Neues von DIGITALEM BOS Funk

[Newty]

Ich halte mich da primär an das, was ich gehört habe, wie bei uns im Landkreis weiter verfahren wird. Und eine Gruppe, der den alten Verkehrskreis Status-Quo ersetzt, ist hier tatsächlich in den Köpfen einiger vorhanden, wird jedoch sicher nicht so umgesetzt. Tatsächlich wurde bei uns am Standort lediglich der Bedarf an Fahrzeug-Geräten sowie Feststationen abgefragt - nicht mehr, nicht weniger. Naja, wir haben ja noch ein paar Jahre Zeit...

Die technischen Möglichkeiten des Netzes sind mir durchaus bekannt. Beachte hierbei, dass alles im Direct-Mode zwangsläufig nur grundverschlüsselt bzw komplett unverschlüsselt erfolgen kann - unverschlüsselt wahrscheinlicher, da die End-End-Verschlüsselung prinzipbedingt immer über Basisstationen laufen muss. Lediglich das Gatewaying käme in Betracht, um in "erwünschten" Parametern zu arbeiten. Über die tatsächliche Machbarkeit betreffend Personalschulung, Restriktion vom Gesetzgeber und sonstigen Hürden können wir leider noch nicht reden. Gatewaying bringt der Fußstreife in der Innenstadt aber immer noch keine bessere Funkversorgung.

[knutpotsdam]

Die technischen Möglichkeiten des Netzes sind mir durchaus bekannt. Beachte hierbei, dass alles im Direct-Mode zwangsläufig nur grundverschlüsselt bzw komplett unverschlüsselt erfolgen kann - unverschlüsselt wahrscheinlicher, da die End-End-Verschlüsselung prinzipbedingt immer über Basisstationen laufen muss.

Woher nimmst Du bitte diesen Blödsinn?
Bereits die frei vom BSI erhältlichen Informationen erklären da etwas ganz anderes.
Im netz werden nur Funkgeräte zugelassen, die das BSI-Kryptokonzept erfüllen, dies bedeutet Ende-zu-Ende-Verschlüsselung mittels Kryptokarte, unabhängig der Betirebsart.

Gruß
Knut

[Newty]

Hmpf... Is ja toll, was die da schreiben. Wie verfizieren sich denn bitte die Geräte untereinander im DMo? Wie werden die Schlüssel bekannt gemacht? Im direkten Verkehr kann ich nur nach einem simplen Kryptokonzept verschlüsseln, die Punkt zu Punkt Verschlüsselung basiert auf dem System, dass ich für jedes einzelne Endgerät im TMo einen gesonderten Schlüssel habe. Mit dem Öffentlichen Schlüssel des Netzes sendet das Gerät, nur die Basisstationen können diese Daten entschlüsseln, da nur dort der Private Schlüssel vorliegt. Aus diesem Grund sind die Sicherheitsvorkehrungen der Basisstationen auch so exorbitant hoch(wer in den Besitz des/der privaten Schlüssel des Basisnetzes gelangt, kann alles mithören). Die entschlüsselten Daten werden dann zum Weiterversand mit dem öffentlichen Schlüssel der zum Empfang berechtigten Geräte verschlüsselt. Der zum finalen Entschlüsseln nötige Schlüssel liegt wiederum nur auf den Kryptokarten der Endgeräte.

Übertragen auf den DMo bedeutet das:
- Jedes Gerät muss den öffentlichen Schlüssel des anderen Geräts kennen, mit dem kommuniziert werden soll - spätestens hier ist die volldynamische Gruppenbildung nicht machbar(oder nur unter extremem Aufwand, wie zum Beispiel dem Pairing bei Bluetooth-Geräten). Dies müsste im Vorfeld über Kabelschnittstellen oder den TMo getätigt werden. Ein Pairing im Vorfeld ist nicht möglich, da unmöglich alle Geräte mit allen anderen so gepaart werden können, weder aus Sicht des nötigen Speichers, noch aus Sicht der ständigen Einschleusung von Neugeräten...

