Уязвимости в 4G и 5G позволяют перехватывать звонки и отслеживать местоположение абонентов

[utrom]

Новые методы атак позволяют обойти меры защиты в 5G, призванные усложнить слежку за пользователями мобильных устройств.

Совместная группа исследователей из Университета Пердью и Университета штата Айова (США) обнаружила ряд новых уязвимостей в технологиях 4G и 5G, которые могут использоваться для перехвата звонков и отслеживания геопозиции пользователей.

Проблемы затрагивают как 4G, так и более защищенный стандарт мобильной связи пятого поколения (5G). Разработанные исследователями методы атак позволяют обойти меры защиты в 5G, призванные усложнить слежку за пользователями мобильных устройств. По их словам, «атаку может провести любой человек с минимальными знаниями о работе протоколов сотовой связи».

Первый метод под названием ToRPEDO (TRacking via Paging mEssage DistributiOn) эксплуатирует недостаток в протоколе, который мобильные операторы используют для уведомления устройства перед входящим вызовом или текстовым сообщением. Как обнаружили специалисты, совершение и отмена нескольких звонков в короткий период времени инициирует отправку пейджингового сообщения без уведомления устройства о входящем звонке, чем может воспользоваться злоумышленник для определения местоположения пользователя. При наличии данной информации атакующий сможет перехватить пейджинговый канал и подменять сообщения либо вообще их заблокировать.

ToRPEDO предоставляет возможность выполнения еще двух атак - Piercer (позволяет определить международный идентификатор IMSI в сети 4G) и IMSI-Cracking, которая может использоваться для брутфорса зашифрованных IMSI в сетях 4G и 5G.

По словам исследователей, уязвимость затрагивает четырех крупнейших операторов связи в США (AT&T, Verizon, Sprint и T-Mobile), а также ряд операторов в Европе и Азии. Как отмечается, для проведения атак не потребуются большие затраты – нужное радиооборудование обойдется примерно в $200. Специалисты не намерены публиковать PoC-код атаки, чтобы не подвергать риску пользователей.

Исследователи уже передали информацию об уязвимостях Международной ассоциации операторов GSM (The GSM Association). В организации признали наличие проблемы, однако не сообщили, когда она будет исправлена.

Напомним, в минувшем июне группа исследователей из Рурского и Нью-Йоркского университетов опубликовала доклад, в котором описала три типа атак, эксплуатирующих уязвимости в стандарте 4G LTE. В декабре 2018 года специалисты Ассоциации криптологических исследований раскрыли информацию об уязвимости в протоколе АКА, позволяющей отслеживать абонентов сетей 3G - 5G.

Международная ассоциация операторов GSM - организация, объединяющая около 700 операторов мобильной связи стандарта GSM из 218 стран. Разрабатывает различные стандарты и рекомендации для операторов GSM. Играет ведущую роль в работе по устранению технических и технологических барьеров к созданию и развитию клиентских сервисов на базе стандарта GSM, а также всемерно содействует распространению сетей стандарта GSM в развивающихся странах.

(с) securitylab

 

[utrom]

Отделю свои мысли и вставки.

Странно, но СекЛаб не перевели "вкусный" момент:

"Это ставит под угрозу даже самые новые устройства с поддержкой 5G от СтингРей(подменная БС которые амерские службы юзают) , сказал Хуссейн, который правоохранительные органы используют для определения чьего-либо местоположения в реальном времени и для регистрации всех телефонов в пределах его диапазона."

Бла-бла-бла и опять сладкое -" Торпедо предшествуют другие недостатки." и что же это за недостатки такие...
Syed Rafiul Hussain, Purdue University

Paging – это процесс обнаружения мобильного аппарата (MS) абонента в сети оператора сопутствующих передачей служебной информации или направления голосового сервиса абоненту. Процесс Paging’а неразрывно связан с Location Update.

