- Pesquisadores na Holanda identificaram uma vulnerabilidade em um sistema de criptografia de ponta utilizado em rádios de infraestrutura crítica.
- A falha reduz a segurança da chave de 128 bits para 56 bits, tornando as comunicações vulneráveis a interceptações.
- A descoberta foi feita por cientistas da empresa de segurança Midnight Blue, que já haviam revelado uma backdoor em um algoritmo de criptografia em 2023.
- A nova vulnerabilidade permite a injeção de mensagens fraudulentas, comprometendo a integridade das comunicações.
- A situação levanta preocupações sobre a falta de transparência nas implementações de criptografia, afetando agências de segurança em diversos países.
Pesquisadores na Holanda revelaram uma nova vulnerabilidade em um sistema de criptografia de ponta utilizado em rádios de infraestrutura crítica, que já havia sido recomendado pelo European Telecommunications Standards Institute (ETSI). A falha reduz a segurança da chave de 128 bits para 56 bits, tornando as comunicações suscetíveis a interceptações.
Em 2023, os cientistas da empresa de segurança Midnight Blue, Carlo Meijer, Wouter Bokslag e Jos Wetzels, descobriram uma backdoor intencional em um algoritmo de criptografia usado em rádios, que afeta não apenas a comunicação de agências de segurança, mas também de forças armadas em todo o mundo. Após a divulgação, o ETSI aconselhou a implementação de soluções de criptografia de ponta para mitigar os riscos.
No entanto, a nova vulnerabilidade foi identificada em uma implementação do sistema de criptografia de ponta, que deveria oferecer maior segurança. Os pesquisadores analisaram um rádio da Sepura e encontraram que a implementação em questão não apenas reduz a segurança da chave, mas também permite a injeção de mensagens fraudulentas, comprometendo a integridade das comunicações.
ETSI afirmou que a criptografia de ponta não faz parte de seu padrão, sendo desenvolvida pela Critical Communications Association (TCCA). Apesar disso, as duas organizações colaboram estreitamente. O ex-presidente do corpo técnico do ETSI, Brian Murgatroyd, destacou que a escolha do algoritmo e do comprimento da chave é feita entre o fornecedor e o cliente, sem a supervisão do ETSI.
A vulnerabilidade afeta principalmente rádios utilizados por agências de segurança em diversos países, incluindo na Europa e no Oriente Médio. A falta de transparência sobre a segurança das implementações de criptografia tem gerado preocupações, já que muitos usuários podem não estar cientes dos riscos associados ao uso de chaves reduzidas.
Os pesquisadores apresentaram suas descobertas na conferência BlackHat em Las Vegas, alertando para a necessidade urgente de revisar as práticas de segurança em sistemas críticos.
Entre na conversa da comunidade