Перехват разговоров в сети GSM

Мы профессиональная команда, которая на рынке работает уже более 2 лет и специализируемся исключительно на лучших продуктах.

У нас лучший товар, который вы когда-либо пробовали!

Наши контакты:

Telegram:

https://t.me/happystuff

Внимание! Роскомнадзор заблокировал Telegram ! Как обойти блокировку:

http://telegra.ph/Kak-obojti-blokirovku-Telegram-04-03-2

ВНИМАНИЕ!!! В Телеграмм переходить только по ссылке, в поиске много фейков!

Почему же неизведанной, спросите вы? Ведь все носят в кармане сотовый телефон, чуть ли не дошкольники ходят с ними, а базовые станции висят на каждом столбе? Увы, обыватель считает, что всё просто и прозрачно: И редко задумывается над процессами, которые обеспечивают все эти действия. В этом статье я попробую показать, что GSM-связь — с одной стороны весьма непрозрачная тема, а с другой — прорва уязвимостей. Введение Начнём издалека, а именно с того, что GSM-связь очень плохо поддаётся изучению. Хотите соорудить девайс и подключиться к сети, анализировать протокол? Облом — коммуникационные процессоры не имеют нужного API и тем более открытого кода. По сути — это чёрные ящики за семью замками. Хотя, если быть точным, то иногда немного больше — но об этом позже. Поднять свой сервер свою базовую станцию? Это долго, дорого и за вами могут приехать. Во-первых, полноценная сотовая сеть состоит из множества компонентов, а во-вторых — необходимое железо неприлично дорогое. Не хотите ли прикупить OpenBTS development kit сетей 2. Ettus выпускает такие гик-девайсы для экспериментов в сотовых сетях вплоть до 6 ГГц. Но вернёмся к теме статьи. IMSI-ловушки — это мобильные ложные базовые станции, которые спецслужбы включают при различных обстоятельствах в разных местах. В результате мы имеем перехват разговоров, СМС и интернет-трафика. Факты использования таких устройств засекречены. В Германии, например, в году был принят закон, разрешающий спецслужбам применять такие устройства, однако не обошлось без бурных общественных дебатов. А где-то и до дебатов не доходит. Однако косвенные доказательства есть. Как правило, ловушки включаются в местах народных волнений, либо вокруг объектов, представляющих высокую государственную важность. Часто IMSI-идентификаторы особо интересных личностей заносятся в список фильтрации, и далее работают только с телефонами конкретных людей. А теперь познакомимся с IMSI-ловушками поподробнее. Для начала классифицируем их поведение. Оно может поддерживать 2 режима — активный и пассивный. В активном ловушка выступает в роли базовой станции. В пассивном — мониторит канал и другие базовые станции. Наиболее интересен, конечно же, активный режим. Прикидываемся базовой станцией Согласно алгоритму GSM, сотовый телефон обычно выбирает станцию с наиболее сильным сигналом. Это разумно — можно снизить мощность передатчика и сэкономить батарейку. Далее она запрашивает с телефона его… IMSI: Interntaion Mobile Equipment Identifier — уникальный номер аппарата. Это происходит в рамках стандартных протоколов GSM-стека. Итак, мы вышли на конкретного человека. А можно выдавать мусор или заведомо некорректные пакеты. Перехват разговоров Самое вкусное. Здесь все не так просто, однако проще чем могло бы быть. Как известно, в GSM предусмотрели защиту от несанкционированного съёма информации. Как показал известный хакер Harald Welte , вся схема защиты в GSM местами зиждется на популярном принципе Security through obscurity и содержит фундаментальные уязвимости. При этом столпы GSM-индустрии годами игнорируют эти факты — всех всё устраивает. Как это происходит Опишем алгоритм, как ловушка вклинивается в эту систему. Все шифры А5 работают на ключе, который хранится как у оператора, так и на SIM-карте. Он уникален для каждого абонента и за его сохранность отвечает крипточип SIM-карты. Таким образом, ловушка извлекает секретный ключ абонента и реконструирует сессию с базовой станцией. Как узнать, что ваш телефон переключился на слабый шифр? Однако в природе все же встречаются отдельные модели телефонов, которые как-то сигнализируют, и это не смартфоны. В любом случае, все это скорее исключения из правил. Противодействие Естественно, борцы против Большого Брата не оставляют это дело без внимания. Принцип её работы заключается в регулярном сборе статистики об окружающих базовых станциях: В случае обнаружения отклонения от привычной картины программа выдаёт предупреждение. Тут же можно загрузить свои данные на сервер — там формируется глобальная база знаний обо всех базовых станциях мира. К сожалению, программа недоступна для большинства телефонов. Это связано с особенностью её работы. Как уже было отмечено, в GSM-отрасли любые технические детали старательно вымарываются, но кое-что просачивается. Baseband-процессоры Qualcomm имеют специальный диагностический интерфейс программный , через который возможно информирование о разных событиях из жизни сотовой связи. В лучших традициях жанра, этот интерфейс недоступен обычным Android-приложениям, однако он все же доступен при наличии root. Если