Statusoppdatering om mulige falske basestasjoner

Aftenposten har i flere artikler i tiden fra 12. desember 2014 skrevet om funn av falske basestasjoner som kan overvåke mobiltelefoner i Oslo sentrum. Som følge av blant annet Aftenpostens undersøkelser, men også NSMs innledende undersøkelser, iverksatte PST etterforskning 14. desember 2014.

Vi vil i dag presentere status i etterforskningen knyttet til det materialet Aftenposten har bygget sine konklusjoner på. Vi har hatt som mål at etterforskningen i sin helhet skulle være ferdig i første kvartal. Fortsatt gjenstår det enkelte etterforskningsskritt, men vi betrakter oss som ferdige når det gjelder det materialet Aftenposten har basert sine artikler på, og som vi har fått fra dem. Når vi velger å gå ut med informasjon før saken i sin helhet er ferdig etterforsket, er det fordi vi ønsker å bidra til at den offentlige debatt rundt denne problematikken blir mest mulig presis. Vi registrerer at mye av informasjonen som gjengis i offentligheten knyttet til saken, er feilaktig.

Vår konklusjon er at det ikkeer funnet indikasjoner på bruk av falske basestasjoner eller imsi-fangere i det grunnlagsmaterialet som Aftenposten har basert sine artikler på, og de målinger Aftenposten har gjort i samarbeid med flere sikkerhetsselskaper. Det vil bli gjort nærmere rede for begrunnelsen for denne konklusjonen fra påtaleansvarlig Signe Aalling og taktisk etterforskningsleder Arnstein Jørgensen.

PST har i etterforskningen samarbeidet med Nasjonal sikkerhetsmyndighet og Etterretningstjenesten. Både NSM og E-tjenesten er enige med PST i våre konklusjoner. Etterforskningen har omfattet egne tekniske undersøkelser og en grundig gjennomgang av det mottatte materialet som Aftenposten har benyttet. PST har også hatt samarbeid med Oslo politidistrikt, som etterforsker i egen sak med utgangspunkt i de samme opplysningene fra Aftenposten.

PST er opptatt av å bidra aktivt for å forebygge og motvirke fremmede staters avlytting av mobiltelefontrafikk. Vi har således forut for Aftenpostens egne undersøkelser, ved flere anledninger de siste årene både i Oslo og andre steder i landet, foretatt tekniske undersøkelser over lengre tidsrom for å undersøke hvorvidt falske basestasjoner er i bruk i nærheten av særlige kritiske objekter. Vi har gjennom disse undersøkelsene ikke avdekket at falske basestasjoner har vært i bruk. Jeg vil samtidig understreke at bruk av falske basestasjoner antakelig bare utgjør en liten del av den verktøykassen fremmede staters etterretningstjenester benytter.

PSTs forebyggende arbeid vil fortsette med styrke. PST vil også i fremtiden iverksette etterforskning der det er grunn til å undersøke om det foreligger tekniske innhentingsoperasjoner fra fremmede stater. Sett i dette lys er vi tilfreds med den bevissthet Aftenpostens artikler har bidratt til. Vi vil samtidig påpeke at det kreves en profesjonell tilnærming til dette kompliserte området. Mulighetene for feiltolkninger er mange og det kreves spisskompetanse og ikke minst oppdaterte opplysninger fra teletilbyderne for å trekke riktige konklusjoner.

Avslutningsvis vil jeg kort berøre den pågående diskusjonen som omhandler omfanget av bruk av imsi-fangere fra PST.

PST innhenter alltid rettens kjennelse når vi benytter imsi-fangere i kriminalitetsbekjempelsen. All vår bruk av imsi-fangere er lovlig. PST er i tillegg underlagt et særskilt kontrollregime gjennom EOS-utvalgets inspeksjoner ved DSE annenhver måned, hvor også tvangsmiddelbruk som bruk av imsi-fangere rutinemessig blir gjenstand for kontroll. PSTs bruk av tvangsmidler, herunder imsi-fangere, er således gjennomregulert. De siste 3 årene har PST til sammen benyttet imsi-fangere ved noe i overkant av 30 anledninger i Oslo-området.

