36C3 Vorspannmusik Herald: Willkommen zum nächsten Vortrag. Ich muss ja sagen, aus persönlicher Erfahrung, dass der Kongress für mich gerade deswegen so schön ist, weil er so traumhaft familienfreundlich ist. Wir sind diesmal wieder mit zwei Kindern da, und da ist natürlich das Kids-Space absolut goldwert, aber, und das glaubt man gar nicht, dieses Ding hier, das DECT-Telefon, das macht diesen Kongress auch für mich extrem kinderfreundlich, weil wir eben schon vor vielen Jahren unseren Sohn mit so einem DECT-Telefon einfach laufen lassen konnten und der konnte den Kongress für sich selbst entdecken und wir konnten unseren Sohn später wiederentdecken. Das ist sehr, sehr hilfreich. Deswegen, so eine Technologie macht eben auch eine Konferenz viel, viel wertvoller. Ich bin zugegebenerweise nur Dummer, aber dankbarer Nutzer, aber die jungen Herren, die wir jetzt hier haben, die können uns etwas sagen, was mit dieser Technologie noch möglich ist. Wir begrüßen nämlich Zivillian und ST, die sind beide Mitglieder im Eventphone-Team, und wir haben einen Gast-Hacker mit LaForge und die werden jetzt den Vortrag halten. Hashtag #mifail oder: Mit Gigaset wäre das nicht passiert! Oder der Untertitel, der mir sehr gut gefällt, DECT ist korrekt. Vielen Dank! Applaus ST: Ja, vielen Dank. Wir sind total überrascht, weil wir ja dachten, das ist ein Nischen-Vortrag, da haben wir mit 20 Leuten gerechnet, jetzt sind doch 40 gekommen, das ist richtig krass. Ja, im Prinzip ist die Vorstellung durch. Was machen wir heute? Wir müssen uns auf jeden Fall beeilen, weil es ist sehr sehr viel. Ganz kurz werden wir etwas dazu erzählen, was ist das POC eigentlich genau. Was machen die so? Was benutzen wir für Technologie? Deswegen haben wir auch am Anfang diesen komplizierten Aufbau, dass wir uns hier direkt die Hardware live angucken können. Wie das alles funktioniert. Dann kommen wir zu dem eigentlichen Problem, dass es dort, ja, eine kleine Sicherheitsschwankung gab, die wir herausgefunden haben, LaForge wird das genau erklären, wir werden Euch erzählen, wie der Hersteller damit umgegangen ist und was wir dann daraus gebaut haben und wie wir sozusagen mit dieser Sicherheitsschwankung mehr Features implementiert haben und noch mehr für die User tun können. Weiter geht's dann mit den Metadaten, wie sind wir eigentlich dazu gekommen und dann zeigen wir Euch dann nochmal live hier auf dem Tisch, wie man unwillige Geräte willig bekommt und am Ende gibts noch einen Ausblick. Dann fangen wir mal damit an... Was ist eigentlich das POC wer oder was ist das Eventphone und dann haben wir geguckt, was sagt eigentlich dieses Internet? Und das Internet sagt, das Phone Operations Center ist ein integriertes Hard- und Softwareprojekt, welches es ermöglicht, auf Grossveranstaltungen ein fläschendeckendes und funktionsfähiges DECT-Netz zu realisieren. Steht in der Wikipedia, muss ja stimmen und in der Tat, das ist so und sehr schön finden wir auch "Eventphone, ein bedeutender Anbieter von drahtloser Kommunikation für Großveranstaltungen". Bedeutend, ja. Das freut uns natürlich. Nun zu unserem One- Pager, Was machen wir wirklich wirklich? Also klar, Infrastruktur für drahtlose Telefone, das wisst Ihr wahrscheinlich alle. Wer von Euch hat ein DECT? Könnt ihr mal Handzeichen geben? Oh, ja, ja, da ist ja der Raum sagen wir mal die Hälfte. Dann machen wir Leih-Telefone für Orga- und Infrastruktur-Teams, die bereiten wir im Wesentlichen vorher schon vor. Provisionieren die, stellen den Betrieb sicher, nehmen die zurück und reinigen die dann auch wieder. Der Telefondesinfizierer ist das Stichwort. Dann haben wir SIP und Premium. SIP-Server, die wir betreiben, Premium-SIP tatsächlich, die haben wikrlich andere Funktionen, zum Beispiel das CERT, die sichere Leitungen brauchen, die möglichst nicht ge-DDoS-sed werden haben andere Server und man kann, hat dort mehr Rechte, kann zum Beispiel raustelefonieren. Das EP-VPN betreiben wir, also ein VPN, was auch außerhalb der Events funktioniert. Das integrieren wir immer in die Netze der Veranstaltungen. Das Rufnummern- und Token-Handling, wer quasi ein DECT angemeldet hat, der weiß, da muss man ein Token eingeben, das machen wir alles. Unser GURU, der Generic User oder das Generic User Registration Utility, das Self-Service-Portal, dort wo ihr Eure Nummern anlegen könnt, wo ihr Eure Geräte verbinden könnt. Und so. Das ist auch von uns. Auch sozusagen der Link zum GSM-Team, deren Rufnummern verwalten wir auch. Dial-In/Dial-Out, also das Ihr angerufen werden könnt von Außen und das Ihr Euch auch raustelefonieren könnt. Special Services, zum Beispiel die Anbindung der Chaos-Vermittlung. Es gibt Spiele, Witze-Hotline, die Uhrzeit oder eine automatische Annahmestelle für Lärm- Beschwerden. Gelächter Weiterhin haben wir noch eine neue Abteilung, die Ausbildung in Medienkompetenz. Wo wir Euch immer wieder vor Augen halten. Guckt alles kritisch an und nehmt nicht alles so für bare Münze, was Ihr so in diesem Internet seht und hört. Und, wir sind in diesem Jahr volljährig geworden. Applaus Und dazu muss ich noch drei Sekunden etwas sagen, nämlich es gibt eine Person, die das tatsächlich seit 18 Jahren schon macht und wirklich auf jedem Event, nicht nur Kongresse, auch in der Sommer-Events und dazwischen immer dabei war, der, egal ob krank oder nicht, sich für das Telefonnetz eingesetzt hat und das ist Sascha. Und an der Stelle wollte ich noch mal ganz, ganz lieben Dank sagen, 18 Jahre Eventphone, für Dich... Applaus So, kürzen wir das ab. Kurzum, man ist überall erreichbar, auch im Schwimmbad. Wer die Kampagne kennt, wer sie nicht kennt, der QR-Code im Nachgang, sehr gern. So, dann. Worum geht es heute nicht? Noch einmal ganz konkret, wir haben auf dem 35C3 einen langen Vortrag gehalten, darüber, wie ist das Eventphone entstanden, was gibt es für Geschichte und so weiter und so fort. Das werden wir heute nicht besprechen. Und auch auf dem Easterhegg haben wir sozusagen dieses neue Telefonsystem nochmal im Detail erklärt, also warum sind wir von dem alten Alcatel- System auf dieses neue Mitel-System umgestiegen? Und was gehört da alles dazu. Das alles heute nicht, könnt ihr im Nachgang euch anschauen. Heute geht es wirklich nur um diese rote Linie, nämlich die Verbindung von dem Open Mobility Manager, dem OMM, und den RFPs, den Radio Fixed Parts, also