dastapov: (Default)
[personal profile] dastapov
Эх, давно я не брал в руки шашки и не писал про GSM. А тут как раз в комментариях на pro-gsm.info мне пишет некто Олег: Имеются в продаже так называемые репитеры для организации мобильной связи в местах плохого приема сигнала. Фактически это маленькая базовая станция (промежуточная), которая сама связывается с БС оператора и поддерживает связь с другими мобильными телефонами в радиусе ее действия. Эта БС имеет приемную и передающую часть. Если поднять ее мощность настолько, что ей телефон будет давать предпочтение, то через нее можно запустить работу интересующего абонента. Правда, необходимо находиться в непосредственной близости от жертвы. Возможно ли такое ?

Он же: IMSI перехватываемой SIM-карты можно при желании узнать запустив репитер и анализируя полученные IMSI в процессе некоторого времени слежения.

И вот что я хочу по этому поводу сказать. Тут, мне кажется, мешаются в кучу кони, люди и залпы 100500 орудий. Бывают репитеры, но они не "связываются сами" с базовыми станциями оператора. Бывают пико- и фемотосоты, которые общаются с сетью оператора, но совсем не так, как это предполагает Олег - в частности, они не дают доступ к "сырому" звонку, который можно брать и слушать. В ходе регистрации в сети предъявляется IMSI и выделяется TMSI, но происходит это по уже зашифрованному каналу, и т.д и т.п. Попробуем во всем разобраться.

Репитер, по сути , есть простой ретранслятор + усилитель сигнала. То есть, он слушает указанную базовую(-е) на определенной частоте и ретранслирует с помощью другой антенны на другой частоте сигнал внутрь помещения или другой зоны без покрытия. Сигнал, посылаемый мобильным телефоном, передается в обратном направлении. Для базовой станции сам репитер не виден и не слышен, он себя никак не проявлять.

Фемтосоты же соединяются с сетью оператора вовсе не изображая из себя телефон. Они используют для этого vpn поверх tcp/ip, а уж где вы возьмете этот интернет - это ваше лично дело. Кроме того, в фемтосотах ставят GPS, чтобы абоненты не возили их с собой в роуминг, но речь сейчас не об этом. Ключевой момент - фемтосоты стандарта GSM не делают, только 3G.

Я хочу объяснить, почему репитер или фемтосота не помогут прослушивать мобильный телефон. Я воспользуюсь аналогией, и надеюсь, что никто не станет воспринимать ее буквально, и придираться именно к ней, ок? Если у вас есть возражения - переводите их сразу в терминологическое поле GSM, там и поспорим.

Описание системы

Итак, предположим, что есть на свете что-то вроде банка, который обслуживает людей [как оператор обслуживает мобильные телефоны].

Люди приходят в банк, подходят к окошку у входа, показывают свой паспорт, называют заранее известный банку пароль и получают взамен билетик с номером в очереди и зашифрованную рацию (walkie-talkie) для общения с сотрудников банка. Все рации уникальные и могут связываться только с банковскими сотрудниками [телефон регистрируется в сети, предъявляя IMSI и случайное число, зашифрованное своим Ki, и получает взамен Kc и TMSI].

При этом люди никак не проверяют, кто же сидит в окошке - сотрудник банка или какой-то пройдоха [в стандарте GSM (но не 3G!) телефоны не выполняют аутентификацию базовых].

Дальше люди сидят себе и спокойно ждут, играют в блекджек и общаются с куртизанками :) В какой-то сотрудник банка называет номер с билетика одного из ожидающих [входящий звонок, базовая вызывает телефон по TMSI]. Или же человек сам называет свой номер и общается по рации [исходящий звонок, телефон вызывает базовую]

Так или иначе, человек берет свою зашифрованную рацию и общается по ней с человеком, которого он узнает по голосу [телефон общается с базовой, используюя собственный таймслот и шифруя его с помощью Kc, абонент знает, кому он звонит или кто ему звонит (с какого номера)].

По окончании разговора человек либо уходит [телефон выходит из сети], либо ждет дальше [продолжаем использовать тот же Kc и TMSI], либо опять идет к окошку [оператор генерирует новый TMSI и Kc].

