• XCell Technologies

WENN VERSCHLÜSSELUNG NICHT AUSREICHT: ULTRA-SECURE-MESSAGING



SMS-VERSCHLÜSSELUNG NEU DEFINIERT


Eine revolutionäre Innovation: Multi-Layer Security Protocol - MLSP® von XCell Technologies

Echte Ende-zu-Ende-Verschlüsselung und Echter Schutz


Wenn Sie entweder superwichtig, superparanoid oder ein Superspion sind, gibt es Zeiten, in denen Sie in der Lage sein müssen, ein Mobiltelefon zu benutzen ohne Spuren zu hinterlassen oder jemandem eine Chance zu geben, Ihre Anrufe und Textnachrichten abzufangen, einschließlich Strafverfolgungsbehörden und Geheimdienste.


Sicher = Verschlüsselung? Nun, denken Sie nochmal nach...


Heutzutage sind die meisten Menschen von Abhörproblemen betroffen, auch wenn sie sich dessen nicht bewusst sind. Ganz zu schweigen von sogenannten "Off-Air-GSM-Abhörsystemen" oder auch "IMSI-Catchern", "GSM-Interceptoren" oder "StingRays". Seit 2014 ist bekannt, dass mit dem veralteten SS7 (Signaling System No. 7)-Protokoll SMS-basierter Datenverkehr leicht abgefangen werden kann, indem durchmesserbasierte Netzwerke unabhängig vom Geräte- oder Betriebssystemtyp verwendet werden. Schwachstellen im Signaling System No. 7 können auch von Hackern leicht ausgenutzt werden, da es sich um ein 50 Jahre altes Protokoll handelt, das wahrscheinlich Teil eines Großteils der Mobiltelefone und Textnachrichten auf der Welt ist.

Im Allgemeinen glauben die meisten Nutzer, die sich des Abhörens von Mobiltelefonen durch die oben genannten Technologien bewusst sind, dass die Verwendung von Verschlüsselungslösungen ihre Anrufe und Textnachrichten schützen wird. Ist die Verschlüsselung eine echte Lösung? Schauen wir mal...


Strafverfolgung, innere Sicherheit und andere verwandte Akteure verfügen über zahlreiche Methoden, um Nachrichten abzufangen und Textinhalte zu lesen, selbst wenn Verschlüsselung verwendet wird. Angefangen von SS7-Exploit, Verschlüsselungs-Hintertüren oder der absichtlichen Schwächung gängiger Verschlüsselungsalgorithmen bis hin zu legalem Hacking, welches die Verschlüsselung umgeht, und Hightech-Entschlüsselungstechnologie stehen ihnen alle zur Verfügung.


Verschlüsselung schützt Ihre Privatsphäre überhaupt nicht


Jüngste Schlagzeilen warnen davor, dass die Regierung jetzt mehr Befugnisse hat, Ihre Handys innerhalb und außerhalb der USA zu hacken. Schuld daran sind die als Regel 41 bekannten Änderungen der Strafgerichtsverfahren des Bundes. Sie erweitern erheblich, wie und wann das FBI legal Handys hacken kann. Aber genau wie die Hacking-Operationen der NSA ist das FBI-Hacking nicht neu. Tatsächlich hat das Büro eine lange Geschichte, in der es uns heimlich gehackt hat, seit zwei Jahrzehnten.


Hintertüren sind für die Strafverfolgung vorgesehen.


Verschlüsselungs-Hintertüren werden nach wie vor größtenteils als Schwächung des Schutzes für alle angesehen, um den Schutz für einige Leute bei seltenen Gelegenheiten zu gewährleisten. Infolgedessen werden Umgehungslösungen, wie sie das FBI gefunden hat, wahrscheinlich auch in Zukunft der häufigste Ansatz sein. In der Tat haben die Strafverfolgungsbehörden in den letzten Jahren ihre Hacking-Fähigkeiten stark erweitert.

