TETRA:BURST – 5 kwetsbaarheden in de TETRA standaard

Deze week kwam uitgebreid in het nieuws dat TETRA, de standaard voor professionele mobiele communicatie, kwetsbaarheden bevat. Deze standaard wordt o.a. gebruikt voor hulpdiensten en andere organisaties die gebruik maken van missiekritische communicatie. Wat betekenen deze kwetsbaarheden? In deze blog gaan Ken Klaver, Antoine van der Sijs en Peter Eppenga, experts op het gebied van missiekritische communicatie, hierop in. 

Het onderzoek 

Op 23 juli 2023 hebben drie Nederlandse onderzoekers bekend gemaakt dat zij een aantal kwetsbaarheden hebben aangetroffen in het TETRA protocol. TETRA is een wereldwijde (ETSI) standaard voor professionele mobiele communicatie en wordt door onder meer de hulpdiensten, defensie, industrie, (lucht)havens en openbaar vervoer gebruikt voor portofoonverkeer. Op 24 juli is door veel nieuwsmedia aandacht besteed aan de gevonden kwetsbaarheden in TETRA-communicatie en hun eventuele impact op de gebruikers hiervan. 

In het meer dan 20-jarig bestaan van TETRA waren de authenticatie en encryptie algoritmen altijd geheim en is er geen publiek in-depth cybersecurityonderzoek naar gedaan. De onderzoekers hebben echter in 2,5 jaar reverse engineering en analyse voor het eerst de gebruikte algoritmen ontrafeld en daarbij 5 kwetsbaarheden ontdekt. Reeds in 2021 hebben de onderzoekers een zogenaamde responsible disclosure gedaan van hun bevindingen zodat leveranciers van TETRA netwerken en portofoons en mobilofoons in staat werden gesteld om mitigerende maatregelen te treffen zoals software updates van hun producten.  

De onderzoekers hebben nog niet de technische details gedeeld, dit zal vanaf 9 augustus 2023 gaan gebeuren. 

De onderzoekers hebben hun onderzoek uitgevoerd in samenwerking met het Nationaal Cybersecurity Center (NCSC). Het onderzoek is gefinancierd door de non-profit NLnet foundation als onderdeel van het NGI0 PET fonds van de Europese Commissie. 

Wat heeft men ontdekt? 

Het onderzoek heeft 5 kwetsbaarheden aan het licht gebracht. De impact van de kwetsbaarheden voor TETRA gebruikers hangt af van de use cases en de configuratie van het betreffende TETRA-netwerk. De 5 kwetsbaarheden hebben allemaal betrekking op de zogenaamde Air Interface van TETRA, die gestandaardiseerd is waardoor klanten op een TETRA netwerk gebruik kunnen maken van vele verschillende merken van TETRA randapparatuur (portofoons en mobilofoons). Van deze 5 kwetsbaarheden zijn er 2 aangemerkt als severity critical, 2 als high en 1 als low. 

Wat is de impact voor gebruikers? 

Zoals gezegd hangt de impact van de kwetsbaarheden voor TETRA gebruikers af van de specifieke use cases en de configuratie van het betreffende TETRA-netwerk. Zo zijn gebruikers die TEA1 (TETRA Encryption Algorithm 1) gebruiken kwetsbaar doordat de encryptiesleutel hiervan met de huidige rekenkracht snel te kraken blijkt te zijn. Hierdoor zou het in principe mogelijk worden een dergelijk TETRA netwerk af te luisteren.     

Mitigerende maatregelen 

Voor sommige van de genoemde kwetsbaarheden zijn software updates beschikbaar vanuit TETRA leveranciers, terwijl compenserende maatregelen beschikbaar zijn voor andere. In bepaalde gevallen kan overwogen worden om een alternatieve vorm van encryptie, namelijk end-to-end encryptie in de portofoons toe te passen, die als veilig beschouwd wordt. Daarnaast heeft ETSI TEA5, 6 en 7 geïntroduceerd als vervangers voor TEA1, 2 en TEA3 voor Air Interface Encryptie. Een gedetailleerd advies is verspreid onder relevante belanghebbenden via het Nationaal Cyber Security Centrum (NCSC). Dit zal door de onderzoekers openbaar worden gemaakt zodra het embargo op de technische details is opgeheven (9 augustus 2023). 

Advies 

Indien u vragen heeft naar aanleiding van bovenstaande of u zorgen maakt over de mobiele communicatie-infrastructuur van uw organisatie, dan kunt u contact opnemen met Strict voor nadere analyse van uw specifieke situatie en een risico inschatting.

Vul het formulier hieronder in en wij nemen zo snel mogelijk contact met u op.

Deze blog is geschreven door Ken Klaver, Antoine van der Sijs en Peter Eppenga.