Теперь разберем возможные атаки, а потом поглядим, как нам могут помочь фемтосоты и репитеры. Мы хотим прослушать, что говорит клиент, а для этого мы должны либо сделать так, чтобы он говорил не с банком, а с нами[пресловутая псевдно-базовая, иначе называемая IMSI-catcher], либо записать все, что происходит в эфире, а потом вычленить оттуда сигнал нужной рации, зная номер с бумажки [то есть TMSI] и ключ шифрования.

Атака man in the middle

Мы можем открыть рядом с банком свое окошко по выдаче билетиков с номером и раций. Если к нам придет кто-то доверчивый, то мы легко сможем выдать ему билетик с номером [TMSI], но вот беда - рации "такие как в банке" мы делать не умеем, поэтому выдаем какие-то самопальные [мы не знаем Ki, поэтому не можем сгенерировать у себя Kc. Приходится предлагать телефону регистрацию без шифрования]. Дальше мы можем быстро сбегать в банк и взять там бумажку и рацию для себя.

Теперь, если жертва сама что-то скажет по своей рации, то мы это услышим, запишем, и даже можем "передать дальше", но уже от своего имени (т.к. в банке мы не можем имперсонировать жертву, у нас нет ее паспорта [Ki]. Вхоящих сообщений жертве не будет, т.к. она "не была в банке", и банк про нее ничего не знает и вызывать ее не будет [телефон не регистрировался в реальной сети, и сеть считает, что он вне зоны покрытия].

Итого: мы узнали TMSI, мы можем ловить исходящие звонки, жертва потенциально знает, что ее слушают (нет шифрования). Подробнее тут и дальше по ссылкам.

Полуактивное прослушивание

Допустим, мы оходимся за конкретным Иваном Ивановым. Мы можем тихо сесть в уголке в банке и наблюдать за ожидающими. Мы не знаем, кому какой достался номер на бумажке [TMSI]. Мы можем ходить в кассу и переводить И. Иванову 1 копейку [посылать обычный или flash SMS] и смотреть, какой номер будет назван [для какого TMSI будет сделан пейджинг]. Дальше мы можем ждать, пока И. Иванов опять будет вызван, записывать все, что происходит в эфире, и потом пытаться подобрать ключ шифрования.

Это то, чем занимается уважаемый Карстен Нол. Читать тут и дальше по ссылкам.

Скрещиваем ужа и ежа
Если мы знаем, где примерно может быть жертва, и не боимся "спалится", то можно с помощью IMSI Catcher-а выяснить его TMSI, а потом слушать эфир. Риски: клиент заметит, что с телефоном "что-то не то", и оператор может поменять TMSI, и придется все начинать сначала.

И как это связано с репитерами или фемтосотами?

Фемтосоту нельзя использовать в качестве IMSI Catcher-а, т.к. фемтосоты только стандарта 3G, а там телефон аутентифицирует базовую, и оператору легко сделать шифрование, которое вы, даже сидя посередине и разобрав фемтосоту, не сможете вот так вот взять и просто слушать - вам нужны будут закрытые ключи симки и операторской сети. Читаем по атаки man-in-the-middle на системы криптографии с открытыми ключами.

Репитер же не дает вам никаких преимуществ по сравнению с простым прослушиванием эфира (хоть и облегчает собственно прослушивание). Выделение TMSI идет по шифрованному каналу, поэтому просто слушать эфир недостаточно - нужно либо активничать, как товарищ Нол, либо использовать IMSI Catcher.

Тут мне могут возразить: но ведь можно же взять репитер и доработать! Ведь можно же взять фемтосоту и что-то там эдакое дизассемблировать! Я считаю, что, как говорят в этих ваших интернетах, "пруф или такого не было". Говорить "а ведь можно ...!" все горазды, а вот взять и сделать ... Плюс, недаром Карстен Нол пошел другим путем - я бы ему в этом вопросе доверял :)
From:
Anonymous
OpenID
Identity URL: 
User
Account name:
Password:
If you don't have an account you can create one now.
Subject:
HTML doesn't work in the subject.

Message:

 
Notice: This account is set to log the IP addresses of everyone who comments.
Links will be displayed as unclickable URLs to help prevent spam.

Profile

dastapov: (Default)
Dmitry Astapov

April 2017

M T W T F S S
     12
3 45 6789
10111213141516
17181920212223
24252627282930

Most Popular Tags

Style Credit

Expand Cut Tags

No cut tags