26:e(!) CCC-konferensen (26C3) pågår för fullt i Berlin med massor av högintressanta presentationer. Någon har uppenbarligen tipsat SvD (eller mer troligt är det denna NYT-artikel dom plockat, en artikel med något mer innehåll) att Karsten Nohl presenterat sin regnbågsattack på GSM-kryptot A5/1. (Att Karsten Nohl håller på med en regnbågsattack mot A5/1 har jag tidigare bloggat om här på Kryptoblog.)

SvDs artikel GSM-kod knäckt av tysk forskare innehåller inte mycket substans och missar att A5/1 varit knäckt sen lång tid tillbaka, och att Karsten försöker folk att inse detta. Vidare hänvisar man till GSM-organisationen med säte i London, vilket borde vara GSM Association (GSMA). En person där uttalar sig om att det Karsten presenterat är olagligt. (Tyvärr kan det vara sant – iaf kan Karstens regnbågstabeller vara olagliga i Tyskland där lagen §202c gör säkerhetsverktyg olagliga.)

Tittar man på A5/1-projektets Trac-sida finns presentationsbilderna från 2gC3 och projektnyheter. Bland annat berättade man att:

* The community has computed a large number of rainbow tables (Thank you!)

* We found new sources of known plaintext which allows decryption with a smaller subset of the codebook than previously thought

* A full GSM interceptor to collect GSM data could hypothetically be built from open source components, which we have not doing so may be illegal in some countries

JanJ tipsade om att Cryptome har en sida med länkar och info från gamla attacker på GSM-krypton.

Slutligen kan det vara värt att nämna att det verkar som att KASUMI – blockkryptot som används i UMTS och kallas A5/3 kan vara fetknäckt. På en rump session vid Asiacrypt 2009 presenterade Adi Shamir, Orr Dunkelman och Nathan Keller ett pågående arbete kallat A Practical-Time Attack on the Encryption Algorithm Used in Third Generation Telephony.

Ännu finns ingen artikel publicerad (vad jag kan hitta, ex på IACR), men räkna med att jag återkommer så fort jag hittat och läst den. Det ironiska är att det Karsten Nohl säger sig villa åstadkomma med sin A5/1-attack är att få till ett byte från A5/1 till A5/3, men om den algoritmen också är knäckt står vi alla med byxorna nere.

Så vitt jag vet är kryptofunktioner som A5/1 och A5/3 implementerade som HW-funktioner i terminaler. Vidare finns det ingen förhandlingsmekanism i GSM och UMTS motsvarande ex TLS som gör det enkelt att spärra bort och lägga till nya algoritmer. Tillsammans gör detta att det nog kommer att dröja innan det finns ett bra skydd för radiolänken i GSM och UMTS (om Adi & co:s attack stämmer – och eftersom det är dom stämmer det antagligen.)