Ein Austausch der Schlüssel über DMo-Luftschnittstellen erfolgt entweder unverschlüsselt oder grundverschlüsselt, ist also eine potentielle Schwachstelle. Ist hier der Grundschlüssel bekannt oder erfolgt der Austausch der Öffentlichen ohne fixe Verschlüsselung, so kann man theoretisch jedes Gerät in ein/das DMo-Netz einschleusen.

[knutpotsdam]

dem Öffentlichen Schlüssel des Netzes sendet das Gerät, nur die Basisstationen können diese Daten entschlüsseln, da nur dort der Private Schlüssel vorliegt.

Damit grade dieses nicht möglich ist, wird das BSI-Kryptokonzept eingesetzt. An keiner Stelle im System kann ich Nutzinformationen abgreifen.
Alles zwischen Funkgeräte zu Funkgeräte bzw. Leitstellenserver ist verschlüsselt!

[Newty]

Doch, im DMo aufgrund der Paringproblematik :-)

Die Variante der extrem Leistungsfähigen Cryptocards mit dem privaten Netzschlüssel im Chip schließe ich aufgrund der hohen Sicherheitsvorkehrungen für Basisstationen prinzipiell aus, da es mit oder ohne zusätzlicher Zugangsrestriktion wesentlich einfacher wäre, bei einem Nutzer des Netzes eine Karte zu bekommen, die den Privaten Schlüssel beinhaltet.

[DG3YCS]

Hmpf... Is ja toll, was die da schreiben. Wie verfizieren sich denn bitte die Geräte untereinander im DMo? Wie werden die Schlüssel bekannt gemacht? Im direkten Verkehr kann ich nur nach einem simplen Kryptokonzept verschlüsseln, die Punkt zu Punkt Verschlüsselung basiert auf dem System, dass ich für jedes einzelne Endgerät im TMo einen gesonderten Schlüssel habe. Mit dem Öffentlichen Schlüssel des Netzes sendet das Gerät, nur die Basisstationen können diese Daten entschlüsseln, da nur dort der Private Schlüssel vorliegt. Aus diesem Grund sind die Sicherheitsvorkehrungen der Basisstationen auch so exorbitant hoch(wer in den Besitz des/der privaten Schlüssel des Basisnetzes gelangt, kann alles mithören). Die entschlüsselten Daten werden dann zum Weiterversand mit dem öffentlichen Schlüssel der zum Empfang berechtigten Geräte verschlüsselt. Der zum finalen Entschlüsseln nötige Schlüssel liegt wiederum nur auf den Kryptokarten der Endgeräte.

Übertragen auf den DMo bedeutet das:
- Jedes Gerät muss den öffentlichen Schlüssel des anderen Geräts kennen, mit dem kommuniziert werden soll - spätestens hier ist die volldynamische Gruppenbildung nicht machbar(oder nur unter extremem Aufwand, wie zum Beispiel dem Pairing bei Bluetooth-Geräten). Dies müsste im Vorfeld über Kabelschnittstellen oder den TMo getätigt werden. Ein Pairing im Vorfeld ist nicht möglich.

Ein Austausch der Schlüssel über DMo-Luftschnittstellen erfolgt entweder unverschlüsselt oder grundverschlüsselt, ist also eine potentielle Schwachstelle. Ist hier der Grundschlüssel bekannt oder erfolgt der Austausch der Öffentlichen ohne fixe Verschlüsselung, so kann man theoretisch jedes Gerät in ein/das DMo-Netz einschleusen.

Hi,

Eine Anmerkung von mir:
Du beschreibst hier ein Asymetrisches VS Verfahren!
Tetra arbeitet aber mit einem Symetrischen Verfahren!

Für den DMO Betrieb ist mir im Moment nicht bekannt ob dort tatsächlich die ETE VS kommt. Für den Netzbetrieb auf jeden Fall.
Laut TETRA Standard wird aber im DMO-Betrieb mit dem SCK (Static Cipher Key) Grundverschlüsselt. Es können bis zu 32 SCK im Gerät abgelegt werden. Damit die Geräte miteinander kommunizieren können MÜSSEN in allen Geräten vorher dieselben Schlüssel abgelegt sein.