у вас телефон на чипсете Qualcomm, то, возможно, вам повезло. Познакомимся с интерфейсом поподробнее. Для начала выкачаем ядро для Qualcomm. Оно называется msm — по одноимённой серии Qualcomm SoC. Total delta , reused delta Получение объектов: This enables diagchar for maemo usb gadget or android usb gadget based on config selected. Беглое изучение исходного кода показывает, что драйвер предоставляет только транспорт произвольных данных, и не содержит никаких зацепок на само содержание данных. Всё что он делает, это определяет некий примитивный формат пакета: Анализ данных от диагностического интерфейса Ребята из SnoopSnitch умудрились отреверсить сами полезные данные и на основе их строится анализ. Вот какие параметры они принимают к сведению. Для России это Список всех MNC можно посмотреть здесь: Когда происходит входящий вызов, то оповещение одновременно получают все базовые станции данной зоны. Cell ID Идентификатор соты, то есть базовой станции. Longitude, Latitude Долгота и широта базовой станции. ARFCN Absolute radio-frequency channel number — идентификатор, однозначно определяющий пару частот, используемых для приёма и передачи. Например, за диапазоном GSM закреплены номера — При этом частота передачи вычисляется по формуле Собственно, события, связанные с сетью: Location Update Когда телефон переходит из одной Location Area на другую, он посылает станциям это сообщение. Также он его посылает и периодически. А теперь опишем непосредственно критерии, на основе которых программа находит ловушки. Действительно, часто ловушка занимает существующую частоту, при этом предоставляя более сильный сигнал, чем оригинальная станция. Но эта метрика весьма ненадёжна. Во-первых, телефон может находиться в зоне действия двух станции из разных LAC, и просто перескочить с одной на другую, оставаясь на одинаковом канале. Во-вторых, сам оператор может дать команду какой-то станции на переход к другому LAC. Поэтому она анонсирует другой LAC, предоставляя более сильный сигнал. Но есть подводный камень — легальные фемто-соты могут также иметь другой LAC: Ловушка часто маскируется под неиспользованную частоту уже существующей базовой станции. LAC содержит единственную станцию. Как уже сказано в п. Проще всего этого добиться, подняв псевдо-вышку с отличным от всех LAC и самым сильным сигналом. Станция не сообщает информации о своих соседских станциях, хотя это должно происходить в условиях плотного покрытия. Это один из параметров, который влияет на алгоритм выбора телефоном наилучшей базовой станции. Тут надо подробнее пояснить весь процесс аутентификации и шифрования в GSM. Подключение к GSM-сети состоит из трех этапов: Точно такой же хранится у оператора. Так как SIM-карта формально принадлежит оператору, а сам ключ хранится защищённым образом, то это считается надёжным. Кстати, подтверждение подлинности самой станции не предусмотрено. Выработка ключа шифрования Здесь процедура идентичная, за исключением того, что случайное число и ключ подаются на вход алгоритма А8, а результатом является битный ключ симметричного шифрования А5. По умолчанию флаг всегда ставится. После этого производится стандартная атака по известному открытому тексту known plain text attack , и ключ вскрывается. Действительно, вскрытие ключа требует времени. Всё это — признак ловушки, работающей в режиме сбора информации. Если станция анонсирует другой режим шифрования, отличный от обычного для данной местности или оператора, то это либо ловушка, либо оператор недоглядел, либо аппаратный сбой, либо так задумано. Но в расчёт принимается. Слишком маленький интервал регулярного Location Update. Телефон обязан периодически посылать Location Update — даже если он не мигрирует с одной соты на другую. А значение периода приходит со станции. Стандартное значение — часа. Произошёл Paging, за которым не последовало ни SMS, ни разговора. Либо он последовал, но спустя необычно долгое время. Согласно протоколу, после установления этого канала телефон непрерывно шлёт пустые подтверждения, пока канал не закроется. Эти подтверждения могут использоваться ловушкой для более точного позиционирования телефона. Подозрительный список соседних станций Neighboring Cells. Каждая станция передает подключённому к ней телефону список окружающих станций. Но если это ловушка, то она будет отсутствовать в этих списках — в отличие от других, легитимных, станций. Разбиение на большое количество групп Paging Group. Каждая станция объединяет все подключенные телефоны в группы. Это нужно для оптимизации ресурсов. Когда происходит входящий звонок, все телефоны данной группы получают оповещение на соответствующем логическом канале. Когда ложная станция хочет вернуть абонента в родную сотовую сеть, она посылает некорректные данные на канале той группы, в которую входит абонент. В результате все члены группы начнут процедуру Cell Reselection. Чтобы затронуть как можно меньше абонентов, ложная станция делает их маленькими, а количество групп будет большим, что и является признаком работы ловушки. Вместо этого