Han avdekket alvorlig sikkerhetshull – og tror det finnes flere

Da sikkerhetsforsker Harrison Sand fra Mnemonic oppdaget et sikkerhetshull som gjorde det mulig å spore Telia-kunder bare ved å ringe dem, resulterte det i en stor NRK-sak.

Rikskringkasteren viste blant annet hvordan de ved å ringe Høyres Petter Frølich kunne spore ham i sanntid helt inn til plassen hans i stortingssalen. Frølich kalte det «vanvittig» og «ubehagelig».

Telia tettet sikkerhetshullet i løpet av et døgn, etter at Sand varslet dem om funnene sine.

Til Digi sier Sand at han tror det finnes flere aktive sikkerhetshull som gjør det mulig å spore telefoner.

– I denne saken klarte Telia å stenge hullet, og vi kunne sjekke at Telenor og Ice ikke hadde tilsvarende sikkerhetshull.

Men det betyr ikke at det ikke finnes andre hull.

– Personlig ville jeg ikke blitt overrasket om det finnes lignende tilfeller både i Norge og resten av verden, sier Sand.

– Så det kan finnes eksisterende hull nå, som bare ikke er oppdaget ennå?

– Ja, det tror jeg er tilfelle, sier Sand, som tirsdag snakket om saken for en fullsatt sal under NSMs sikkerhetskonferanse.

Nkom: Vet ikke hvorfor feilen oppsto

Nkom og Datatilsynet varslet raskt tilsyn med Telia etter avsløringen, for å finne ut hvordan sikkerhetshullet oppsto og hvordan det kunne være åpent i flere år uten å bli oppdaget.

Overfor Digi sier seksjonssjef i Nkom, Sander Norrøne Ask, at de skal ha oppstartsmøte for tilsynet i neste uke. Feilen de skal forsøke å komme til bunns i, skal ha oppstått under en konfigurering av et system helt tilbake i 2023.

– Vi har ikke fått noen detaljer om grunnen til at sikkerhetshullet oppsto. Vi vet hva som ble omkonfigurert, men ikke hvorfor det førte til denne feilen, sier Ask.

Ask sier at Nkom ikke vil opplyse om hva konfigurasjonen gikk ut på, så tidlig i tilsynet. I en pressemelding understreker Nkom at det er tilbyderne selv som har ansvar for å etterleve ekomloven. Nkom har også bedt Ice og Telenor redegjøre for om tilsvarende forhold kan være en utfordring hos dem.

Telia har omtrent 2 millioner mobilkunder i Norge. Det er ikke kjent hvor mange av dem som har vært påvirket av feilen.

Løpende dialog med bedriftskunder

Informasjonssjef Daniel Barhom i Telia skriver i en e-post til Digi at de forstår at feilen som ble avdekket, kan skape bekymring.

Han mener imidlertid at en rekke forutsetninger måtte være til stede for å kunne utnytte svakheten som nå er lukket.

– Det fungerte ikke på alle typer mobiler, ikke hver gang, man trengte teknisk innsikt og dedikert programvare, i tilllegg til at åpne lokasjonsdatabaser for basestasjoner både er ufullstendige og av varierende geografisk presisjon, skriver han.

Barhom forteller at Telia har informert alle bedriftskundene sine om hendelsen, og er i løpende dialog med dem. Han presiserer at ingen kunder behøver å foreta seg noe i forbindelse med avviket.

– Må være svært forsiktig

– Kan nye sikkerhetshull oppstå neste gang noen skal konfigurere noe?

– Ja. Og det sier litt om behovet for prosesser og rutiner, sier Sand, og utdyper:

– Alle gjør feil, og det er noe man regner med at vil skje. Derfor har man prosedyrer både for å forebygge og finne feil. Du må være svært forsiktig når du gjør endringer i konfigurasjonen, men du må også ha prosesser på plass for å finne feilene når de likevel oppstår.

Telebransjen bør revurdere

Sand sier at systemene som gjør det mulig å kommunisere med mobiltelefoner er veldig komplekse, men mener at sikkerhetshullet som ble avdekket hos Telia var et nokså enkelt problem, når man bare visste hva man skulle se etter.

Han tror hendelsen viser at telebransjen bør revurdere hvordan de ser på sikkerheten i systemene sine.

– Telefonselskapene fokuserer mye på sikkerhet. Men som bransje har vi brukt mye tid på å fokusere på visse områder av nettverkene og systemene, mens andre områder har fått mindre oppmerksomhet. Jeg tror det kan være verdt å gjøre noen vurderinger for å sørge for at de systemene vi gir oppmerksomhet, er de det faktisk er knyttet mest risiko til.

– Da du oppdaget sikkerhetshullet som Telia tettet i forrige uke, så kunne du jo se at informasjonen om den du ringte var tilgjengelig for deg. Betyr det at eventuelle gjenstående sikkerhetshull er små, i og med at de ikke er oppdaget ennå?

– Jeg tror det både finnes nisjekomplekse sikkerhetsproblemer, men sannsynligvis også enklere problemer rundt om i verden. Telia-hullet er ikke første gang et liknende problem er oppdaget globalt, sier Sand.

Fra NSM-scenen fortalte han at det i fjor ble avdekket et lignende problem hos en britisk mobiloperatør. En VoLTE-feil hos O2 førte til at hvem som helst kunne ringe opp en O2-kunde, og få informasjon både om telefonen og lokasjonen til den som ble oppringt.