Escuchando GSM con HackRF. Escuchando GSM usando HackRF Imsi Cellular Interceptor comprar

Escuchar teléfono celular - uno de los métodos de acceso no autorizado a los datos personales. Incluye interceptación y descifrado de paquetes GSM (estándar de comunicación digital utilizado en teléfonos móviles), mensajes SMS y MMS.

El riesgo de intrusión en la privacidad de los propietarios de teléfonos, teléfonos inteligentes y tabletas, o mejor dicho, sus negociaciones y correspondencia crece día a día. Los dispositivos que escanean y analizan el flujo de señales de radio, el software especial para descifrar GSM y otros trucos técnicos y de software se han vuelto hoy más accesibles que nunca. Si lo desea, puede comprarlos o incluso obtenerlos gratis (utilidades). Escuchar un móvil es ahora prerrogativa no sólo de los servicios especiales.

quien interviene los telefonos

El contingente de aquellos ansiosos por conocer el contenido de conversaciones privadas y mensajes SMS es lo suficientemente grande, incluye tanto espías aficionados como profesionales sofisticados. Estas personas tienen diferentes objetivos e intenciones, respectivamente.

Las escuchas telefónicas son realizadas por:

Cumplimiento de la ley - para prevenir ataques terroristas, provocaciones, para recopilar pruebas durante el proceso operativo-investigativo, para buscar a los delincuentes. Con el permiso por escrito del fiscal o del tribunal, pueden interceptar y grabar conversaciones telefónicas en todas las líneas de conmutación inalámbricas (incluido GSM) y cableadas.
Competidores comerciales - recurren a los profesionales para realizar espionaje industrial: recopilar pruebas comprometedoras sobre la gestión de una empresa rival, descubrir planes comerciales, secretos de producción, información sobre socios. No escatiman dinero y esfuerzo para lograr su objetivo, utilizan equipos de última generación y especialistas de primera clase.
Círculo cercano (familiares, amigos, conocidos) - dependiendo de la solvencia financiera, la comunicación telefónica se monitorea de forma independiente (después de un breve conocimiento de la tecnología). O recurren en busca de ayuda a los "artesanos" que brindan el servicio a precios asequibles. Los motivos del espionaje son predominantemente domésticos: celos, división de herencias, intrigas, muestras excesivas de cuidado, curiosidad banal.
Estafadores y chantajistas - operar exclusivamente por su cuenta. Elegir víctimas (suscriptores comunicaciones móviles) a propósito. Durante la interceptación de conversaciones, se enteran de toda la información de interés (actividades comerciales, reuniones, planes inmediatos, círculo de conocidos). Y luego lo usan junto con métodos de ingeniería social para influir en el propietario del teléfono con el fin de atraerlo sin fondos.
piratas informáticos - interceptan conversaciones principalmente por software - virus. Pero a veces también usan dispositivos que escanean GSM. Las víctimas del ataque se eligen al azar, según el principio de "a quién atrapan". Sus intereses son la extracción de "trofeos" de información. Los hooligans digitales presentan juegos de palabras grabados desde el aire de teléfonos privados, malentendidos divertidos y enfrentamientos en varias publicaciones en línea para la diversión de los visitantes.
bromistas - Víctimas generalmente conocidas. Organizan espionaje "único" por "diversión", una broma o para hacer algún tipo de sorpresa. Aunque a veces sucumben a la vil tentación de haber oído de labios de los interlocutores escuchados algún secreto de su vida personal o empresarial.

Métodos de escucha móvil

1. Instalación del "error"

El método tradicional de vigilancia, pero, sin embargo, eficaz y asequible en términos de la cuestión financiera. Un pequeño dispositivo del tamaño de una cabeza de alfiler (o incluso más pequeño) se instala en el teléfono de la víctima en no más de 10 minutos. Al mismo tiempo, su presencia está cuidadosamente enmascarada, tanto visual como físicamente.

El "bicho" se alimenta de una batería, por lo que funciona aunque no haya conversaciones telefónicas, es decir, "escucha" constantemente el espacio circundante dentro del radio de sensibilidad del micrófono. Emisiones de sonido a través de una conexión GSM oa través de un canal de radio determinado, según la modificación técnica del dispositivo.

