Poročilo je pokazalo, da so bila zgodnja mobilna omrežja v 1990-ih in 2000-ih namerno zakrita, kar je potrdil ETSI.
Raziskovalci z več univerz v Franciji, Nemčiji in na Norveškem so ugotovili, da algoritem šifriranja GEA-1, ki se je uporabljal v zgodnjih mobilnih podatkovnih omrežjih v 1990-ih in 2000-ih, je bil namerno zaprt, ko je bil predstavljen. GPRS je mobilni podatkovni standard, ki temelji na tehnologiji 2G, in številne države in ponudniki omrežij se nanj še vedno zanašajo kot nadomestno možnost za mobilne podatke, sporočila SMS in telefonske klice. Med telefonom in bazno postajo se uporablja šifriranje GEA-1, vendar je bilo ugotovljeno, da je bilo namerno oslabljeno. Ugotovljeno je bilo tudi, da ima GEA-2, naslednik GEA-1, slabšo zaščito, čeprav ni bilo najdenih dokazov o namernem backdoorju.
Čeprav sta GEA-1 ali GEA-2 lastniška šifrirna algoritma, so ju raziskovalci pridobili iz "vira, ki raje ostane anonimen". Glede na v poročilu obstaja velika statistična verjetnost, da je bil algoritem GEA-1 znatno oslabljen in dejansko ni 64-bitno varen kot oglaševano. Namesto tega je zagotovil le 40-bitno varnost; 40-bitno šifriranje zagotavlja zelo šibko varnost, tako kot omrežje računalnikov
V svojih poskusih obratnega inženiringa tako GEA-1 kot GEA-2 so raziskovalci odkrili, da je njihova poustvarjanje algoritma GEA-1 veliko varnejše od prvotno implementiranega algoritma. Raziskovalci so ugotovili, da to ni bilo naključje in da je šlo za načrtno odločitev tistih, ki so algoritem GEA-1 zasnovali za mobilna omrežja. Prispevek navaja, da "konkretno, v milijonih poskusih se nikoli nismo niti približali tako šibkemu primerku". V tem primeru je v kombinaciji z možnostjo prisluškovanja komunikaciji GPRS teoretično je mogoče prestreči in dešifrirati ves promet mobilnega omrežja, ki uporablja GEA-1 algoritem z lahkoto. Matthew Green tudi ugotavlja, da večina spletnih mest takrat ni uporabljala TLS in da se je vsakdo, ki je uporabljal internet, zanašal na te algoritme za zaščito svoje komunikacije.
Matična plošča se obrnil na Evropski inštitut za telekomunikacijske standarde (ETSI), organizacijo, ki je oblikovala algoritem. Priznali so, da je algoritem vseboval slabost, vendar so rekli, da je bil uveden, ker takratni izvozni predpisi niso dovoljevali močnejšega šifriranja. "Upoštevali smo predpise: upoštevali smo predpise za nadzor izvoza, ki so omejili moč GEA-1." Håvard Raddum, raziskovalec časopisa, je izjavil Matična plošča to "Da bi izpolnili politične zahteve, so bili milijoni uporabnikov očitno slabo zaščiteni med brskanjem leta." Lukasz Olejnik, neodvisni raziskovalec kibernetske varnosti in svetovalec, ki ima doktorat iz računalništva. od INRIA, še povedal Matična plošča to "ta tehnična analiza je dobra in sklepi o namerni oslabitvi algoritma precej resni."
Zadevni izvozni predpisi so verjetno francoski dekreti 98-206 in 98-207. Odloki, ki so bili objavljeni leta 1998 (leto oblikovanja GEA-1), so navajali sredstva in storitve kriptologije, pri katerih »izčrpno iskanje vsi možni ključi ne zahtevajo več kot 240 poskusov s preprostim testom« so izvzeti iz dovoljenja ali izjave za uporabo in uvoz.
Z GEA-2 so bile stvari drugačne in ETSI je povedal Matična plošča da je bil nadzor izvoza olajšan v času zasnove GEA-2. Raziskovalci so še vedno lahko dešifrirali promet GEA-2 in rekli so, da šifra "ne ponuja popolne 64-bitne varnosti". Medtem ko je bilo napad težje "uporabiti v praksi", raziskovalci priporočajo, da se od zdaj naprej izvaja samo GEA-3 in novejši. Številne naprave, ki so bile izdane v zadnjih letih, še vedno uporabljajo GEA-1 in GEA-2 kot nadomestne možnosti, čeprav ETSI preprečili omrežni operaterji od uporabe GEA-1 v svojih mobilnih omrežjih v letu 2013.
Izvirni članek je mogoče prebrati tukaj.