det finnas i klartext. Om minnet som lagrar klartexten är komprometterat, är informationen röjd.

Det duger bara med Sectras telefoner med en ”röd” ogenomtränglig krypterad del och en ”svart” publik del.

Andra tjänster som kan komprometteras

Incidenten med Transportstyrelsens molnflytt till diverse balkanländer visar att många andra tjänster kan vara komprometterade. Media rapporterade 2017 att Transportstyrelsens tidigare generaldirektör, Maria Ågren, hade fått ett strafföreläggande och att hon, sedan hon lämnat sitt uppdrag i januari samma år, hade brottsutretts för att ha röjt sekretessbelagda uppgifter som hotade rikets säkerhet. Drygt en vecka senare tilltog medias granskning då det framkom att i stort sett hela Transportstyrelsens IT-miljö hade gjorts tillgänglig för icke säkerhetskontrollerad personal. Väldigt mycket i systemen bedömdes vara skyddsvärt. Inget i databasen var krypterat.

Databaserna befinner sig eventuellt redan hos tredje land. Jag säger inte att det är så, bara att det är möjligt.

Är det någon som bryr sig om det? Egentligen inte, för dumheterna fortsätter.

Vad gör vanliga människor när de får reda på att telefonledningen inte är säker? De pratar vidare ändå. Det finns inget alternativ, just där och då. De vet inte hur man skaffar en annan kommunikationskanal. Det lilla jag har att säga kan väl inte vara så viktigt ändå?

Det andra problemet är att inte heller politiker fattar att det är ett problem. Alla tekniska problem som är svårare än att logga in på Facebook är för svåra för nutidsmänniskan. Här gäller åtgärden ”klicka bort” och får man ett besvärligt felmeddelande i telefonen, eller i Windows, är det samma avvärjande reaktion som gäller: klicka OK så det försvinner.