2. Intercepción de señal GSM

Desde un punto de vista técnico, uno de los métodos más difíciles. Pero junto con esto, y uno de los más productivos, poderosos. Su principio de funcionamiento se basa en obtener acceso no autorizado a un canal GSM privado y el posterior descifrado de sus paquetes. El interceptor de señales instala equipos de escaneo con software integrado diseñado para “leer” señales entre la torre repetidora y el suscriptor. Y luego, después de esperar a que se establezca la conexión (si la búsqueda es para un número específico), comienza a escuchar las llamadas.

Algoritmos de encriptación móvil

Todos los operadores móviles utilizan algoritmos secretos de encriptación de datos para codificar señales. Cada uno de ellos sirve para realizar tareas específicas:

A3: evita la clonación de teléfonos (protege el procedimiento de autorización);
A5: codifica el discurso digitalizado de los suscriptores (garantiza la confidencialidad de las negociaciones);
A8 es un servicio generador de claves criptográficas que utiliza los datos obtenidos por los algoritmos A3 y A5.

Los interceptores centran su atención en el algoritmo A5 (que enmascara el habla), que interceptan y descifran. Debido a las peculiaridades de exportar el criptosistema A5, se desarrollaron dos versiones del mismo:

A5/1 - para países de Europa Occidental;
A5/2 (versión simplificada y débil) para otros países (incluidos los estados de la CEI).

Durante algún tiempo, la esencia del algoritmo A5 fue un misterio detrás de siete sellos, un secreto tecnológico al nivel de un secreto de estado. Sin embargo, a principios de 1994, la situación había cambiado radicalmente: aparecieron fuentes que revelaban en detalle sus principios básicos de encriptación.

Hasta la fecha, se sabe casi todo sobre el A5 para el público interesado. En resumen: A5 crea una clave de 64 bits desplazando de manera desigual tres registros lineales, cuya longitud es respectivamente de 23, 22 y 19 bits. A pesar de la alta resistencia de la clave a la piratería, los piratas informáticos han aprendido a "abrirla" en equipos de potencia media, tanto en fuerte (/ 1) como en versiones débiles(/2). Usan un software especial (desarrollado por ellos) que desenreda el "enredo" A5 usando una variedad de métodos de criptoanálisis.

Equipos de interceptación y vigilancia

Los primeros dispositivos móviles de escucha aparecieron inmediatamente después de la adopción del estándar GSM. Hay alrededor de 20 soluciones principales que se utilizan activamente para las escuchas telefónicas por parte de entidades privadas y legales. Su costo fluctúa entre $2-12,000. CM. Budyonny: los ingenieros de diseño equiparon los departamentos del Ministerio del Interior con dispositivos de escucha.

Cualquier modelo de interceptor GSM (sniffer), independientemente de las características técnicas (diseño, velocidad, costo), realiza las siguientes funciones:

escaneo de canales, detección activa;
control del canal de control y voz del repetidor/teléfono móvil;
grabación de señales en medios externos (disco duro, unidad flash USB);
definición números de teléfono abonados (llamados y llamantes).

Los siguientes dispositivos se utilizan activamente para monitorear canales móviles:

GSM Interceptor Pro: cubre un área de cobertura de 0,8-25 km, admite A1 / 1 y / 2;
PostWin es un complejo basado en una PC de clase P-III. Además de GSM-900, intercepta los estándares AMPS/DAMPS y NMT-450;
SCL-5020 es un dispositivo de fabricación india. Determina la distancia al repetidor, puede escuchar simultáneamente hasta 16 canales GSM.

3. Cambiar el "firmware" del teléfono

Después de una modificación técnica, el teléfono de la víctima copia todas las conversaciones y las envía al hacker a través de GSM, Wi-Fi, 3G y otros estándares de comunicación relevantes (opcional).

4. Introducción de virus

Después de infectar el sistema operativo de un teléfono inteligente, un virus espía especial comienza a realizar "funciones de registro de gráficos" de manera encubierta, es decir, captura todas las conversaciones y las redirige a los intrusos. Por regla general, se distribuye en forma de MMS, SMS y mensajes de correo electrónico infectados.