den umgangssprachlichen Antennen. Dann werden die Techjungs ganz viele Abkürzungen benutzen, und die würde ich nochmal ganz schnell einmal durchgehen. OMM haben wir gerade gesehen auf der Folie davor. Open Mobility Manager, das ist das Stück Software von Mitel. RFP das sind diese Radio Fixed Parts, also die Antennen und die PPs das ist so DECT-Sprech, dass ist alles, was mobil ist. Da klingelt schon wieder eins. Sehr schön, unser System läuft. Alles, was sich bewegen kann, PPs Portable Parts, normale DECT-Endgeräte, aber eben auch solche kleinen Headsets. Dann wisst ihr, was damit gemeint ist. Dann werden wir ein paar Abkürzungen verwenden, die IPEI und ihr seid ja alle sicherlich im Netzwerksegment ein bisschen firm: International Portable Equipment Identifier. Das könnt euch vorstellen, dass ist sowas ähnliches wie die MAC- Adresse. An dem Beispiel seht ihr auch dort ist ein Teil kursiv geschrieben. Der ist sozusagen der Herstellerteil. Das ist auch wie bei der MAC-Adresse. Der ist fest zugewiesen. Daran kann man den Hersteller erkennen, und danach ist einfach ein Zähler. Ebenso kann man einen Netzwerkvergleich herstellen mit der IPUI der International Portable User Identity. Das ist so etwas ähnliches wie die IP- Adresse, die wird sozusagen von dem System ausgegeben, was es sozusagen betreibt, also der DHCP-Server vom NOC vergibt IP-Adressen und wir vergeben diese IPUIs und dann werden die ETSI kennenlernen, das European Telecommunications Standards Institute, das verabschiedet im Prinzip Standards, wie der Name sagt, in Europa. Und da gehört, ganz wichtig, auch DECT dazu. Die IPUI, noch ganz kurz hinterher, die gibt es in mehreren Formaten. Also das Beispiel, was dort steht, das muss nicht unbedingt so sein. Das ist nicht so einfach, wie bei der IT, genormt. So, und jetzt gucken wir uns mal ganz genau an, wie denn hier soein SIP-DECT zusammengestellt ist und Zivillian wird euch das erklären und ich verfolge das hier mal mit der Kamera. zivillian: Genau. Anleitung zum Selbermachen ist der Titel. Wir wurden schon oft gefragt, was genau macht ihr da? Wie funktioniert das? Kann ich das auch machen? Ich will Hotel-VPN machen äh Hotel-DECT machen. Was genau muss ich dafür tun? Ihr braucht natürlich eine Antenne, ein Radio Fixed Part. Die gibt's in verschiedenen Generationen. Wir empfehlen euch Generation 3 oder höher. Die sind relativ einfach zu erkennen. Zum Einen haben die Generation-3-Antennen, Lüftungsschlitze auf der Rückseite, und zum Anderen haben die Generation-3-Antennen auch einen USB-Anschluss. Das heißt, wenn ihr euch irgendwo sowas kaufen wollt und nicht sicher seid, was das ist, dann guckt einfach drauf. Generation 2 oder darunter empfehlen wir nicht mehr. Die Geräte gibt es unter Anderem beim Hersteller, aber man kann die natürlich auch gebraucht kaufen. Die gibt's meistens für unter 100 Euro. Wenn sie mehr als 100 Euro kosten, dann ist es ein bisschen überteuert. Dazu braucht er eine Lizenz, weil das ist natürlich keine Open-Source-Software von Mitel, sondern ein kommerzielles Produkt. Da gibts eine Besonderheit: Bis zu fünf Antennen können mit der integrierten Lizenz betrieben werden, die bei der Software mit dabei ist. Das heißt, für kleine DECT-Installationen, wie zum Beispiel für unser Aufbau-DECT, braucht man keine Lizenz. Das hat nur fünf Antennen. Das kann man einfach kostenlos nutzen. Wenn man telefonieren möchte, also nicht nur zwischen den Geräten, sondern in Richtung SIP, mit Dial-Out oder Dial-In, dann braucht man natürlich noch einen SIP- Server dahinter. Wir empfehlen an der Stelle immer den Yate, den wir selber auch einsetzen in unserer Installation. Und wir haben da in den Slides auch das Cookbook für Yate verlinkt. Das ist auch in dem QR- Code nochmal zu finden. Das sind relativ hilfreiche Anleitungen, wenn man da keinerlei Erfahrungen hat, um reinzukommen. Damit kann man sich auf jeden Fall auch einen eigenen SIP-Server installieren. Den OMM, den ST schon erwähnt hat, braucht man natürlich auch, weil der steuert die Antennen. Da gibt es zwei Möglichkeiten, wie man den betreiben kann. Die eine Möglichkeit ist, den direkt auf der Antenne laufen zu lassen. Da läuft auch nur ein abgespecktes Linux drauf. Da kann man auch den OMM laufen lassen. Das haben wir selber nie ausprobiert, deswegen haben wir da keinerlei Erfahrung. Alternativ reicht irgendwas, wo ein CENTOS läuft. In unserem Beispiel bei dem Aufbau- DECT ist das halt so eine kleine Hardware- Appliance. Für die Anlage, die wir hier auf der Veranstaltung betreiben, haben wir beim NOC einen Server stehen, wo die als VM drauf läuft. Hier nochmal hübsch visualisiert: Wenn man den OMM auf der Antenne laufen lässt, dann ist die erste Antenne gleichzeitig auch der OMM, und alle weiteren werden dann einfach per IP mit dieser ersten Antenne verbunden. Und der OMM braucht dann halt die Verbindung zu dem Yate, zu dem SIP-Server. Der Nachteil davon ist, dass man in dieser Minimalinstallation, wenn man keinen eigenständigen OMM betreibt, maximal 512 Endgeräte anmelden kann und wenn ihr auf unser Dashboard schaut, dann seht ihr, dass das für hier nicht funktionieren würde. Des Weiteren kann man maximal 256 Antennen anschließen. Das ist dann schon eine etwas größere Installation. Aber da gibts halt ein hartes Limit. Wenn man den standalone betreibt, kann man deutlich mehr Antennen anschließen, bis zu 4096, und in den aktuellen Versionen werden dann auch 10.000 Benutzer bzw. Geräte unterstützt. Jetzt haben wir den OMM schon mehrfach erwähnt. Die spannende Frage ist: Wie kommt man daran? Offizielle Antwort von Mitel ist: Wenn man sich so eine Antenne kauft, dann bekommt man entsprechende Zugangsdaten als Mitel-Kunde und kann sich dann in dem Download-Portal von Mitel anmelden und die Software herunterladen. Wenn man die Antenne auf dem Gebrauchtmarkt kauft, dann hat man natürlich keine Mitel-Zugangsdaten, aber die Release Notes enthalten Download- Links. die Release-Notes sind teilweise öffentlich verfügbar und über Suchmaschinen auffindbar. Und wir haben euch da mal so ein paar Suchbegriffe an die Hand gegeben, falls ihr Interesse daran habt. Ja, jetzt, wo ihr wisst, wie das geht, stellt sich natürlich die Frage: Was macht man damit? Das, was Hacker machen, ist halt sich Sachen anschauen und auch mal ein bisschen tiefer ins Detail schauen. Und das