Location update – процедура обновления местоположения мобильной станции абонента в сети оператора. Эта процедура осуществляется либо когда абонент перемещается в зону с другим. LAC (Location Area Code), включает свой телефонный аппарат в новой LA или по таймеру. Назначение этой процедуры заключается в том, чтобы сеть всегда знала о местоположении телефона абонента в пределах сети. Это необходимо для выполнения другой процедуры – пейджинга (Paging). Суть ее заключается в том, что в случае входящего звонка абоненту его в первую очередь нужно найти. Для этого через все соты в определенной LA посылается пейджинговое сообщение с идентификатором вызываемого абонента. Абонент постоянно слушает эфир и если услышит в сети пейджинговое сообщение со своим идентификатором, то будет устанавливать соединение с сетью. Location update может выполнятся или по причине перемещения абонента в новую LA , либо по срабатыванию таймера (Т3212). Это необходимо для контроля состояния абонента. Если мобильная станция MS не обновит свое состояние по срабатыванию этого таймера, то сеть будет знать, что ее уже нет в текущей LA во включенном режиме. Телефон может выключиться из-за разрядки аккумулятора или не успеть сообщить сети об изменении своего состояния. Это может привести к бессмысленным процедурам пейджинга, т.е. поиска выключенного абонента.

Единственное что из этого складывается и требует незамедлительной проверки, это подмена Paging-сообщения как вектор атаки.

Оригинал документа - https://www.documentcloud.org/documents/5749002-4G-5G-paper-at-NDSS-2019.html

Годом ранее на NDSS 2018 в Сан-Диего...

Утилита для тестов - https://github.com/relentless-warrior/LTEInspector/tree/master/model

В полевых испытаниях исследователи использовали плату USRP B210 ($1315) с программой srsUE, которая входит в состав srsLTE (исходный код открыт в репозитории на GitHub).

И нашли они ещё в марте прошлого года 10 видов атак -

ID	Название атаки	Условия	Стандарт/субъект	Следствия
A-1	Ошибка синхронизации аутентификации	Известный IMSI, вредоносное UE	3GPP	Отказ в подключении, отказ в сервисе
A-2	Отслеживаемость	Валидная команда security_mode, вредоносный eNodeB	Сети операторов, мобильные устройства	Примерная информация о местоположении
A-3	Отключение через auth_reject	вредоносный eNodeB	3GPP	Отказ во всех сотовых сервисах
A-4	Передача аутентификации	Известный IMSI, вредоносный eNodeB	3GPP, сети операторов	Чтение входящих/исходящих сообщений жертвы, скрытное отключение всех или определённых сервисов, подмена истории местоположений
P-1	Захват канала paging	Известный IMSI, вредоносный eNodeB	3GPP	Скрытное отключение входящих сервисов
P-2	Незаметный сброс	Известный IMSI, вредоносный eNodeB	3GPP	Незаметное для жертвы отключение от сети
P-3	Паника	Вредоносный eNodeB	3GPP	Массовая рассылка экстренных предупреждений об угрозе жизни: например, искусственный хаос в случае террористической деятельности
P-4	Истощение энергии	Известный IMSI, GUTI, вредоносный eNodeB	3GPP	Истощение батареи
P-5	Связываемость	Известный IMSI или старый псевдо-IMSI	3GPP, расширенный 5G AKA	Примерная информация о местоположении
D-1	Отключение/понижение	Вредоносный eNodeB, известный IMSI (для таргетированной версии)	3GPP	Отказ в сервисе, понижение до 2G/3G

"Отметим что атаки типа «Паника» действительно способны вызвать хаос у населения. В январе 2018 года Агентство по чрезвычайным ситуациям Гавайских островов по ошибке разослало экстренное сообщение о приближении баллистической ракеты, испугав местных жителей, которые массово направились в бомбоубежища.

Авторы исследования скептически относятся к возможности закрыть выявленные уязвимости в существующих протоколах. По их словам, если ретроспективно добавлять меры безопасности в действующие протоколы, не нарушая обратной совместимости, то это часто приводит к ненадёжным решениям типа «заплаток». Поэтому перед применением протоколов связи важно сначала их тщательно тестировать." (с) https://m.habr.com/ru/company/globalsign/blog/351470/