Dmitry Astapov (_adept_) wrote,
Dmitry Astapov
_adept_

Categories:

Фемтосоты, репитеры и опять про IMSI Catcher.

Эх, давно я не брал в руки шашки и не писал про GSM. А тут как раз в комментариях на pro-gsm.info мне пишет некто Олег: Имеются в продаже так называемые репитеры для организации мобильной связи в местах плохого приема сигнала. Фактически это маленькая базовая станция (промежуточная), которая сама связывается с БС оператора и поддерживает связь с другими мобильными телефонами в радиусе ее действия. Эта БС имеет приемную и передающую часть. Если поднять ее мощность настолько, что ей телефон будет давать предпочтение, то через нее можно запустить работу интересующего абонента. Правда, необходимо находиться в непосредственной близости от жертвы. Возможно ли такое ?

Он же: IMSI перехватываемой SIM-карты можно при желании узнать запустив репитер и анализируя полученные IMSI в процессе некоторого времени слежения.

И вот что я хочу по этому поводу сказать. Тут, мне кажется, мешаются в кучу кони, люди и залпы 100500 орудий. Бывают репитеры, но они не "связываются сами" с базовыми станциями оператора. Бывают пико- и фемотосоты, которые общаются с сетью оператора, но совсем не так, как это предполагает Олег - в частности, они не дают доступ к "сырому" звонку, который можно брать и слушать. В ходе регистрации в сети предъявляется IMSI и выделяется TMSI, но происходит это по уже зашифрованному каналу, и т.д и т.п. Попробуем во всем разобраться.

Репитер, по сути , есть простой ретранслятор + усилитель сигнала. То есть, он слушает указанную базовую(-е) на определенной частоте и ретранслирует с помощью другой антенны на другой частоте сигнал внутрь помещения или другой зоны без покрытия. Сигнал, посылаемый мобильным телефоном, передается в обратном направлении. Для базовой станции сам репитер не виден и не слышен, он себя никак не проявлять.

Фемтосоты же соединяются с сетью оператора вовсе не изображая из себя телефон. Они используют для этого vpn поверх tcp/ip, а уж где вы возьмете этот интернет - это ваше лично дело. Кроме того, в фемтосотах ставят GPS, чтобы абоненты не возили их с собой в роуминг, но речь сейчас не об этом. Ключевой момент - фемтосоты стандарта GSM не делают, только 3G.

Я хочу объяснить, почему репитер или фемтосота не помогут прослушивать мобильный телефон. Я воспользуюсь аналогией, и надеюсь, что никто не станет воспринимать ее буквально, и придираться именно к ней, ок? Если у вас есть возражения - переводите их сразу в терминологическое поле GSM, там и поспорим.

Описание системы

Итак, предположим, что есть на свете что-то вроде банка, который обслуживает людей [как оператор обслуживает мобильные телефоны].

Люди приходят в банк, подходят к окошку у входа, показывают свой паспорт, называют заранее известный банку пароль и получают взамен билетик с номером в очереди и зашифрованную рацию (walkie-talkie) для общения с сотрудников банка. Все рации уникальные и могут связываться только с банковскими сотрудниками [телефон регистрируется в сети, предъявляя IMSI и случайное число, зашифрованное своим Ki, и получает взамен Kc и TMSI].

При этом люди никак не проверяют, кто же сидит в окошке - сотрудник банка или какой-то пройдоха [в стандарте GSM (но не 3G!) телефоны не выполняют аутентификацию базовых].

Дальше люди сидят себе и спокойно ждут, играют в блекджек и общаются с куртизанками :) В какой-то сотрудник банка называет номер с билетика одного из ожидающих [входящий звонок, базовая вызывает телефон по TMSI]. Или же человек сам называет свой номер и общается по рации [исходящий звонок, телефон вызывает базовую]

Так или иначе, человек берет свою зашифрованную рацию и общается по ней с человеком, которого он узнает по голосу [телефон общается с базовой, используюя собственный таймслот и шифруя его с помощью Kc, абонент знает, кому он звонит или кто ему звонит (с какого номера)].

По окончании разговора человек либо уходит [телефон выходит из сети], либо ждет дальше [продолжаем использовать тот же Kc и TMSI], либо опять идет к окошку [оператор генерирует новый TMSI и Kc].