Viele seriöse Verschlüsselungsentwickler und -unternehmen haben sich dafür entschieden, die Möglichkeit beizubehalten, die Inhalte ihrer Kunden zu lesen und zu verwenden, oder sie haben entschieden, dass es keinen ausreichenden Geschäftsgrund gibt, eine Ende-zu-Ende-Verschlüsselung oder eine benutzergesteuerte Verschlüsselung hinzuzufügen. Die verschlüsselten Inhalte ihrer Benutzer sind für die Strafverfolgungsbehörden leichter zugänglich, da sie die Entschlüsselungsschlüssel besitzen. Dieselben Unternehmen bieten ihre Dienste so an, dass die Verschlüsselung nicht ausschließt, dass sie die Inhalte auf einen Durchsuchungsbefehl hin an die Strafverfolgungsbehörden aushändigen können. Sind diese Dienste genauso sicher?


Lawful Hacking / Gesetzliches Hacken


Es hat sich gezeigt, dass die meisten nationalen Sicherheitsbehörden über immense Überwachungskapazitäten verfügen, die aktiv und massenhaft eingesetzt werden, insbesondere in den Ländern, in denen sich die Funktionen der Strafverfolgung und der nationalen Sicherheit überschneiden. Neben Verschlüsselungs-Hauptschlüssel und eingebauten Hintertüren, die den Strafverfolgungsbehörden einen außergewöhnlichen Zugang zu jedermanns Geheimnissen und der Privatsphäre ermöglichen, haben sie nun einen beispiellosen Zugang zu Informationen durch Open-Source-Intelligence, Sammlung von Metadaten, hochentwickelte Tools zur Verkehrsanalyse und Datenanalysealgorithmen. Viele lokale und internationale Gesetze schreiben Unsicherheit vor, indem sie den Zugriff der Regierung auf alle Daten und Mitteilungen verlangen, die rechtmäßiges Hacken ermöglichen (auch als Umgehung der Verschlüsselung bekannt).


Verschlüsselungsanbieter und Strafverfolgungsbehörden arbeiten zusammen, um das "Problem" des Zugriffs zu lösen. Eine vorgeschlagene Lösung ist der einseitige Informationsaustausch, bei dem die Hersteller die Strafverfolgungsbehörden auf ungepatchte Sicherheitslücken aufmerksam machen, so dass die Regierung (und jeder andere, der sie entdeckt) diese Schwachstellen nutzen kann, um Zugriff auf Kommunikation und Daten zu erhalten. Das ist ein furchtbarer Vorschlag - einer, der die Hersteller in die Schusslinie der Haftung bringt und eine weitere Schwächung der Geräte- und Softwaresicherheit fördert.

Mehrere Personen mit einem Hintergrund in den Bereichen Sicherheit und Systeme haben begonnen, mögliche technische Mechanismen zu erforschen, um der Regierung einen außergewöhnlichen Zugang zu ermöglichen.


Unser Ansatz in Bezug auf SMS-Verschlüsselung und -Schutz


Wir bei XCell Technologies meinen es ernst mit der mobilen Sicherheit und bringen Ihnen die fortschrittlichsten SMS-Sicherheitslösungen. Die Besorgnis über die Massenüberwachung durch die Regierung und ihre Fähigkeit, alles zu entschlüsseln, indem sie gegebene Hauptschlüssel, Hintertüren, rechtmäßiges Hacken oder effektive Entschlüsselungslösungen verwenden, waren die Faktoren, die uns dazu brachten, eine brandneue und 100% sichere SMS-Kommunikation zu entwickeln, die nicht nur eine starke militärische Verschlüsselung verwendet, sondern auch eine neue Sicherheitsebene hinzufügt, indem sie das GSM-Netz über MLSP® ausnutzt, um sicherzustellen, dass es keine Möglichkeit gibt, Textnachrichten oder Metadaten abzufangen, selbst im verschlüsselten Modus. All das übertrifft bestehende kommerziell verschlüsselte Apps, Dienste, Geräte und auch den Zugriff der Strafverfolgungsbehörden auf Ihre sensiblen Daten.

GSM bietet standardmäßig nur eine grundlegende Reihe von Sicherheitsfunktionen, um einen angemessenen Schutz für den Betreiber und den Kunden zu gewährleisten. Im Laufe der Lebensdauer eines Systems ändern sich Bedrohungen und Technologien, und so wird die Sicherheit hier bei XCell Technologies regelmäßig überprüft und geändert und dann auf unsere Produkte angewendet.