ist das, was euch LaForge jetzt erzählen wird. LaForge: Ist dieses Mikro ... ja jetzt ist es offen. Gut, Firmware-Analyse, ja. Man guckt sich also ... Ich mein für mich ist das normal: Warum guckt man sich Firmware an? Ist eigentlich klar: Jedes Gerät, was ich einen Finger habe, gucke ich mir an, was will ich denn sonst mit dem Gerät? Irgendwie, ja ich will ja verstehen, was es macht und wie es tut und wie es aufgebaut ist und was für Bauteile verwendet sind und so weiter. Also ist es für mich eigentlich normal, dass ich mir Geräte, die ich irgendwie habe anschaue. Jetzt hatte ich da gerade zu dem Zeitpunkt keine so eine Antenne. Aber ich habe mich vor zehn Jahren schon mal mit DECT intensiver beschäftigt als Teil des Projekts, was damals deDECTed hieß. Wir hatten da Schwachstellen entdeckt, entDECT. Ja, entDECT, genau. So, ja und außerdem ist DECT ja auch, wie wir gerade schon gehört haben, eine ETSI- Spezifikation und ich habe ja mit ETSI- Spezifikationen seit über zehn Jahren quasi täglich zu tun. Zwar jetzt nicht DECT, aber andere. Aber prinzipiell sind eigentlich alle mal ganz interessante Lektüre. Ich mein das ist Geschmacksfrage. Ich mag sowas halt. Und DECT ist ja auch immer noch weit verbreitet und gibt ja auch jetzt hier auch DECT-ULE für irgendwelche Internet-of-Things-Dinge, da werden wir später nochmal drauf zurückkommen. Und ich hatte eben gehört, dass jetzt seit dem letzten Jahr oder seit einiger Zeit das POCsich entschieden hat, auf ein neues System umzustellen. Eben auf dieses Mitel-IP-DECT/SIP-DECT-System. Und letztes Jahr bin ich im November umgezogen und dachte mir "Nee, Dezember Kongress, das ist zu viel Stress. Dann bleib ich mal daheim", und dann war ich daheim an Weihnachten über den Kongress und dachte mir "Ach, guck ich mir mal diese DECT- Geschichte an". Und ja, dann guckt man sich natürlich erstmal die Hardware an. Ging eben auch um diese Generation 3, die schon mal erwähnt wurde. Macht/guckt sich die Platine an: Was sind da so für Bauteile drauf? Da findet man dann ein Marvell Kirkwood ARM System-on-a-Chip, der, wie man sich die Firmware anguckt, tatsächlich ein fast Mainline-Linux laufen lässt. Und der hat zwei Ethernet-Ports. Falls jemand jetzt mit diesem Begriff Marvell-Kirkwood nichts anfangen kann, der ist in ganz vielen Network-Attached- Storage-Devices drin. Auch Shiva-Plug, und wie sie nicht alle irgendwie heißen, da gibts jede Menge Devices, die den verwenden, der hat zwei Ethernet in dieser Konfiguration hier in dem RFP drin. Ein Ethernet-Port ist jener, der Richtung OMM spricht, also der, der auch nach außen herausgeführt ist am Gerät auf der RJ45-Buchse. Und dann gibts einen zweiten Ethernet-Port. Ein zweiter Ethernet-Port: Was machen Sie denn damit? Und Sie haben tatsächlich diesen eigentlichen DECT- Prozessor über Ethernet angebunden. Das heißt, also man hat einmal Ethernet von diesem ARM-System-on-Chip, einmal Ethernet Richtung dem DECT-Prozessor und einmal Ethernet nach außen und man hat serielle Konsole für Uboot und Linux und das Passwort wird vom OMM gesetzt. Und das ist auch in der offiziellen Doku dokumentiert, dass das da gesetzt wird, wenn man den konfiguriert. Das heißt, man kann da auch prima drauf und sich das anschauen und so weiter. Also als legitimer User oder Anwender sozusagen dieses Geräts kann man sich dann einloggen, kann sich umschauen. Unten ist das mal schematisch dargestellt diese unterschiedlichen Verbindungen. Es ist dann auch noch ein UART da und andere, paar GPIOs und so weiter. Wenn man sich dann die Software anguckt, die da drauf läuft, ist, wie gesagt, ein ziemlich, erstaunlicherweise ein sehr, sauberer Mainline-Kernel. Ganz wenig Patches nur drin. Und letztlich ist es so, dass im Kernel eigentlich gar nichts DECT- spezifisches ist.Das ist ein ganz normaler Kernel. Es sind keine komischen Treiber oder irgendwas, sondern sie haben dann eben ein Programm, eben hier dieses /opt/ip_rfp/ip_rfp, was Pecket-Sockets aufmacht auf diesem Ethernet-Device zum DECT-Prozessor, und die ganze Verarbeitung der Kommunikation erfolgt dann in einem Userspace-Programm. Dann gibt es noch ein paar Bibliotheken und andere interessante Dinge, die man da so findet in der Firmware, aber es ist eigentlich erstmal ein ziemlich handelsübliches Linux mit eben diesen proprietären Komponenten, die hier Packet-Sockets aufmachen und derartige Dinge tun. Interessant ist dann auch, das man sieht, da habe ich jetzt nicht auf der Slide drauf, aber man findet dann andere, man entdeckt dann auch noch andere Dinge. Zum Beispiel hatte ich gesehen: Da ist Video-for-Linux in dem Kernel drin. Ich denk mir so: Was, Video- for-Linux in einer DECT-Basisstation? Was hat da jemand vergessene Configuration auszuschalten? Nein, es ist tatsächlich so man kann an diesem USB-Port eine UVC Kamera anschließen, also so eine USB Videoclass Kamera und kann dann auf seinem DECT Telefon, sofern es videofähig ist das Kamerabild über DECT sich anschauen. Sehr interessante Funktion. Dann findet man auch noch ein Bluetooth Chip drin. Aha, man kann also offensichtlich irgendwie Bluetooth Beacons virtuell erzeugen. Auf diesen DECT-Basisstationen vielleicht um irgendwelche Location Services in Museen oder irgendwas zu implementieren. Auf den ersten Blick siehts erst mal komisch aus, was man da so findet im Kernel. Aber macht dann Sinn. Sie haben tatsächlich irgendwie usecases dafür. So! Dann findet man binary images für die Firmware dieses DECT Prozessors einmal einen Bootloader, der über tatsächlich die serielle Schnittstelle, die verbunden ist zwischen diesem DECT Prozessor und dem ARM erst einmal drüber geschoben wird. Also über GPIO wird der Reset losgelassen, dann wird diese Firmware da reingeladen und diese Firmware, also der Bootloader. Der kann dann über Ethernet die eigentliche Firmware nachladen dieses "rfpng.bin", oder so dann gibt's noch einen "macmoni.bin" was wohl offensichtlich ein MAC Monitor sein soll. Was genau er tut, habe ich zumindest mir nicht angeguckt. Ja, nun guckt man sich das so an, da hat man dieses Ethernet Device. Und was macht man mit einem Ethernet? Man macht natürlich erst mal ein ".pcap" File und schaut sich an, was irgendwie auf diesem Ethernet unterwegs ist. Also dieses interne Ethernet auf dem Gerät. Interessanterweise sieht man da nur rohe Ethernet Frames. Es gibt da unterschiedliche