Medidas para proteger su teléfono móvil de las escuchas

Instalación de una aplicación de seguridad en el SO del teléfono que impide la conexión a falsos repetidores, comprueba los identificadores y firmas de las bases operador móvil, detecta canales sospechosos y software espía, bloquea el acceso de otros programas al micrófono y la cámara de video. Principales soluciones: Android IMSI-Catcher Detector, EAGLE Security, Darshak, CatcherCatcher

Realización de diagnósticos técnicos de la batería: al escuchar, se descarga rápidamente, se calienta cuando el teléfono no está en uso.
Respuesta inmediata a actividades telefónicas sospechosas (la luz de fondo se enciende aleatoriamente, se instalan aplicaciones desconocidas, aparecen interferencias, eco y pulsaciones durante las conversaciones). Es necesario comunicarse con el taller de reparación para que los especialistas examinen el teléfono en busca de "errores" y virus.
Apagar el teléfono quitando la batería por la noche, idealmente, inserte la batería en el teléfono solo para realizar una llamada saliente.

Sea como fuere, si alguien quiere escuchar tu teléfono, tarde o temprano podrá hacerlo, por sí solo o con la ayuda de otra persona. Nunca pierda la vigilancia y ante la menor manifestación de síntomas de intercepción de señal, tome las medidas adecuadas.

Clonación de tarjeta SIM

Uno de los problemas comunes es la clonación de tarjetas SIM. A menudo puede encontrar anuncios en Internet sobre una manera fácil de clonar una tarjeta, y hay muchas utilidades, como la incautación de la tarjeta SIM. Como objetivos de la clonación, generalmente indican la capacidad de realizar llamadas gratuitas a expensas de otra persona y la capacidad de escuchar las conversaciones del propietario de la tarjeta SIM clonada. En el primer caso de uso, el propietario del clon tendrá problemas para recibir llamadas entrantes, pero las llamadas salientes se pueden realizar libremente. Los principales consumidores son las personas que luego en el metro ofrecen a los transeúntes llamadas baratas a cualquier país del mundo. En cuanto a escuchar al suscriptor, la siguiente sección está dedicada a la consideración de este tema.

La sección anterior describió el proceso de autenticación de la tarjeta SIM (Figura 120). Básicos en este proceso son los parámetros IMSI y

K I. Para que un clon pueda autenticarse con el AUC, debe conocer estos parámetros. Averiguar IMSI es fácil, puede escribirse en la tarjeta o adjuntarse a ella. Se puede leer fácilmente desde la tarjeta SIM usando un lector de tarjetas inteligentes. Pero con K I todo es algo más complicado.

Como ya sabe, K I se almacena solo en dos lugares: en la memoria de la tarjeta SIM y en la memoria AUC. K I nunca se transmite en claro durante la autenticación, es decir, no puede ser interceptado durante la autenticación. Los atacantes tienen 4 opciones para obtener K I . La primera opción es una información privilegiada en la empresa operadora. Esta opción es preferible, porque puede obtener información sobre varias tarjetas a la vez. Las desventajas de esta opción son que, debido a la importancia de K I, el acceso a sus valores está estrictamente limitado y, si se detecta una fuga masiva, la información privilegiada se calculará rápidamente. Además, AUC a menudo carece de funcionalidad para leer KI por las mismas razones de seguridad. La segunda opción se basa en el robo de KI inmediatamente después de recibir un lote de tarjetas SIM del fabricante. Los problemas aquí son los mismos que en la versión anterior: el número de personas con el acceso necesario se calcula en unidades.

Tercera opción: leer K I de la memoria de la tarjeta SIM. Comencemos con el hecho de que necesita obtener acceso físico a la tarjeta (quitarla del teléfono de la víctima con algún pretexto, conocer el código PIN). Un inconveniente importante: la tarjeta SIM no tiene una interfaz a través de la cual pueda leer o cambiar K I directamente.

Y finalmente, la última opción: calcular K I . El atacante debe tener conocimiento del algoritmo A3 utilizado por el operador. En este caso, puede intentar calcular K I observando los resultados de convertir RAND a SRES. Para hacer esto, RAND se forma manualmente, se llama al algoritmo de cifrado y se le pasa RAND. Este proceso está automatizado por programas como SimScan y WoronScan.