предлагается вероятностная оценка. Здесь главенствуют производители телекоммуникационного оборудования и операторы, а обсуждения уязвимостей редко выходят за рамки хакерских конференций. К счастью, с приходом нового стандарта UMTS защищённость была повышена. Будем ждать новых уязвимостей в сетях 3G и 4G! Код Безопасности 40,54 Компания. Мне вот одно не очень понятно — сам стандарт GSM достаточной старый и вроде как не является закрытым, его описание можно найти в полной объеме. К тому же, проскальзывало несколько подробнейших статей на Хабре от работников сотовых провайдеров о работе стандарта, клиентского и базового оборудования. Почему тогда в статье говорится о жуткой закрытости отрасли? Или я что-то путаю? Плюс, если все спеки собрать воедино, то там получается какое-то гиганское кол-во инфы, всякие TCPIP рядом не стояли…. А есть ли недорогие устройства, чтобы перехватывать только IMSI окружающих телефонов, чтобы знать, что рядом с тобой появился включенный телефон? Придётся перехватывать момент, когда он генериться. Сотовые операторы давно предлагают устройства для улучшения покрытия сотовой связи. Технически это миниатюрная базовая станция с аплинком до оператора через интернет. Дело за творческой переработкой прошивки такого устройства. У меня в офисе стоит такая фемто-сота от NEC и ее дают вообще бесплатно, но думается мне, что реверс-инжиниринг такой мудренной железки будет стоить дорого в смысле ваших человеко-часов. Для меня тема сугубо академический интерес представляет, а вот для желающих просто так взять и поэкспериментировать с мобильной связью это ж должно звучать как вызов. Вот чуваки надо фемтосотой поиздевались: Есть еще Wi-Fi calling. По сути никакого доп. И сценарий использования очень зыбок: Во-вторых, помимо rouge ap нужно будет поднять и rouge sip-сервер опсоса. Что, если опсос не забил болт на безопасность, может представлять некоторые сложности. А что не верно? Если оператор и телефон поддерживают wifi calling — то любая wifi точка — это сота. Конечно можно оговориться что скорость и пинг должны быть удовлетворительными, а на wifi точке и выше не должен резаться соответствующий трафик, но это вроде очевидно. Фемто соту тоже оператор должен поддерживать, так что вопрос только в поддержке терминалом. Про sip не понятно. У меня wifi звонки работают через домашний роутер, да и через любую открытую точку доступа. Мы с какой стороны на вопрос смотрим? Обеспечения связи в отдельно взятом подвале, или смелых экспериментов с сотовой связью? Какой смысл спецслужбам использовать gsm-ловушки, если всю необходимую информацию по законодательству они могут получить легально по запросу к оператору? Скорее это актуально для служб безопасности корпораций и других неспокойных личностей. Для спецслужб это интересно возможностью нелегально собирать данные. В отличие от нашей грустной реальности, много где надо решение суда на прослушку. А тут чудесно — девайс мобильный, работает в реальном времени, проконтролировать извне, что за конкретным человеком следят — невозможно. Сравните это с суровой телеком-реальностью, когда сами данные предоставляет провайдер и только по решению суда и, не исключено, только те, которые были запрошены. Оператор не записывает каждый разговор — только сам факт дзвонка. Чтобы он разговор записал нужно просить, а так — машина подъехала и пишет разговор. Чтобы записывать все разговоры всех людей, это ж какие объёмы хранелищ надо иметь??? Можно использовать буферную технологию хранения данных, то есть записывать, например, только последние несколько недель. В GSM голосовые данные передаются с довольно низким битрейтом, поэтому колоссальные объемы хранилища, скорее всего, не требуются. Вот один из проектов: Правда, до зрелого продукта им ещё далековато…. Мнение автора топика тоже интересует ибо обещаний у софтины просто вагон и подходит, судя по всему, абсолютно любой чипсет. Реверснул этот Spy Finder. Судя по всему он использует только легальный API андроида, вытаскивая всевозможные параметры. А проги, требующие рута и конкретные чипсеты, могу достать больше. Вот список параметров, которые прога принимает к сведению: Сейчас же у каждого есть хотя бы дешевый китайский смартфон с 3G, а то и 4G. Вот здесь хорошая статистика. Согласно приведённым данным, технологией GSM в настоящий момент пользуется более половины абонентов. Глушим 3Г глушилкой за 10 баксов — телефон переключится в GSM. Кстати, стек осмокомББ вполне себе поднимается с использованием железа старых моторол на платформе калипсо стоимостью 5 баксов за килограмм. У меня и многих начальников могильных телефонов нет. Дата основания год Локация Москва Россия Сайт securitycode. Зачем я купил Mac Mini Late накануне года? Интересные публикации Хабрахабр Geektimes. С днём рождения, компьютерная мышка GT. Hands Free, но не телефон. Послушный дом, когда рук не хватает GT. Взаимодействие веб-страницы с Ethereum. Отчет о старте Atos IT Challenge. Недельный спринт, анкета кандидата и картонный мужик. Услуги Реклама Тарифы Контент Семинары.

Закладки соль одесса