Subsysteme. Der Ethernet- type unterscheidet dann, was für Subsysteme da gerade sprechen. Guckt man sich das so ein bisschen an, und mit dem, was man über DECT weiß und probiert so ein bisschen das eine oder andere aus auf einem Telefon, das da angeschlossen ist, und versucht, das zu verstehen. Und ich hab dann so einen minimalistischen Wireshark disector für die Teile des Protokolls, die ich verstanden habe, gebaut. Irgendwann war dann klar ab einem gewissen Punkt, wo die eigentlichen DECT standardisierten Pakete sich befinden, und dafür gibts dann, obwohl es nichts properiäres ist, leider auch kein Wireshark-disector. Ich hab da auch ein bisschen was angefangen, aber nur ganz minimalistisch, damit man halt irgendwie so ein bisschen seine Ergebnisse bestätigen kann. Dann kommen die höheren Schichten und so weiter. Da gibts dann auch wieder keine Wireshark-disektoren da habe ich dann aufgehört, das wird dann uferlos das zu beschreiben. Im Grunde sieht der Split der Funktionen. Wenn man sich den DECT Netzwerkstack anschaut so aus. Ich werde jetzt nicht ins Detail gehen. Wer sich da mehr dafür interessiert. Ich hatte einen ausführlicheren, technischen Vortrag gehalten auf der Osmo-Defcon Anfang April diesen Jahres. Der ist auch bei "media.ccc.de" verlinkt. Aber das ist sozusagen der Split. Im OMM läuft also der Data DLC layer, der NWK Layer und was dann oben drüber kommt und im Radio teil, ist eigentlich nur der PHY und der MAC Layer und an der Schnittstelle zwischen DLC und MAC Layer. Da ist dieses Protokoll, was man sieht über diesen RAW-Ethernet Frames, die da vorhanden sind. So! Dann war das irgendwie so ein bisschen klar, was da passiert. Dann guckt man weiter in Richtung dieses OMM RFP Protokolls. Das sieht man. Da wird eine TCP Verbindung aufgebaut, und dann guckt man im Wireshark und sieht... Naja, das ist irgendwie alles, sieht ziemlich random aus, die Entropie ist sehr hoch, muss also irgendwie verschlüsselt oder zumindest verschleiert sein. Man kann dann in dem RFP und dem OMM ziemlich viel logging einschalten, und da macht es dann auch irgendwann Hex-dupms. Aber die Hex-dumps haben überhaupt nichts damit zu tun mit dem, was über diese TCP-Verbindung geht. Ist also irgendwie verschlüsselt. Ist aber auch kein TLS. Dann guckt man mal, die Symboltabellen an, findet, da ist Blowfish drin. Und zwar wird quasi Blowfish Funktionen aus openssl benutzt, und dann kann man ja, wenn es dynamisch gelinkt ist, kann man ja so mit LD-preload andere Bibliotheken hinladen, die die gleichen Symbole anbieten. Und das waren dann 2 Bibliotheken eine "libtracefish", die sozusagen cypher Text und plain Text jeweils als Hex-dump am ausgegeben hat, damit man sieht, was da passiert. Und dann als nächstes die "libnullfish", die einfach jeden call auf die Blowfish Funktion durch ein memcopy ersetzt. Und dann hat man eben den plain Text auf der anderen Seite und sieht das da. Was man erkennt, ist, dass viele der rohen Ethernet Frames, die man auf der Seite Richtung DECT-Prozessor gesehen hat, einfach 1 zu 1 durchgereicht werden, die man halt enkapsuliert zusammen mit vielen anderen Dingen über dieses TCP- Protokoll. Da werden wir noch mehr drüber hören, gleich dann im Anschluss, das haben sich die Leute von Eventphone dann wieder näher angeguckt. Was wichtig an der Stelle noch ist. Ja gut, dann kann man diese Verschlüsselung abschalten. Aber Dieter Spahr, bekannt auch aus dem osmocom Projekt, hat sich dann die Verschlüsselung nochmal ein bisschen näher angeguckt, die da passiert. Und die, ich meine Blowfish ist natürlich klar. Aber die Schlüssel Generierung im Speziellen, und es war dann ziemlich schnell klar, dass es ein statischer, für alle Geräte global einheitlicher statischer Key ist, der da verwendet wird. Und das ist natürlich schlecht, wenn man irgendwie einen global auf allen Geräten identischen Key hat, den man dann da auch rauspopeln kann aus der Firmware. Damit kann man natürlich auch die Kommunikation anderer Geräte entschlüsseln. Und das bringt uns dann eigentlich zu dem entdeckten Security Problem. Und ich gebe zurück. zivillian: Wie LaForge gerade schon sagte Das ist ein statischer Key, der für alle Installationen genutzt wird. Das ist insofern ein bisschen kritisch, dass jemand, der in der Lage ist, eine man-in- the-middle Attacke durchzuführen, die Kommunikation entschlüsseln kann, mitlesen kann, potenziell manipulieren kann. Wir haben uns dann überlegt Naja, wie kann man denn so eine man-in-the-middle Position erreichen? Habe hier mal ein Foto. Danke roter Kreis. Gelächter zivilian: Wir haben dann da noch ein bisschen rangezoomt. Die hängt jetzt glücklicherweise relativ tief. Manchmal werden diese Außen-Antennen noch deutlich höher angebracht, zum Beispiel an Baumärkten. Da braucht man dann noch eine Leiter. Und naja, diese vier schwarzen Punkte, das sind halt Kreuzschlitzschrauben. Und Gelächter zivilian: Wenn man die dann aufschraubt, dann ist da irgendwie ganz schön viel Platz. Und da ist so eine RJ45-Buchse. Da geht doch was! Gelächter Applaus Wenn man jetzt keine Motivation hat Nachts im Dunkeln, draußen bei Regen am Baumarkt. Es gibt auch Indoor Geräte, die werden ganz gerne zum Beispiel in Hotels eingesetzt. Die hängen dann da von der Decke. Das Problem an der Stelle ist. Dieses Foto stammt aus einem Hotel in der Nähe von Paris. Das ist also kein Problem, das nur in Deutschland besteht. Dass es diese mitel-SIP-DECT Basen haben eine weltweite Installations-Basis. Die werden überall eingesetzt, die werden in Größenordnungen eingesetzt, wo es nicht nur darum geht, drei, vier, fünf Antennen zu haben, hauptsächlich in Konferenz, Gebäuden, Veranstaltungsorten, was auch immer oder eben Hotels. Und das führte uns dann zu der Überlegung. Okay, können wir so nicht lassen. Wenn wir das können, können das auch andere. Und wir haben gelernt Responsible Disclosure. Man sagt dem Hersteller vorher Bescheid und gibt ihm die Möglichkeit, das Problem zu lösen. Deswegen haben wir auch ein wunderhübschen CVE bekommen. Die Frage ist Wie hat der Hersteller darauf reagiert? Wir haben da, um das Transparent zu machen, einmal eine kurze Timeline. Erste Kontaktversuche gab's Mitte/Anfang Oktober. Wir haben beim Support von Mitel angerufen, weil wir auf der Webseite nur eine E-Mail-Adresse gefunden hatten, die sehr generisch aussah. Haben uns da