Unsere SMS-Verschlüsselungstechnologie nutzt die GSM-Netzwerkarchitektur und das SMS-Transportprotokoll und kann verschlüsselte und nicht abfangbare Nachrichten senden / empfangen.

Unsere SMS-Verschlüsselungsanwendung namens XCrypt verwendet eine bahnbrechende Multi-Layer-Technologie, um SMS vor dem Abfangen und Entschlüsseln zu schützen. Als einzigartige Verschlüsselungsanwendung verwendet XCrypt neben der starken militärischen Verschlüsselung eine brandneue patentierte Technologie, um verschlüsselte Nachrichten zu senden/empfangen: diskrete GSM-Kanäle oder Multi-Layer Security Protocol®. Das schützt nicht nur verschlüsselte Textnachrichten, sondern auch Metadaten, die nicht verschlüsselt sind.


XCrypt-Konzept. Ein Einblick in Techniken, die für 100 % sichere Textnachrichten verwendet werden


Definitionen


  • "A-Teilnehmer"-Telefon ist das Sendertelefon, das verschlüsselte Nachrichten über MLSP® sendet.

  • "B-Teilnehmer"-Telefon ist das Empfängertelefon, das die empfangene Nachricht entschlüsselt und anzeigt.

  • Klartextnachricht: eine Standard-Textnachricht, die von jedem gelesen werden kann. Kann ohne Aufwand abgefangen und gelesen werden.

  • Verschlüsselte Nachricht: eine verschlüsselte Textnachricht, die nur unter Verwendung des richtigen Kennworts gelesen werden kann. Kann im verschlüsselten Modus leicht abgefangen werden, kann aber nicht gelesen werden. Um die Nachricht zu lesen, ist ein Kennwort erforderlich.

  • Metadaten: Daten über Daten. SMS-Metadaten sind nicht verschlüsselt, da sie nicht im verschlüsselten Text selbst enthalten sind, aber Strafverfolgungsbehörden sammeln unverschlüsselte Metadaten, um die verschlüsselten Daten zu charakterisieren. SMS-Metadaten enthalten Daten über Absender, Empfänger, Nachrichtenkodierung (UTF8, UnicodeX usw.), Datum/Uhrzeit und Länge.

  • Nicht abfangbare Nachricht: eine Textnachricht (Klartext oder verschlüsselt), die auf keinen Fall abgefangen werden kann.

  • Echte Ende-zu-Ende-Verschlüsselung: keine Internet- und 3rd-Party-Server beteiligt.

  • XCrypt: Software-Anwendung, die MLSP® verwendet, um ultra-sichere Nachrichten zu senden/empfangen.

MLSP®


Multi-Layer Security Protocol - MLSP® bestehen aus:


1. Physikalische Schicht: verschlüsselte Textnachricht.

Das Telefon verschlüsselt Textnachrichten mit den folgenden Protokollen:

- RSA

- AES 256

- Elliptische Kurve (ECIES) 256

- SHA256

- Geschützt durch ITSEC-Evaluierungsstufe 3

2. Mehrschichtiges Routing- und Transportprotokoll. Verschlüsselte SMS-Daten werden zufällig segmentiert und in Bursts durch Application Port Addressing Technology über diskrete GSM-Kanäle verteilt, die normalerweise nicht von mobilen Abhörsystemen (IMSI-Catchern, GSM-Interceptoren oder StingRays) "abgehört" werden, sowohl in der Luftschnittstelle (UM-Interface in Bezug auf GSM-Netze) als auch in den Abis-, A- und C-G-Mobilfunknetzschnittstellen. Auf diese Weise werden SMS-Daten, die üblicherweise über GSM Layer 1 gesendet werden (und auf Layer 1 weitgehend abgefangen werden), durch eine Kombination von GSM Layer 1 und GSM Layer 2 (LAPDm) gesendet. Dies hat zur Folge, dass keine mobilen Abhörsysteme (wie GSM-Interceptoren) und legale Abhörsysteme (SS7-Abhörsysteme, auch bekannt als Network Switch Based Interception oder Abhören mit Hilfe des Netzbetreibers) in der Lage sind, die gesamte Nachricht abzufangen, sondern nur ein paar Bursts, die ohnehin verschlüsselt sind.