Im Netzbetrieb (Ohne ETE-VS) gibt es zwei Schlüssel:
Einmal den DCK (derived Cypher Key) und den CCK (Common Cypher Key).
Der DCK wird bei der Authentifizierung des Gerätes im Netz generiert.
Hierbei wird aus dem im Gerät und der Heim-DXT (Vermittlungsstelle) hinterlegtem Authentifizierungsschlüssel ein Sitzungsschlüssel erzeugt. Dies geschieht in der Heim DXT UND dem Endgerät. Die für die Erzeugung des Sitzungsauthentifizierungsschlüssels Zufallszahl wird in der Heim-DXT erzeugt! Beide Ergebnisse werden dann an die für die BS zuständige DXT übermittelt. Diese generiert nun ebendfalls eine Zufallszahl und übermittelt diese Ebendfalls an das Endgerät. Nun nimmt die DXT vor Ort und das Endgerät mit hilfe eines weiteren Algorythmus eine erneute Berechnung des Schlüssels vor. Die beiden Berechnungsergebnisse werden dann miteinander in der BS verglichen und dienen gleichzeitig als DCK!

Mit dem DCK werden alle Punkt zu Punkt verbindungen sowie der Uplink verschlüsselt.
(Daher sind PTP Gespräche Sicherer als Gruppengespräche!)

NAch Einbuchung des GErätes wird dem Endgerät dann der CCK übermittelt! Dieser CCK dient dazu ALLE Gruppengespräche im Downlink dieser BS zu verschlüsseln. (Wobei der eigendliche Schlüsselstrom noch von weiteren Faktoren abhängt. Diese lassen sich bei Kentniss des CCK aber errechnen!) Hier liegt auch die Schwachstelle der TETRA Grundverschlüsselung!
Es ist Theoretisch möglich, solange ich zugang zu einem Authorisiertem Endgerät habe, welches ich Manipulieren kann, hier den CCK abzufangen! (Nichts für den Heimgebrauch, da eingriffe INNERHALB der HAlbleiter notwendig! Unter Laborbedingungen aber Machbar.)
Habe ich den CCK kann ich ALLE Gruppengespräche auf dieser BS Mithören!
(Wer sich mit PAY-TV auskennt: Card-Sharing in kompliziert. Das Prinzip ist identisch)
Daher ist die ETE VS ja gewünscht!

Achja, zu den Kanälen:
NAtürlich gibt es in TETRA Kanäle.
Nur hat der Endnutzer darauf keinen Direkten Zugriff. Auch ist ein Kanal nicht gleich einer Gesprächsgruppe!
Aber es gibt 200 Kanäle (Duplex-Pärchen)
Davon sind 149 für den "normalen" Netzbetrieb vorgesehen.
8 + 2 Reserve für die LUFT-BS (anderer Aufbau der Zeitschlitze)
12 für die Mobilen BS, 2 für die Indor BS (vgl. die Gebäudefunkanlagen 2m)
und 29 für den DMO Modus. Da bei den DMO Freqeunzen auch jeweils Ober und Unterband zur Verfügung stehen ergibt das 58 DMO Kanäle!

Aus diesen 58 DMO Kanälen könnte man jetzt natürlich wesentlich mehr DMO Gruppen machen - Aber das könnte zu Störungen führen!
Daher wird es pro DMO KAnal wohl nur eine DMO Gruppe geben. Im Ergebnis werden also diese 58 Frequenzen auf die Bedarfsträger aufgeteilt womit sich wesentlich weniger zur Verfügung stehende DMO "Kanäle/Gruppen" ergeben. Faktisch heißt das das wir im DMO Betrieb das Abbild des heutigen 2m haben werden, nur mit wesentlich weniger Resourcen !
(vgl: 58 Kanäle zu 117 !)


So, das muss fürs erste reichen, muss nun wieder mal los...
Evtl. die nächsten Tage mehr dazu!
Achso: Interessante Infos findet man auf der Seite: http://www.tetra-association.com/
Mit Etwas suchen auch technische Details!