durch dieses Telefon- menü durchgeklickt. Und hatten dann irgendwann einen Mitarbeiter am Apparat und haben ihm erklärt, wir würden ganz gerne mit jemandem über Security bei SIP- DECT reden. Die Antwort war SIP-DECT habe ich schon mal gehört, aber von Security habe ich keine Ahnung. Wir haben dann als Alternative unseren, oder einen, Mitel Partner kontaktiert, zu dem wir einen sehr guten Kontakt hatten, und haben ihm gesagt, der Chaos Computer Club würde gerne Mitel Bescheid geben, bevor er einen Vortrag hält. Das war am 11.10.. Das ist ein Freitag. Am 14.10 hatten wir eine E-Mail von dem Produktmanager Wireless, der doch mal um ein Gespräch bzw. einen vorort Termin bat. Dieser vorort Termin hat eine Woche später stattgefunden, und wir haben mit dieser Aufbau Installation, die ja auch auf dem Tisch liegt, präsentiert, was wir gemacht haben, wie das aussieht und wo das Sicherheitsproblem aus unserer Sicht ist. Wir haben uns darüber unterhalten, wie man das Problem lösen kann, haben erklärt, relativ umfangreich erklären müssen, was Eventphone ist. Und haben dann abgewartet und einen Monat später nachgefragt und hatten dann die Zusage bekommen. Ja, wir haben eine Lösung. Wir testen die gerade noch im Lab. Aber es wird ein Update gegen bis zum Congress, sodass unsere Installation von diesem Problem nicht mehr betroffen ist. Ein Tag später haben wir uns dann vor Ort getroffen und den Lösungsansatz besprochen. Und der Lösungsansatz war: Ihr kriegt eine Custom- Firmware. Die hat einen anderen Blowfish- Key. Gelächter und Applaus Das hat uns natürlich nicht gefallen, wir haben uns intensiv Gedanken gemacht, eine Woche später unseren eigenen Lösungsansatz übermittelt und haben dann kurz vor Weihnachten die Zusage bekommen: Okay, wir haben uns beeilt, ihr kriegt ein ordentliches Update aber erst in Q1 2020. Da haben wir gesagt: Na gut, dann relesen wir unser Tooling nicht, aber wird schon irgendwie gehen. Und am 20. 12., einen Tag später, gabs einen Anruf. Ja, nee, das kommt doch bis zum Vortrag. Das Product Security Incident Response Team aus Kanada hat sich eingeschaltet, und augenscheinlich ist das Problem größer als erwartet. Gelächter Seit zwei Tagen ist das Update verfügbar. Wie vorhin schon gesagt im Download Center von Mitel, nachdem man Zugangsdaten eingegeben hat, die wir nicht haben. Es gibt auch einen Security Advisory auf der Webseite. Und wir haben dem Hersteller gesagt, oder möchten dem Hersteller die Möglichkeit gegeben, dass er auch die Sicht aus... Die Dinge aus seiner Sicht einmal darstellen kann. Deswegen haben wir zwei Folien von Mitel. Bitte nicht blenden lassen, die sind sehr hell. Hab ich den ausgemacht? ST: Es gibt nen Krassen Hack. Gelächter zivillian: Na gut. Aus Sicht von Mitel tritt das Problem halt nur auf, wenn man eine man-in-the-middle Position erhält und das ist ja in Firmen-Netzwerken sehr schwer möglich. Und hier auch nochmal Das Update IST verfügbar, das kann heruntergeladen werden. Sind auch nochmal die Download Links und der Link auf das Security Advisory. Für die Leute, die kein Englisch verstehen, gibt's das ganze auch nochmal in Deutsch. Und bei Fragen soll man sich an den Support von Mitel wenden bzw. an den technischen Support der Mitel Partner. ST: Trotzdem muss man sagen In unter 90 Tagen von Reporten bis Bugfix ist für so einen großen Konzern, schon mal so schlecht nicht, das haben wir schon schlechter gesehen. Applaus zivillian: Ja, Geht wieder? Genau am Anfang hatte ST schon erwähnt rfpproxy, was ist das? Das ist halt ein transparenter, zwei Wege Verschlüsselung, Entschlüsselung, Maschine-in-the-middle Proxy. Warum? Naja, wenn schon man-in-the-middle, dann richtig. Der kann halt sämtliche Kommunikation verschlüsseln, entschlüsseln. Der kümmert sich um das Re- keying was in diesem Protokoll noch mit drin ist, da werden regelmäßig die Blowfish-keys ausgetauscht. Der bietet eine Möglichkeit, selektiv Nachrichten zu manipulieren. Man kann Nachrichten unterdrücken, man kann eigene Nachrichten einschleusen und um die Stabilität unserer Anlage insbesondere auf diesem Event nicht zu gefährden, findet sämtliche Verarbeitungen, also das eigentliche Verändern der Kommunikation, extern statt. Um euch das zu veranschaulichen, so sieht das normalerweise aus. Man hat halt die Antenne die redet per TCP auf Port 12621 mit dem OMM. Wir haben halt auf unserer Installation neben dem OMM noch den rfpproxy laufen. Der lauscht auf einem anderen Port. Gibt es so eine kleine iptables Regel und ip Transparent Proxy. Und dann ist da auf einmal der Proxy dazwischen, und der reicht dann bei Bedarf die Kommunikation über einen Sockel wieder raus und man kann kleine Tools da dranhängen. Hier beispielhaft Motorola, ein Loggingtool, was auch ".pcap" schreiben kann in dem Format, was da noch Richtung Baseband-Management Controller gesprochen wird, also in der Antenne. Man kann Audio Verarbeitungen damit manipulieren oder die LEDs steuern. An der Stelle zur Klarstellung noch mal diese Antennen sind dumm. Sämtliche DECT spezifische Verarbeitungen, was nicht Audio ist, also der gesamte DECT Protokoll Stack läuft im OMM. Und die Antennen sind so dumm, die wissen noch nicht einmal, wie sie ihre eigenen LEDs anmachen. Ja, wenn man diesen Proxy jetzt benutzen möchte, dann hat man immer noch das Problem, dass er da nicht nur der spezifizierte DECT-Standard drüber gesprochen wird, sondern auch die proprietären Hersteller spezifischen Informationen wie z.B.: wie steuert man LEDs? Da gab es einen relativ hohen reverse-Engineering Aufwand, um das mit den Logdateien und dem Tracing zu korrelieren. Dafür braucht man Daten. Da darf ST noch mal dran. ST: Wie haben wir jetzt diese Daten bekommen? Mein Kollege Zuckerberg und ich sagen da immer, woher Daten nehmen ohne die User zu beklauen. Wir haben das ernst genommen und haben gedacht Ja, wenn wir jetzt auf irgendeinem Event einfach mal Daten mitschneiden und die auswerten, dann werden wir hier geteert und gefedert. Deswegen haben wir das einfach mal transparent gemacht. Wer von euch war auf dem letzten EsterHegg 2019? Ok, wenige. Dann erkläre ich das mal, vor dem EsterHegg haben wir einen Blogeintrag geschrieben, dass wir Metadaten erheben wollen. Dass wir im Prinzip alle Daten, die irgendwas mit den Geräten und der Kommunikation zu tun haben, außer die Sprache mitschneiden wollen bei