Det har i en lovendring i ekomloven blitt innført en varslingsplikt overfor Nkom når vi benytter denne metoden. PST anerkjenner at Nkom, som ansvarlig for tildeling av de frekvenser vi benytter i disse tilfellene, har behov for varsling slik at de om mulig kan bidra til å begrense unødvendige feilsøk. Det foreligger imidlertid utfordrende og motstridende hensyn mellom den varslingsplikt som fremgår av ekomloven og den taushetsplikt vi har etter politiloven, og ikke minst den særskilte taushetsplikt vi har for opplysninger innhentet ved kommunikasjonskontroll.

Vi fikk på forsommeren 2014 tilsendt retningslinjer fra Nkom på hvordan de ønsker varsling praktisert. All den tid vi fant varsling kontra taushetsplikt problematisk, henvendte vi oss til Nkom 8. oktober 2014 og anmodet om et møte. Vi fulgte deretter opp med et brev til Justis- og beredskapsdepartementet 26. november 2014 og anmodet om ytterligere klargjøringer for å finne praktisk gjennomførbare løsninger. De samme utfordringene har også Riksadvokatembetet påpekt overfor Justis- og beredskapsdepartementet. Justis- og beredskapsdepartementets lovavdeling har konkludert med at politiet uhindret av taushetsplikten skal varsle Nkom. Dette vil PST forholde seg til.

Det er viktig å presisere at det ikke er noen grunn til å tro at den aktiviteten som PST eller det øvrige politi har hatt når det gjelder bruk av imsi-fangere har hatt noen påvirkning på de data Aftenposten har basert sine konklusjoner på.

Påtaleansvarliges innlegg

PST iverksatte etterforsking 14. desember 2014, med det formål å avklare om det gjennom falske basestasjoner i Oslo-området har pågått ulovlig etterretningsvirksomhet til fordel for fremmed stat jf. straffeloven § 91a.

Utgangspunktet for etterforskingen var Aftenpostens oppslag, som startet 12. desember, hvor det vises til målinger som avslører falske basestasjoner, og at de ”høyst sannsynlig” er brukt rundt sentrale bygninger i Oslo. Det vises til at det skal være plassert falske basestasjoner blant annet i området rundt Stortinget, regjeringskontorene og statsministerboligen. Dette skal være hemmelige, falske basestasjoner, såkalte IMSI-catchere eller IMSI-fangere.

I tillegg til egne målinger, innledet Aftenposten et samarbeid med de to sikkerhetsselskapene Aeger Group og CEPIA Technologies, som Aftenposten hevder har svært presist måleutstyr for å lokalisere falske basestasjoner. Ved hjelp av sikkerhetsselskapene skal det ha vært utført målinger som viser at det ”med svært høy sannsynlighet” brukes aktivt overvåkningsutstyr i Oslo sentrum.

Nasjonal sikkerhetsmyndighet (NSM) foretok egne målinger i Oslo sentrum, på grunnlag av opplysningene fra Aftenposten. Den 14. desember opplyste NSM til PST at de vurderte at ”det er sannsynlig at det har eksistert falske aktive basestasjoner i Oslo”.

Dette er bakgrunnen for at sjefen for PST den 14. desember besluttet at det skulle iverksettes etterforsking. NSM uttalte også offentlig den 15. desember at de hadde gjort undersøkelser over flere dager, ved bruk av forskjellige metoder og teknisk verktøy. Deres hovedkonklusjon da var at det er sannsynlig at funnene Aftenposten har gjort gjennom sine undersøkelser er reelle.