3. Schutz der Metadaten. Normale SMS-Metadaten werden nicht in einer separaten Datei (genannt Metadaten-Datei) gespeichert. XCrypt trennt Metadaten und die Daten, die sie beschreiben (verschlüsselter SMS-Text), und sendet die Metadaten-Datei in Bursts über das Netzwerk, mit der gleichen Port-Adressierungs-Technologie. Metadaten sind ohne die Datendatei (SMS), auf die sie sich beziehen, von geringem Wert. Gleichzeitig machen die Metadaten die Daten besser nutzbar und damit wertvoller. Eine verschlüsselte Textnachricht mit separater Metadaten-Datei verrät nichts über SMS-Sender und -Empfänger.


Wie funktioniert es?


1. Phone level


Auf der Telefonebene verwendet XCrypt eine Technologie, die "port directed SMS" genannt wird und die in J2ME MIDP auf mobilen Geräten weit verbreitet ist. Das Konzept besteht darin, dass, wenn ein Benutzer eine verschlüsselte SMS-Nachricht an ein "B-Teilnehmer"-Telefon sendet, eine bestimmte Portnummer zusammen mit der verschlüsselten Nachricht angegeben wird, so dass nur das Gerät, das an diesem bestimmten Port "lauscht", eine verschlüsselte Nachricht empfangen kann. Wenn eine Nachricht an einem Port empfangen wird, den die Anwendung erkennt, wird die Nachricht direkt an den sicheren Posteingang weitergeleitet (XCrypt-App), anstatt in den Standard-Posteingang zu gehen.

XCrypt verschlüsselt Textnachrichten lokal auf militärischer Ebene und sendet dann durch Nachrichtensegmentierung und Portadressierung zufällig aufgeteilte Bursts (Bitströme) zusammen mit bestimmten Portadressdaten durch Hinzufügen redundanter Bits zur binären Informationskette an das Telefon der "B-Partei". Zusammen mit der verschlüsselten geteilten Nachricht sendet die Anwendung auf dem "A-Teilnehmer"-Telefon Portadressierungsdaten, die das Öffnen einer bestimmten Portadresse auf dem "B-Teilnehmer"-Telefon auslösen. Auf diese Weise wird die verschlüsselte Nachricht durchgelassen, um den normalen Posteingang des Telefons zu umgehen und direkt im sicheren Posteingang zu landen.

Alle diese Schritte sind auf dem empfangenden Telefon ("B-Teilnehmer") transparent, das ebenfalls eine Benutzerinteraktion erfordert, damit die Nachricht in den sicheren Posteingang weitergeleitet und durch Eingabe des richtigen Kennworts entschlüsselt werden kann. Auf dem "B-Teilnehmer"-Telefon werden nach Port-Zieladresse verschlüsselte Bursts selektiv empfangen, verkettet, entschlüsselt und nur auf dem "B-Teilnehmer"-Telefon angezeigt, das die gleiche XCrypt-Anwendung verwendet, die bestimmte Empfangsports erkennt.

Wenn auf der "B-Partei" (Zieltelefon) nicht auch die XCrypt-App installiert ist, dann wird die empfangene Nachricht weder zugestellt noch vom Telefon angezeigt (auch nicht im verschlüsselten/unlesbaren Modus), aufgrund der Port-Adressierungs-Technologie, die Nachrichten nach Port-Adressen filtert.

Beim Verschlüsseln von SMS wird die Metadaten-Datei separat von der Textnachricht generiert und nicht als integraler Bestandteil der Nachricht wie bei normalen SMS erstellt. Die Metadaten-Datei wird dann gekürzt und in Bursts über das GSM-Netz mit der Port-Adressierungstechnologie gesendet. Auf diese Weise können keine Metadaten mit SS7-Mitteln abgefangen werden.