den DECT- Geräten. Man musste das im GURU, wenn man sich eine Nebenstelle für das EsterHegg geklickt hat, noch einmal bestätigen. Es war auch sehr unangenehm, weil wir einfach wollten, dass es jeder mitbekommt. Und Wir haben auch ehrlich damit gerechnet, dass da irgendein Shitstorm gibt, wenn wir da sagen Ja, wir speichern da alles. Dass da irgendwer sagt: ne, macht das mal nicht. Wir haben aber eben im Vorfeld ganz genau aufgeschrieben wozu und warum. Und offensichtlich haben wir es geschafft, den Leuten zu erklären, dass es dazu ist, um die Daten später zu analysieren und dann Fehler zu finden oder Unregelmäßigkeiten zu finden. Wir haben ja selbst nicht gewusst, wonach wir eigentlich suchen. Wir haben halt erst mal irgendwie diese Müllhalde voll gemacht um dann da drin herum zu schnüffeln. Und mit dieser Taktik hat das dann funktioniert. Es gab auch eine Alternative: Man konnte sich SIP- Nebenstellen, klicken, mit denen man sozusagen von SIP zu SIP telefonieren konnte. Da hätten wir dann keine Metadaten erhoben. Aber das hat total gut funktioniert. Wir haben das auch insofern transparent gemacht. Wir haben alle Daten, die wir nochmal extra gespeichert haben, oder diese die Daten haben wir extra nochmal gesichert, und verschlüsselt auf den verschlüsselten Filesystemen gespeichert. Es hatten auch nur ganz wenige Leute Zugriff vom POC da über haupt darauf. Das war alles ganz genau reglementiert. Wir sind also im Prinzip so rangegangen, wie wir uns das vorstellen würden, wenn man mit unseren Daten umgeht. Und dann, Am Ende haben wir uns natürlich auch Gedanken darüber gemacht: wie werden wir die jetzt wieder los? Und auch da war unsere große maximale Transparenz. Vielleicht hat das auf dem Camp der eine oder andere mitbekommen. Wir haben das auch in ein Video gegossen. Wir können das leider nicht abspielen, weil es gibt ja so Verwertungsgesellschaften. Deswegen hier nur ein Screenshot und ein QR-Code. Es gab auf jeden Fall bei den Daten Vier-Augen-Prinzip. Bei allem Spaß. Ich bin auch tatsächlich Datenschutzbeauftragter, betrieblicher, und hab mir alles genau angeguckt und auch mit den Entwicklern zusammen die Daten mit dem oder nach dem Vier-Augen-Prinzip gelöscht. Was uns heute auch ein bisschen auf die Füße gefallen ist, weil wir wollten noch ein paar statistische Daten hinterher schmeißen. Aber wir haben halt einfach schlicht nichts mehr davon. Wir können nicht mal mehr sagen, wie viele Daten das waren und wie groß die waren. Ja so ist das. Aber ich glaube, das ist nicht besonders schlimm. Deswegen nocheinmal Vielen Dank auch an alle User, die das Spiel auf dem EsterHegg mitgemacht haben. Das hat uns sehr, sehr viel geholfen und war richtig richtig informativ. Wir konnten dann nämlich auch ganz tolle neue Features daraus bauen, weil wir das eben anhand dieser Daten analysieren konnten. Und das erste tolle Feature zeigt uns zivillian. zivillian: Genau ich hatte ja gerade schon gesagt die Antennen können nichtmal ihre eigenen LEDs steurern. Das heißt in diesem Protokolll gibt es eine SysLED-Nachricht, die diese vier verschiedenen LEDs die an so einer Antenne dran sind, zentral ein- und ausschaltet, gibts verschiedene Patterns, in denen die blicken können. Uns ist aufgefallen, dass eine Pattern, wenn man die dritte LED rot-grün blinken lässt. Legst einfach aufs aufbau DECT. Wenn man die dritte LED rot-grün blinken lässt, dann blinkt die nicht nur, sondern das setzt auch noch das Busy-bit im BNC- Controller. Damit verweigert die Antenne jegliche DECT Kommunikation, also über die Lampe wird da auch Funktionalität gesteuert. Die vierte LED ist normalerweise fürs WLAN. Das dürfen wir hier nicht, weil da würde uns das NOC hauen, deswegen ist die vierte LED überall aus auf dem Event. ST: ja. Aber warum blinkt die denn? zivillian: Die blinkt, weil in diesem Aufbau DECT ein Tool von uns läuft, was morsen kann, weil wir brauchen die ja nicht. Applaus zivilian: Ihr könnt ja mal schauen Irgendwo auf der Veranstaltung wird sicher auch noch ein paar blinkende LEDs geben. Das einzige Problem ist Sie können nur mit einem Herz blinken. Ihr müsst also ein bisschen Zeit mitbringen. Magst du wieder auf die Folien schallten? Genau eine zweite interessante Nachricht, die wir gefunden haben, ist Mediatone. Wenn ihr den Hörer abnehmt, hört ihr ja normalerweise so ein Freizeichen bzw. Wenn euer Gesprächspartner fertig ist und auflegt, dann hört ihr schon ein hübsches Tuten. Das wird direkt in den Antennen generiert. Dafür gibt's eine eigene Nachricht, die da hingeschickt wird, die sagt: bitte spiel mal folgende Frequenzen parallel in folgender Reihenfolge so und so lange. Dieses Protokoll kann bis zu 256 Einträge. Dieses Protokoll kann bis zu vier Töne gleichzeitig. Dieses Protokoll kann Schleifen. Wir dachten uns, naja warum nur so langweilige Töne? Also gibt es jetzt einen MIDI Konverter, der Midi Files nach Antenne konvertieren kann. Das möchte ich gern einmal vorführen. Applaus ST: Das ist nicht meins. zivillian: Das ist meins. Wähl doch mal die 4502! ST: Lieber Mann vom Audio kannst du mich mal Muten, bitte? zivilian: Ah, es klingelt. ST (durch DECT) Hallo? zivilian: hört ihr das? ST (DECT): Ja, Test Test. zivilian: sehr schön. unverständlich Brummen zivilian: Da bist du wohl zu weit weg. ST(DECT): Oh entschuldigung! zivilian: Ja die Reichweite ist ein bisschen begrenzt. So dann mach doch mal Tetris an. ST(DECT): Ja also wir haben ja eine ganz normale Telefonverbindung. Das hört man jetzt. Und Jetzt tippe ich mal Tetris. Moment. DipDupDipDopDop leises Gelächter zivilian: fehlt da nicht noch einer? ST(DECT): Haben wir vorhin doch getestet. Jetzt. Dop ST: Geil. Richtig Gutes Zeug, warte. lachen aus dem Publikum DipDupDipDapDapDap Tetris Melodie aus dem DECT Applaus zivillian: Ja, ihr habt das Telefon von ST gerade schon gesehen. Das ist ein wunderhübsches Motorola S120x, irgendwas 1 bis 4 hintendran steht für die Anzahl der Geräte, die in der Schachtel sind. Warum dieses? Naja, das ist halt das billigste Gerät, wenn man nach DECT sucht. Es ist bunt, also das ist orange. Das gibts aber auch in Türkis, in Rosa, in Grün. Laut Hersteller, wie man auf der rechten Seite sieht, ist es GAP kompatibel. Das ist immer ein wichtiges Feature. ST: Und GAP-Kompatibilität erreicht man übrigens nicht, indem man es nur auf die Schachtes schreibt. Gelächter zivillian: Und das beste Feature von dem Telefon Es lässt sich nicht anmelden. Wir hatten auf vielen Veranstaltungen auf dem EasterHegg auf dem letzten Kongress immer wieder Leute, die sich gerade neu dieses Telefon nur für uns gekauft haben und sehr traurig waren, dass es nicht funktioniert. Wir haben nicht mehr viel Zeit. Wir versuchen es aber. Mit dem Proxy konnten wir da mitlesen. Wie redet denn das Telefon mit dem OMM? Und wenn man so ein Telefon anmeldet, dann muss man die Pin eingeben, und ganz am Ende gibts dann eine AccessRightsAccept Nachricht. Und da kriegt das Telefon dann seine UserIdentity zugewiesen. Die endet hier auf "df". Und wenn das Telefon dann telefonieren möchte, dann sagt es. Ich bin übrigens dieses Telefon, und dann schickt es die IPUI mit. Die endet nicht mehr auf "df". Und die Antwort darauf ist: IPUI not Accepted. Im ETSI Standard oder bzw. in dem GAP Standard ist definiert Requirement N. 18: So und so hat die Anmeldung abzulaufen. Das verweist wiederum auf den DECT Standard, in dem steht: wenn da so eine "Acces-Rights-Accept" Nachricht kommt, dann soll das Telefon das abspeichern. Das tut es wahrscheinlich auch, weil da steht nichts von wieder mitsenden. Aber keine Ahnung. Und da ist definiert, dass so eine IPUI bis zu 60 Bit lang sein darf. Das, was wir da gerade gesehen haben, waren in dem Rahmen. Diese IPUI-O hat vorne vier Bit "Portable User Type" dran stehen, dass es halt eine IPUI-O ist. Und danach kommen bis zu 60 Bit "Portabel User Number". Wir haben ja die IPUI nochmal farblich aufbereitet. Hintendran das "df", Das ist das, was gerade eben verloren gegangen ist. Und Mitel hat eine Besonderheit, die nutzen für diese User Identity einfach die IPEI, also die Seriennummer von dem Gerät wieder. Und sagen dem Telefon, Du bist immer noch du. Und die IPEI hat eine Länge von 36 bit, das ist definiert. Und wenn man sich das hier anschaut, dann gibt's da vorne so 4 bit, oder diese beiden roten Nullen, die definitiv nicht genutzt werden, zumindest nicht an einer Mitel SIP-DECT Anlage. Und daher kam dann auch der Lösungsansatz, dieses Telefon kompatibel zu machen. Wir verschieben einfach die relevanten Daten um, ein Byte nach vorne in Richtung Telefon und wenn sich das Telefon meldet, dann schieben wir sie einfach wieder zurück. Und dann ist der OMM glücklich. Und deswegen funktionieren seit diesem Jahr auch diese Telefone an unserer Anlage. Applaus zivilian: Und auf dem Event haben wir dann festgestellt, nein anderesherum. Wir verschieben die Sachen, um sicherzugehen, dass es nur diese Telefone betrifft, nutzen wir den Hersteller Code, der bei der IPEI vorne dran steht, um diese Telefone zu identifizieren. Das heißt, wir müssen das für jedes Telefon, was diese Fehler hat, individuell anschalten. Aber stellen damit sicher, dass wir nicht nicht so viel kaputtmachen. Wir haben an der Stelle natürlich auch den Hersteller informiert. Ende September haben wir alle Informationen per Mail geschickt. Die haben das nach China weitergeleitet. Wir haben einen Monat später nachgefragt. Wir haben nichts gehört. Vielleicht passiert noch etwas. Auf dem Event, da wir dann leider feststellen müssen, dass dieses Telefon nicht das einzige ist. Wir haben dann die Liste der Hersteller, Präfixe, die auf der Whitelist stehen, deutlich erweitern müssen, damit auch die T-Sinus Telefone funktionieren, damit das Belgacom Telefon funktioniert. Also Wir haben da so um die 20 Geräte inzwischen. ST: Audio Visuelles Marketing, mit Marketing haben Sie es ja nicht so. Aber vielleicht haben Sie was mit Ihren Telefonen? zivilian: Ja, wer unseren Blog liest. Wir hatten das letztes Jahr schon Ende letzten Jahres. Das Problem mit dem AVM Telefon, weswegen wir auch immer von FritzFon abgeraten haben. An unserer Anlage wurde nicht angezeigt, wer anruft. Es stand immer nur intern. Wir haben das im Blog im Detail beschrieben. Aber da wir jetzt die Nachrichten nicht nur mitlesen, sondern auch manipulieren können. Naja, flippen wir halt ein Bit, und dann steht da, wer es ist. Gelächter und Applaus zivilian: Wir haben ja noch was Positives zu AVM. Wir haben uns eine Fritzbox gekauft und waren sehr glücklich, weil die Fritzbox kann nicht nur TCPdump, sondern die Fritzbox kann auch DTrace. Das D steht für DECT. Unter der URL die da auch angegeben ist, findet ihr in jeder handelsüblichen Fritzbox dieses Capture Interface. Da gibts dann ganz am Ende den Eintrag. Und das Spannende ist: Die Gigaset Telefone können an einer Fritzbox das Telefonbuch anzeigen. Das geht an unserer Anlage noch nicht, und wir haben ein wenig die Hoffnung, dass wir das ändern können. ST: Ausblick. zivillian: Was machen wir damit? Unser Wunsch wäre Leute, die sich für DECT interessieren, Leute, die Interesse an einer Mitel Installation haben, die sich auch damit beschäftigen, dass wir nicht die einzigen sind. Wir hoffen, dass ihr mit den Informationen loslegen könnt. Wir würden uns freuen, wenn der Wireshark Dissector den LaForge angesprochen hat, weiterentwickelt wird, weil der würde uns auf jeden Fall helfen, dort tiefer ins Detail zu gehen. Spielt mit der Hardware spielt mit der Software! Und ich, Du hast noch was? ST: Ja ich hab noch was, und hier DECT ULE, wir hatten es vorhin auch von LaForge gehört. Kann man auch mal genauer drauf guchen. Wir haben auch gehört es gibt EC- Terminals die über DECT funktionieren. Und unsere Bitte, wir sammeln immernoch Daten, und das hatten wir auch auf dem EsterHegg schon mal angesprochen. Hier nochmal in großer Runde. Crowdsourcing ist das Stichwort. Wenn ihr wisst, was ihr für ein DECT Telefon habt und was für ein Modell, und uns das verraten wollt, dann könnt ihr das im GURU eintragen. Daswürde uns extrem helfen, weil nämlich wir bei der ETSI nach dieser sogenannten EMC Liste nachgefragt haben Equipment Manufacturers Code, sozusagen das was ich kursiv auf dieser Folie dargestellt hatte, Woran man erkennen kann, welcher Hersteller es ist. Und da war die Antwort: die ist geheim. Gelächter ST: Also es wäre total super, wenn Ihr euer Modell da eintragt, das hilft uns extrem, weil dann können wir das auch zuordnen. Im Zweifelsfall, wenn wir Fehler haben. Genau und wenn ihr das, das war im Prinzip alles, was wir von euch noch wollen. Und wir können da im Prinzip nur sagen Viele Dank! Und du hast auch noch was? LaForge: vielleicht zum Proxy, wegen