Etterforskingen ble konsentrert om i første rekke å søke å bekrefte eller avkrefte om det pågikk massiv overvåking ved bruk av falske basestasjoner på sentrale steder i Oslo. Vi fant det derfor naturlig å starte med å samle opplysninger om de påståtte funn. Tanken vår var at allerede eksisterende måleresultater omkring Aftenpostens funn, ville utgjøre et vesentlig grunnlag for den videre etterforskingen. Disse grunnlagsdataene ville vi kunne arbeide videre ut fra, og de ville opplyse formålet med etterforskingen.

Hovedelementer i etterforskingen har bestått i:

Å innhente grunnlagsmaterialet til Aftenposten og analysere dette (vi sendte skriftlig anmodning hhv. 17.12 og 9.1, som raskt ble etterkommet)
Videre har vi innhentet eget grunnlagsmateriale ved blant annet å foreta egne målinger i Oslo-området - over lengre tid - for eventuelt å avdekke falske basestasjoner eller IMSI-fangere
Vi har også gjennomført avhør av vitner
Det vesentligste arbeidet har bestått i å sammenstille og analysere innhentet materiale fra egne og andres målinger, gjennomgå resultatene i nær kontakt med teletilbyderne, og gjennom dette etablere et normalbilde som eventuelle avvik kunne sammenholdes med

PST innledet et formalisert samarbeid med Etterretningstjenesten og med NSM, slik at disse to tjenestene har bistått i PSTs etterforsking. Etterretningstjenesten har vurdert at deres bistand til etterforskingen er utført innenfor tjenestens eget rettsgrunnlag. Det har vært et meget godt samarbeid om alt det tekniske i saken som vedrører både innhenting, bearbeiding og analyse av informasjon.

Det har også vært et godt samarbeid med Oslo politidistrikt i deres etterforsking av de til dels samme faktiske forhold, men som ikke gjelder mistanke om ulovlig etterretningsvirksomhet.

Etterforskingen er ikke enda avsluttet. Den 19. februar ble vi gjort kjent med at det var noen - for oss, frem til da - ukjente personer i et annet utenlandsk basert firma som skulle ha forestått målinger og analyser som Aftenposten bygget sine oppslag på. PST ønsket straks å gjennomføre avhør av vitner i denne forbindelse, men det har vært vanskelig å få til avtaler om dette. Ytterligere avhør, sluttføring av all teknisk innsamling og avslutning av rapporter om dette gjenstår.

Gjennomgangen og analysene knyttet til Aftenpostens grunnlagsmateriale er likevel klart: PST og Etterretningstjenesten har gjennom analyser av det innhentede materiale hver for seg kommet til de samme konklusjoner, og alle tre tjenester er omforent om resultatet: I det grunnlagsmaterialet Aftenposten har bygget sine oppslag på, finnes ingen indikasjoner på at falske basestasjoner eller IMSI-fangere har vært aktive, slik Aftenposten hevder.

Både PST, Etterretningstjenesten og NSM gjør gjennom egne målinger funn som korresponderer med funnene i Aftenpostens datagrunnlag, men funnene kan altså forklares med naturlige årsaker.

Ved gjennomgang og analyse av Aftenpostens grunnlagsmateriale ser vi noen svakheter som går igjen:

Målingene er gjort over for kort tidsrom og videre foretatt i bevegelse – uten at det er tatt tilstrekkelig hensyn til
I analysen av måleresultatene har man ikke hatt tilgang til essensiell men ikke-offentlig informasjon fra teletilbyderne, om hvordan mobilnettene deres fungerer

Flere detaljer om dette forekommer i en egen redegjørelse.

Orientering fra etterforskningsleder

For å detektere falske basestasjoner eller imsi-fangere er det nødvendig å ha egnet måleutstyr og måleteknisk kompetanse. I tillegg kreves kunnskap om radiogrensesnittet og mobilnettenes oppbygning for å forstå og analysere resultatet av målingene. Kunnskap om hvordan de ulike teletilbyderne opererer sine mobilnett er avgjørende for analysen.