Auf dieser Ebene bezieht sich die Verwundbarkeit des Telefons auf forensische Hardware und Software, die Systemdateien und private Daten aus dem Telefon extrahieren wollen, einschließlich entschlüsselter Nachrichten, die auf XCrypt secure Inbox gespeichert sind.

XCell-Telefone sind gegen forensische Verfahren durch flüchtige USB-Filter geschützt, die keine unautorisierte USB-Verbindung zulassen und damit die Selbstzerstörung des Motherboards auslösen. Darüber hinaus läuft XCrypt auf einer Sandbox-Partition, die zu 100 % verschlüsselt ist und durch einen Selbstlöschmechanismus vor Dateiextraktion geschützt ist.


2. Um level


Die Um-Schnittstelle (die Funkverbindung zwischen dem Mobilfunknetz und dem Teilnehmer-Telefon) ist der am stärksten gefährdete und von MItM-Angriffen (IMSI-Catcher, GSM-Interceptors und StingRays) ausgenutzte Teil des GSM-Netzes, da keine Hilfe oder Zustimmung des Netzbetreibers erforderlich ist.

XCrypt verwendet die GSM-Netzwerkarchitektur und das SMS-Transportprotokoll, um (bereits) verschlüsselte Nachrichten zu schützen, die trotz des verschlüsselten Modus abgefangen werden sollen. Nach der Verschlüsselung hat das Modulationssignal eine Trägerwelle mit GMSK (Gaussian Minimum Shift Keying) Modulation. GMSK ist eine Modulation mit zwei Zuständen, die auf dem Frequenztastverfahren basiert.

An der Um-Schnittstelle verwendet XCrypt die MLSP®-Technologie: verschlüsselte Nachrichtenbursts werden nicht nur auf den üblichen L1-SMS-Kanälen - SDCCH (Standalone Dedicated Control CHannel) Signalisierungskanälen - gesendet, sondern auch auf anderen verfügbaren Kanälen, die nicht Gegenstand des SMS-Abhörens sind, wodurch die Signalisierungsschicht 2 (Datenverbindungsschicht basierend auf dem LAPDm-Protokoll) für den SMS-Transport erzwungen wird.

Da GSM-Interceptoren nur die physischen SDCCH-Kanäle "abhören", um Textnachrichten abzufangen, werden sie nur einige verschlüsselte Bursts abfangen, die über SDCCH gesendet werden, aber nicht die gesamte verschlüsselte Nachricht, die von der MLSP®-Technologie aufgeteilt und über mehrere Kanäle gesendet wird.

Dasselbe gilt für die Metadaten-Datei: Sie wird in Bursts über das Netzwerk gesendet, getrennt vom verschlüsselten Nachrichtentext. Auf dieser Ebene ist keine Metadatenextraktion möglich.


3. Core network level


Der vierschichtige Transportprotokollstapel von SMS (Anwendung, Übertragung, Relais und Verbindung) wird auf dieser Ebene verwendet und die Übertragungsschicht dieses Stapels ist diejenige, die die Textnachricht sichert. Das GSM-Kernnetz besteht aus dem Mobile Switching Center (MSC), dem Home Location Register (HLR), dem Authentication Center (AuC), dem Visitor Location Register (VLR) und dem Equipment Identity Register (EIR), die alle anfällig für eine netzwerkbasierte Überwachung sind, auch bekannt als SS7-Abhörung oder rechtmäßige Überwachung. Diese Art des Abhörens kann nur von Strafverfolgungs- und Heimatschutzbehörden erfolgreich durchgeführt werden, und zwar mit Hilfe von Netzwerkanbietern, die die Installation von Überwachungshardware (SS7-Boxen) in ihrem Kernnetzwerk auf der Grundlage des Communications Assistance for Law Enforcement Act (CALEA) erlauben.

