GemaltoはnsaとgchqによるSIMカード暗号化キーの「大量の盗難」を拒否します[更新]

更新： The Interceptの 新しいレポートでは、Gemaltoがこの攻撃の影響を大幅に軽視していると主張しています。 報告書の中で、いくつかのセキュリティ研究者は、「同社はジェムアルトのネットワークのセキュリティと安定性について徹底的かつ過度に楽観的な声明を出し、会社とその従業員を対象としたNSA-GCHQの重要性を劇的に過小評価した」という結論に達しました。

元のストーリー： デジタルセキュリティベンダーのGemaltoは、先週のNSAとGCHQによるベンダーのSIMカード暗号化キーへの侵入の報告に続いて、調査結果を明らかにしました。 Gemaltoは、2010年と2011年にNSAとGCHQによる操作が「おそらく行われた」と指摘しましたが、侵入が会社のオフィスネットワークに影響を与え、その安全なネットワークに影響を与えなかったため、SIMカード暗号化キーの「大規模な盗難」をもたらすことはできませんでした。

ジェムアルトは、SIMカードの暗号化キーは侵害されたネットワークに保存されていないと述べました。

これらの侵入は、外部の世界と接触しているネットワーク（オフィスネットワーク）の外側の部分にのみ影響しました。 一般的に、SIM暗号化キーおよびその他の顧客データは、これらのネットワークには保存されません。 私たちのネットワークアーキテクチャは、タマネギとオレンジのクロスのように設計されていることを理解することが重要です。 データのクラスター化と分離に役立つ複数のレイヤーとセグメントがあります。

キーにアクセスすることで、米国と英国の政府機関は電話での会話を聞き取り、Gemaltoが発行したSIMカードにマルウェアをインストールすることができました。 年間20億枚のSIMカードの生産と、AT&T、Sprint、Verizonなどの米国のキャリアを含む世界のほとんどの主要なキャリアとの提携により、ベンダーのセキュリティ侵害は世界的な影響を及ぼします。 Gemaltoがハックの調査で見つけたものは次のとおりです。

• 文書に記載されている侵入方法の調査と、2010年と2011年にGemaltoが検出した高度な攻撃により、NSAとGCHQによる操作がおそらく発生したと考える合理的な根拠が得られました

• Gemaltoに対する攻撃は、オフィスネットワークを侵害しただけであり、SIM暗号化キーの大規模な盗難をもたらすことはできませんでした

• この操作は、モバイルオペレータとそのサプライヤ間でグローバルに交換される暗号化キーを傍受することを目的としていました。 2010年までに、ジェムアルトは既に顧客との安全な転送システムを広く展開していたため、このスキームのごくまれな例外のみが盗難につながりました。

• 最終的に鍵が盗まれた場合、インテリジェンスサービスは、第2世代の2Gモバイルネットワーク上の通信のみをスパイできます。 3Gおよび4Gネットワ​​ークはこのタイプの攻撃に対して脆弱ではありません

• 他の製品はこの攻撃の影響を受けませんでした

• これらのタイプの攻撃に対する最善の対策は、保存時および転送時のデータの体系的な暗号化、最新のSIMカードの使用、および各オペレーター向けのカスタマイズされたアルゴリズムです。

Gemaltoによると、SIMカードの暗号化キーが盗まれたとしても、米国と英国のインテリジェンスネットワークが2Gネットワ​​ークをスパイし、先進国のほとんどのユーザーが秘密機関に侵入されやすくなります。 ただし、ハッキングのニュースを最初に発表した出版物である The Intercept は、NSAとGCHQのスパイ活動の対象国には、アフガニスタン、アイスランド、インド、イラン、パキスタン、セルビア、ソマリア、セルビア、タジキスタン、イエメンが含まれることに留意しました。 2Gネットワ​​ークは依然として標準です。 ジェムアルトは、その安全なデータ転送システムがその時点で使用されていたため、ハッカーが暗号化キーにアクセスすることを思いとどまらせたと述べました。

下のリンクに移動して、ジェムアルトの調査結果をすべて読んでください。

ソース：ジェムアルト