Теперь разберем возможные атаки, а потом поглядим, как нам могут помочь фемтосоты и репитеры. Мы хотим прослушать, что говорит клиент, а для этого мы должны либо сделать так, чтобы он говорил не с банком, а с нами[пресловутая псевдно-базовая, иначе называемая IMSI-catcher], либо записать все, что происходит в эфире, а потом вычленить оттуда сигнал нужной рации, зная номер с бумажки [то есть TMSI] и ключ шифрования.

Атака man in the middle

Мы можем открыть рядом с банком свое окошко по выдаче билетиков с номером и раций. Если к нам придет кто-то доверчивый, то мы легко сможем выдать ему билетик с номером [TMSI], но вот беда - рации "такие как в банке" мы делать не умеем, поэтому выдаем какие-то самопальные [мы не знаем Ki, поэтому не можем сгенерировать у себя Kc. Приходится предлагать телефону регистрацию без шифрования]. Дальше мы можем быстро сбегать в банк и взять там бумажку и рацию для себя.

Теперь, если жертва сама что-то скажет по своей рации, то мы это услышим, запишем, и даже можем "передать дальше", но уже от своего имени (т.к. в банке мы не можем имперсонировать жертву, у нас нет ее паспорта [Ki]. Вхоящих сообщений жертве не будет, т.к. она "не была в банке", и банк про нее ничего не знает и вызывать ее не будет [телефон не регистрировался в реальной сети, и сеть считает, что он вне зоны покрытия].

Итого: мы узнали TMSI, мы можем ловить исходящие звонки, жертва потенциально знает, что ее слушают (нет шифрования). Подробнее тут и дальше по ссылкам.

Полуактивное прослушивание

Допустим, мы оходимся за конкретным Иваном Ивановым. Мы можем тихо сесть в уголке в банке и наблюдать за ожидающими. Мы не знаем, кому какой достался номер на бумажке [TMSI]. Мы можем ходить в кассу и переводить И. Иванову 1 копейку [посылать обычный или flash SMS] и смотреть, какой номер будет назван [для какого TMSI будет сделан пейджинг]. Дальше мы можем ждать, пока И. Иванов опять будет вызван, записывать все, что происходит в эфире, и потом пытаться подобрать ключ шифрования.

Это то, чем занимается уважаемый Карстен Нол. Читать тут и дальше по ссылкам.

Скрещиваем ужа и ежа
Если мы знаем, где примерно может быть жертва, и не боимся "спалится", то можно с помощью IMSI Catcher-а выяснить его TMSI, а потом слушать эфир. Риски: клиент заметит, что с телефоном "что-то не то", и оператор может поменять TMSI, и придется все начинать сначала.

И как это связано с репитерами или фемтосотами?

Фемтосоту нельзя использовать в качестве IMSI Catcher-а, т.к. фемтосоты только стандарта 3G, а там телефон аутентифицирует базовую, и оператору легко сделать шифрование, которое вы, даже сидя посередине и разобрав фемтосоту, не сможете вот так вот взять и просто слушать - вам нужны будут закрытые ключи симки и операторской сети. Читаем по атаки man-in-the-middle на системы криптографии с открытыми ключами.

Репитер же не дает вам никаких преимуществ по сравнению с простым прослушиванием эфира (хоть и облегчает собственно прослушивание). Выделение TMSI идет по шифрованному каналу, поэтому просто слушать эфир недостаточно - нужно либо активничать, как товарищ Нол, либо использовать IMSI Catcher.

Тут мне могут возразить: но ведь можно же взять репитер и доработать! Ведь можно же взять фемтосоту и что-то там эдакое дизассемблировать! Я считаю, что, как говорят в этих ваших интернетах, "пруф или такого не было". Говорить "а ведь можно ...!" все горазды, а вот взять и сделать ... Плюс, недаром Карстен Нол пошел другим путем - я бы ему в этом вопросе доверял :)
Tags: gsm, пишут
Subscribe

  • Post a new comment

    Error

    default userpic

    Your IP address will be recorded 

    When you submit the form an invisible reCAPTCHA check will be performed.
    You must follow the Privacy Policy and Google Terms of use.
  • 25 comments