Viktige momenter i PST sin vurdering av grunnlagsmaterialet til Aftenposten:

Ikke nok kunnskap om normalbildet

Med normalbildet av mobilnettet forstår vi: ”den totale kunnskapen om cellestrukturer, basestasjonenes plasseringer, de faktiske parametrene som teletilbyderne sender ut, dekningsområder, samt forståelsen av mulige feilkilder.”

De som har foretatt målingene og analysene for Aftenposten har ikke hatt nok kunnskap for å vite hva som er normalbildet av mobilnettene i Oslo. For å kunne foreta kvalifiserte vurderinger av eventuelle ulovlige aktiviteter i mobilnettet, er man fullstendig avhengig av å identifisere hva som er normalbildet.

For å kunne danne seg et korrekt normalbilde må det innhentes nødvendig informasjon fra teletilbyderne. Dette er blant annet informasjon som ikke er offentlig tilgjengelig.
For korte målinger

Videre har målingene vært utført over for korte tidsrom. Målingene bør utføres over lengre tid, for på den måten å ha større mulighet til å forstå hva som er naturlige signaler og hva som eventuelt er avvik. Det fremkommer også at mange av målingene er gjort i bevegelse og at analysene i etterkant ikke har tatt hensyn til forskjellen mellom målinger utført i bevegelse og målinger utført i ro. Det bemerkes fra de som har utført målingene at målingene var korte og de anbefaler at det foretas referansemålinger som resultatene kan sammenlignes med. Vi kan ikke se at en slik referansemåling er utført.

Funn av celler med lik celle-ID

Aftenposten beskriver ved to anledninger med ”høy sannsynlighet” og ”svært høy sannsynlighet” funn av falsk basestasjon og imsi-catcher, dette begrunnes med funn av to celler med lik celle-ID i samme område.

Ved begge tilfellene er dette en del av normalbildet da både Netcom og Telenor har celler med lik celle-ID innenfor samme område. Det er ikke noe mistenkelig ved dette.
Verdiene fra re-seleksjon

For å optimalisere kapasiteten i mobilnettene sine, benytter teletilbyderne seg av en prosess som kalles re-seleksjon.

Dette er en prosess hvor teletilbyderne styrer trafikken mellom forskjellige frekvenser og forkjellige celler. I 2G-nettet vil trafikk kunne styres mellom de to frekvensene 900 MHz og 1800 MHz. Avhengig om telefonen er i ro over kortere eller lengre tidsrom kan telefonen bli flyttet mellom de to frekvensene. Det er ulikt hvordan de forskjellige teletilbyderne praktiserer re-selesksjonsprosessen. For å flytte telefonene mellom celler, kan teletilbyderne variere parametere som påvirker kalkuleringen av C2 verdien i telefonen, slik at den knyttes til ønsket celle. Kalkuleringen av C1 påvirkes av parametere knyttet til målt signalstyrke i telefonen. Resultatet av kalkuleringen av C1 og C2 verdien, vil variere avhengig av om målingen er foretatt i bevegelse eller har vært stasjonær.

PST ser at re-seleksjonsverdiene en rekke ganger er tolket feil i Aftenpostens grunnlagsmaterialet. Det er spesielt C2 verdien på noen av cellene til Netcom som har gjort at disse har blitt beskrevet med ”høy sannsynlighet” som falske basestasjoner og imsi-catchere. C2 verdien er da ofte kalkulert til -1, ettersom måleutstyret har stått i ro i mindre enn 5 minutter, som er en typisk verdi på parameteret ”penalty time”. Hvis måleutstyret hadde stått i ro lenger enn ”penalty time”, ville C2 verdien steget, og ofte blitt lik C1.

Egne målinger og informasjon fra teletilbyderne viser at verdiene som fremkommer i grunnlagsmaterialet er normale.

A) Stortinget:

Funn av to celler med samme celle-ID, ID 3629.
Både Netcom og Telenor har celle med denne celle-ID i området, og med overlappende dekningsområde, men i hvert sitt nett.
Netcom celle-ID 3257 er omtalt med ”høy sannsynlighet” som en falsk basestasjon. Det er her feiltolkning av re-seleksjonsverdiene. Egne målinger utført både før og etter publisering av saken i Aftenposten, viser normale verdier for cellen.