Gruß
Carsten

[Newty]

Och, so schlimm ist das gar nicht, wenn man in etwa ne Vorstellung von den einzelnen Keys hat. Im Endeffekt haben wir ohne E2E dennoch eine Asymetrie, diese aber nicht gewollt, sondern Prinzipbedingt. Bin ich dann richtig in der Annahme, dass bei E2E der CCK wegfällt und für die Empfangsrichtung der DCK pro Endgerät verwendet wird? Somit auch jedes Gerät einen Timeslot belegt?

[DG3YCS]

Och, so schlimm ist das gar nicht, wenn man in etwa ne Vorstellung von den einzelnen Keys hat. Im Endeffekt haben wir ohne E2E dennoch eine Asymetrie, diese aber nicht gewollt, sondern Prinzipbedingt. Bin ich dann richtig in der Annahme, dass bei E2E der CCK wegfällt und für die Empfangsrichtung der DCK pro Endgerät verwendet wird? Somit auch jedes Gerät einen Timeslot belegt?

Hi,

Eine Asymetrie im Sinne der Asymetrischen Verschlüsselung haben wir so in keinem Fall!
Die Ver- und Entschlüsselung erfolgt in jedem Fall mit demselben Schlüssel!
Bei der Asymetrischen Verschlüsselung ist das ja gerade das auszeichnende, die Verschlüsselung erfolgt mit einem anderen Schlüssel (dem Öffentlichen) als der Entschlüsselung. (Bei der Authentifizierung wiederum genau umgekehrt...)

Die ETE-VS wird Zusätzlich AUF die Grundverschlüsselung gelegt.
Wenn man auf die Grundverschlüsselung verzichten würde, so währen alle Signalisierungsdaten ja im KLARTEXT vorhanden. Man könnte also mitschneiden welches Gerät sich wo aufhält und mit wem in Kontakt steht.
Die Signalisierungsdaten kann man ja nicht mit der ETE VS verschlüsseln, denn der Sinn dieser VS ist ja gerade das das Netz selber keine Kentniss über die übertragenen Informationen hat. Wenn das NEtz aber Signalisierung nicht verstehen würde...

Leider habe ich über die ETE-VS (noch) keine weitergehende Informationen...

Gruß
Carsten

[Newty]

Hi,

Eine Asymetrie im Sinne der Asymetrischen Verschlüsselung haben wir so in keinem Fall!
Die Ver- und Entschlüsselung erfolgt in jedem Fall mit demselben Schlüssel!
Bei der Asymetrischen Verschlüsselung ist das ja gerade das auszeichnende, die Verschlüsselung erfolgt mit einem anderen Schlüssel (dem Öffentlichen) als der Entschlüsselung. (Bei der Authentifizierung wiederum genau umgekehrt...)

Okay, man sollte ausgeschlafen posten ^^

Die ETE-VS wird Zusätzlich AUF die Grundverschlüsselung gelegt.
Wenn man auf die Grundverschlüsselung verzichten würde, so währen alle Signalisierungsdaten ja im KLARTEXT vorhanden. Man könnte also mitschneiden welches Gerät sich wo aufhält und mit wem in Kontakt steht.
Die Signalisierungsdaten kann man ja nicht mit der ETE VS verschlüsseln, denn der Sinn dieser VS ist ja gerade das das Netz selber keine Kentniss über die übertragenen Informationen hat. Wenn das NEtz aber Signalisierung nicht verstehen würde...

Nun wird mir alles wesentlich klarer, also im PTT kein E2E... Vielen Dank!

[postmaster]

Moin,

ich sehe es mit gemischten Meinungen. Kann man jedoch nicht erst eins zu ende bringen und dann erst was neues beginnen ?!
Ich meine, die Digitale Alamierung ist noch nicht überall vorhanden, viele sind noch analog unterwegs. Nu will man Tetra einführen. Wenn es nach mir ginge erstmal eins Abschliessen und dann was neues Anfangen.

Wie sicher und zuverlässig ist Tetra ?

Gruß
Dennis