veröffentlichen und so weiter. Soll ich dazu noch was sagen? ST: Ach so richtig, ja, der Proxy, der ist noch nicht veröffentlicht. Magst du noch was sagen, warum wir das nicht veröffentlichen? zivillian: Ich hatte das ja in der Timeline schon dargestellt. Wir haben sehr, sehr kurzfristig die Zusage bekommen, dass der Fehler behoben wird. Wir fanden es unverantwortlich, unser Tooling zu veröffentlichen, nicht nur, weil dann unsere Anlage betroffen ist, sondern weil es irgendwie mit zwei zeilen Code möglich wäre, jede SIP-DECT Installation weltweit zu kompromittieren. Wir sind in Abstimmung mit dem Hersteller. Wir wollen das Tooling veröffentlichen. Wir wollen euch das zur Verfügung stellen, sodass ihr auch selber reinschauen könnt, wenn ihr so eine SIP-DECT Installation habt. Der aktuelle Plan ist, dass im ersten Quartal nächsten Jahres zu machen. Sobald die bestehenden Installationen die Chance hatten, das Update einzuspielen. Applaus Herald: Vielen, Vielen Dank, für die schöne Präsentation, ich bin mir sicher, dass ihr Lust habt, mit uns noch ein wenig zu diskutieren. Ich schau mal, ob ich schon Fragen hier sehe. Wir haben Mikros aufgestellt im Saal, die eins, die zwei und die drei stellt euch da einfach dran, und wir haben auch Fragen aus dem Internet. Aber wir fangen sofort hier mit der zwei an. Deine Frage bitte. Frage: Ihr habt gesagt, es gab erst ein Update von Mitel und das habt ihr beanstandet. Und dann wurde gesagt es gibt eine bessere Lösung. Was ist denn jetzt die bessere Lösung? Wie wird der Key denn jetzt generiert? zivilian: Die Antennen müssen initial einmal mit der Installation gekoppelt werden. Der Vorgang nennt sich Capture. Die Annahme, die wir getroffen haben, ist, dass dieser Vorgang in einer vertrauenswürdigen Umgebung stattfindet. Und im Rahmen dieses Capture Vorgangs wird individuelles Schlüssel Material zwischen dem OMM und der Antenne ausgehandelt und für die weitere Kommunikation genutzt. Das heißt, jede DECT Antenne hat einen eigenen Blowfish-Key. Herald: Da machen wir die Frage von meinem Signal Angel, also aus dem Internet. Signal-Angel: Wussten die Leute vom Baumarkt, dass da an der Außenantenne gebastelt wurde. zivilian: Das könnte auch gephotoshopt gewesen sein. Ich kann das weder bestätigen noch verneinen. Applaus Herald: Die 2 bitte. Frage: Euren Tetris Hack da kann man den nutzen, um zum Beispiel bei den eigenen Extensions eine eigene MIDI-Melodie zu setzen. Das heißt, wenn ich jemanden anrufe wird der zumbeispiel gerickrolled? zivilian: ich glaube rickroll, wär zu lang, weil 256 Töne ist das Limit. Das Hauptproblem ist, dass die 256 Töne nur auf den 2G Antennen funktionieren. Mitel hat bei den 3G Antennen an der Hardware gespart. Die können nur noch sechs Töne. Das reicht nicht mehr. Herald: Okay, ich schau nochmal zu meinem Signal Angel haben wir noch Fragen aus dem Netz? Signal-Angel: Ja eine kommte gerade noch rein: wo genau kann man seine Telefon Gerätenummer melden? zivilian: magst du? ST: Im GURU. Eventphone, bzw. guru3.eventphone.de, wenn du dich dort einloggst in deinen Account hast so bei deinem Gerät sozusagen ein Schlüssel, quatsch nicht Schlüssel, einen Stift. Da kannst du das eintragen. Das ist ja auch auf der Folie zu sehen. Genau, auf den Schlüssel klicken, Dann kannst du dein Handset editieren, und dort kannst du unten bei Model das Modell eingeben und den Hersteller. Du kannst dem sogar einen Namen geben, was den Vorteil hat, wenn du das das nächste Mal benutzt, dann kannst du eine Nebenstelle registrieren und unten gleich das DECT zuweisen, dann musst du auch den Token nicht mehr eingeben, sondern kommst auf die Veranstaltung und das Telefon funktioniert einfach. LaForge: Vielleicht wenn ich da noch kurz ergänzend, oh das mikro ist offensichtlich wieder aus. Ergänzend nachdem die Frage ja aus dem Netz kam. Das geht natürlich hier nur für die Leute, die bei Eventphone ihr Telefon eingebucht haben. Das ist damit das in Ruhe registriert ist, Dann ist die Nummer ja mit dem Account entsprechend assoziiert. Also wenn jetzt jemand irgendwo da draußen im Internet, der nicht auf einer CCC-Veranstaltung war oder eine Eventphone-Veranstaltung war, der kann das natürlich so nicht machen. Das wollte ich noch vielleicht ergänzen. ST: Ist bestimmt nur jemand in der Assembly, der zu faul ist, herzukommen. Gelächter Herald: Die drei Bitte. Frage: Wenn ich es richtig verstanden habe, dann sind für gebraucht-verkaufte Stationen bisher keine Downloads möglich. Muss oder will Mitel da auch nachbessern, um das Update zur Verfügung zu stellen? zivillian: Das kann ich leider nicht beantworten. Das weiß ich nicht. LaForge: Die Kontaktdaten stehen ja in diesem Advisory drin. Das kann man ja durchaus mal den Leuten nahelegen, dass man an die Users vielleicht auch denkt in dem Kontext. Herald: Dann die Zwei Bitte! Frage: Ihr habt jetzt die Kommunikation zwischen den Antennen und dem OMM angeschaut, gibts auch Bestrebungen, die Antenne oder den OMM weiter durch OpenSource oder Eigenentwicklungen zu ersetzen, gerade wenn hier osmocom Leute anwesend sind. LaForge: Naja, ist halt immer so eine Frage der Zeit. Die Zahl der Projekte wächst über die Zeit. Die Zahl der Leute, die an den Projekten arbeiten, wächst leider nicht entsprechend mit. Von daher sehr gerne. Ich wäre der erste, der da "Hurra" schreit, aber es müssten sich halt auch Leute irgendwie einbringen. Dementsprechend. Ich denke ein guter Startpunkt für etwaige spätere OpenSource Entwicklungen, oder überhaupt Arbeit mit DECT wäre, wenn Leute zu dem DECT Wireshark Dissektor beitragen würden. Ja, das ist ja alles Zeug was in der DECT- Spezifikation steht. Also man muss diese Specs lesen, man muss sie verstehen, was man sowieso muss, wenn man an OpenSource in dem Kontext arbeiten will. Zumindest eben isolierte Teile davon, und das kann man dann in Wireshark Dissector ausdrücken. Und dann hätte man schon mal eine bessere Ausgangsbasis. Also Sehr gerne. Aber, ja, Contributions brauchen wir. Herald: Ok, Im Saal sehe ich keine weiteren Fragen, ich schaue nochmal zu meinem Signal Angel. Auch keine. Dann bedanke ich mich bei euch erst einmal für die lebhafte Diskussion bei euch dreien bzw. bei allen von Eventphone für eure Arbeit. Vielen vielen Dank! Applaus 36c3 Abspannmusik Untertitel erstellt von c3subtitles.de im Jahr 2021. Mach mit und hilf uns!