B) Akershus festning, Forsvarsdepartementet:

Funn av to celler med samme celle-ID, ID 3013.
Både Netcom og Telenor har celle med denne celle-ID i området, og med overlappende dekningsområde, men i hvert sitt nett.
Netcom celle-ID 13869 er omtalt med ”svært høy sannsynlighet” som en imsi-catcher. Det begrunnes med unormale re-seleksjonsverdier. PST finner at re-seleksjonsverdiene samsvarer med Netcom s egene parametere.

C) Området ved Slottet:

Målingene her er gjort i bevegelse og det er ikke identifisert noen spesielle celler som er mistenkelige. Det er trolig Netcoms re-seleksjonverdier som har gitt alarmer.
Signalstyrken varieres ettersom måleutstyret er i bevegelse. Re-seleksjonsverdiene er her trolig tolket feil.

D) Ambassadekvartalet:

Netcom celle-ID 24079 omtales som ”kan være” en imsi-catcher i området Drammensveien/Fredrik Stangs vei. I målingene her er det vist til at re-seleksjonsverdien C2, har endret seg markant over tid. Denne endringen av C2 verdien er helt normal, da målingen har blitt foretatt over noe tid og oversteget ”penalty time”.

E) Barcode:

Telenor celle-ID 3514 omtales som ”kan være” en falsk basestasjon, begrunnet med unormale re-seleksjonsverdier og uvanlige signalstyrkevariasjoner.
PST finner at re-seleksjonsverdiene samsvarer med Telenors egne parametere. Videre kan variasjoner i signalstyrken forklares med at måleutstyret har vært i bevegelse, at målinger er gjort inntil bygningen hvor cellen er plassert, refleksjoner av signaler fra omkringliggende bygninger, samt signalstøy fra andre kilder i området Barcode.

F) Aker Brygge/Tjuvholmen:

Network Norway celle-ID 61102 omtales som ”høyst sannsynlig” en imsi-catcher. Det vises til at det er unormale re-seleksjonsverdier. PST finner at disse verdiene er i henhold til Network Norway egne parametere. Signalstyrken varierer, men dette forklares ved at måleutstyret trolig var i bevegelse de 5 minuttene målingene varte.

G) Lysaker:

I målingene fra Lysaker er det ikke vist til noen spesiell celle. PST kan ikke se det er noen unormale verdier fra målingene ved Lysaker. Egne målinger i området viser at det finnes en celle som skiller seg ut med høyere signalstyrke. Dette samsvarer med Netcoms egne parametere.

Egne målinger

Det er utført både mobile og stasjonære målinger i Oslo og på Lysaker i forbindelse med etterforskningen. Målingene våre er utført på 2G, 3G og 4G nettene. Sikkerhetsselskapene som har utført målinger for Aftenposten har kun målt i 2G nettet. Målingene våre er gjort på steder hvor Aftenposten har rapportert om mulige falske basestasjoner og imsi-fangere.

De stasjonære målingene er utført ved fire steder i Oslo. Dette er i området ved Kvaderturen, ved Stortinget, ved Slottet og ved statsministerboligen. De stasjonære målingene startet i uke 51 i 2014. Resultatet fra de mobile og stasjonære målingene viser ingen avvik fra normalbildet som indikerer bruk av falske basestasjoner eller ulovlige imsi-fangere. PST har gjennomført test med imsi-fanger mot eget måleutstyr. Målutstyret har da gitt alarm og detektert bruk av imsi-fanger.

Ingen endringer etter publisering i Aftenposten

PST har gjennomgått grunnlagsmaterialet fra Aftenposten og sammenholdt dette med egne målinger gjort i de samme områdene. Etterforskningen viser at det ikke har vært noen endringer i signalbildet etter publisering av Aftenpostens artikler.