Der Zweck von CALEA ist es, die Möglichkeiten der Strafverfolgungsbehörden zur rechtmäßigen Überwachung der Kommunikation zu verbessern, indem Telekommunikationsanbieter und Hersteller von Telekommunikationsgeräten verpflichtet werden, ihre Geräte, Einrichtungen und Dienste so zu modifizieren und zu gestalten, dass sie über eingebaute Funktionen für eine gezielte Überwachung verfügen, die es den Bundesbehörden ermöglichen, jeden Telefonverkehr selektiv abzuhören. CALEA deckt die Massenüberwachung von Kommunikation ab und nicht nur das Anzapfen bestimmter Leitungen, und nicht jeder CALEA-basierte Zugriff erfordert einen Durchsuchungsbefehl. Im Allgemeinen ist die Implementierung von Lawful Interception ähnlich wie die Implementierung einer Telefonkonferenz. Während A und B miteinander sprechen, kann C dem Gespräch beitreten und still zuhören.


Auf dieser Netzwerkebene besteht die Hauptsicherheitsschwachstelle im rechtmäßigen Abhören. XCrypt nutzt die Vorteile des GSM-Kernnetzes und sendet sowohl verschlüsselte als auch nicht abhörbare Textnachrichten unter Verwendung der MLSP®-Technologie. Kernnetzprotokolle können nicht erzwungen werden, wie es die Um-Schnittstelle kann. Eigentlich gibt es keine Notwendigkeit, diese Protokolle und Übertragungsschichten zu manipulieren, solange Nachrichtenbursts, die diesen Teil des Mobilfunknetzes durchqueren, logisch durch Port Addressing verkettet (zusammengefügt) werden können und nur von "BParty"-Telefonen entschlüsselt werden können, auf denen dieselbe XCrypt-Anwendung läuft und die das richtige Passwort kennen. Folglich können keine Textnachrichten vollständig von einer dritten Partei abgefangen werden, die CALEA - Lawful Interception - verwendet. Ein paar verschlüsselte SMS-Bursts, die eventuell von SS7 abgefangen werden, können auf keinen Fall zu einem Abfangen von SMS führen. Somit werden keine privaten Daten durch diese Methode gesammelt, die Privatsphäre des Telefonbenutzers bleibt von "A-Party" zu "B-Party" Telefon erhalten.

Seien wir ehrlich: Die meisten heutigen Verschlüsselungslösungen kümmern sich nur um den Text selbst und vernachlässigen die Metadaten der Nachrichten, die aufgrund der Netzwerkanforderungen weiterhin im Klartext über das Netzwerk gesendet werden. Strafverfolgungsbehörden und andere Akteure machen sich dies zunutze, indem sie unverschlüsselte Metadaten sammeln, um die verschlüsselten Daten zu charakterisieren, wobei Metadaten auf diese Weise eine wertvolle Informationsquelle für sie darstellen.

Durch den Einsatz der MLSP® -Technologie sowohl auf Um- als auch auf Core-Netzwerkebene ist das Sammeln von unverschlüsselten Nachrichten-Metadaten nicht möglich, also keine Möglichkeit, neben der verschlüsselten Nachricht weitere Informationen zu extrahieren.

Es ist seit langem bekannt, dass es keine Rolle spielt, wie sicher Ihre Organisation oder Ihre persönlichen Informationen und Vermögenswerte sind, wenn Sie sie mit weniger sicheren Dritten verbinden. Beachten Sie also: Server sind Dritte.

Für eine echte End-to-End-Verschlüsselung sind keine Dritten auf dem Weg von "A-Party" zu "B-Party" erforderlich.


Um ein Höchstmaß an Sicherheit und Privatsphäre zu gewährleisten, benötigt XCrypt keine Internetverbindung, Server von Drittanbietern oder monatliche Abonnements. Alle Prozesse und Protokolle laufen lokal auf den Telefonen (auf der Sandbox-Partition) und bieten auf diese Weise nicht nur eine echte, unknackbare Ende-zu-Ende-Verschlüsselung, sondern aus den oben erläuterten Gründen auch nicht angreifbare Nachrichten.

XCrypt wurde bereits standardmäßig in XCell Basic v3 Stealth Phones implementiert, sowohl in der Basic- als auch in der Advanced-Version.


Jetzt ist XCrypt MLSP® auch auf XStealth Phone, unserem Android Ultra Secure Stealth Phone, installiert.