Así se obtuvieron los primeros clones de tarjetas SIM. Esto estuvo disponible debido a la filtración de información sobre el algoritmo A3, llamado COMP128, a la red. Se descubrió una vulnerabilidad en el algoritmo que permitía recoger KI en un número aceptable de intentos. Después de que se descubrió la vulnerabilidad, la mayoría de los operadores la reemplazaron con algo más resistente. Actualmente hay tres versiones del COMP128. La segunda y tercera versión se consideran actualmente sin abrir. Y aunque hay programas en la red que declaran la posibilidad de hackear estas versiones, en realidad siempre resulta que su objetivo es obligar al usuario a descargar el troyano.

Si el atacante no tiene información sobre la implementación de A3, entonces puede intentar capturar K I por la fuerza bruta. Aquí surge otro obstáculo: el número de intentos para seleccionar KI es limitado. A

Las tarjetas SIM tienen un contador de llamadas A3 incorporado, y cuando se supera un cierto umbral (65535), la tarjeta se bloquea y deja de responder a las solicitudes de registro (aunque funcionan otras funciones, por ejemplo, la agenda telefónica). En condiciones normales de funcionamiento, cuando se llama a A3 cada vez que se registra la tarjeta SIM en la red (cuando el teléfono está encendido), tales restricciones no interfieren con el suscriptor. Pero para obtener K I, es posible que se necesiten más intentos.

Si el atacante logró recoger K I , entonces tiene la oportunidad de llamar a expensas de otra persona. Pero hay varios factores limitantes aquí. Primero, porque el dinero en la cuenta empezará más rápido de lo normal, es muy probable que el dueño de la tarjeta SIM lo note. En una impresión detallada, las llamadas "extra" se detectarán inmediatamente. Esto también se aplica a las tarifas "ilimitadas", porque. también tienen restricciones, en particular cuando llaman al extranjero. Por ello, los atacantes buscan pronunciar cuanto antes todo el saldo disponible y deshacerse del clon. En segundo lugar, si ambas tarjetas están registradas en la red, las llamadas entrantes llegarán a la tarjeta que se autorizó por última vez o desde la que se realizó la última llamada saliente. En consecuencia, un usuario legítimo puede notar que ya no recibirá las llamadas esperadas. En general, está contraindicado que los malhechores levanten el teléfono con fines de conspiración. De lo contrario, los corresponsales del usuario detectarán inmediatamente el fraude. En tercer lugar, el operador puede calcular las tarjetas SIM que están registradas en la red en lugares separados geográficamente por un tiempo limitado. Si se sospecha que la tarjeta está clonada, el operador bloqueará la tarjeta y emitirá una nueva al suscriptor.

En resumen, podemos decir que la clonación de tarjetas SIM es posible, pero bastante difícil. Si el operador modernizó la implementación de A3 de manera oportuna y sus empleados son leales e incorruptibles, los suscriptores no deberían temer la aparición de clones de su tarjeta SIM. Además, la relevancia de dicho fraude disminuye, porque. la demanda de llamadas baratas al exterior se compensa con la posibilidad de llamadas por Skype, así como con ofertas de operadores legales.

Interceptación de conversaciones en la red GSM

La mayoría de los artículos sobre piratería GSM se basan en el artículo de 2006 de Eli Barkan y en la investigación de Karsten Noh.

En su artículo, Barkan et al demostraron que desde en GSM, la corrección de errores va antes del cifrado (y debería ser al revés), es posible una cierta reducción en el espacio de búsqueda para seleccionar K C y la implementación de un ataque de texto cifrado conocido (con escucha del aire completamente pasiva) en un aceptable tiempo usando datos pre-calculados.

Los propios autores del artículo dicen que cuando se recibe sin interferencias por un hackeo en 2 minutos, se requieren 50 terabytes de datos precomputados. En el mismo artículo (en el apartado sobre A5/2) se indica que la señal del aire siempre viene con interferencias, lo que complica la selección de la clave. Para A5 / 2, se presenta un algoritmo modificado que puede tener en cuenta la interferencia, pero al mismo tiempo requiere el doble de datos precalculados y, en consecuencia, el tiempo de craqueo se duplica. Para A5/1 se indica la posibilidad de construir un algoritmo similar, pero no se da. Se puede suponer que en este caso también es necesario duplicar la cantidad de datos precalculados.

El proceso de selección de claves A5/1 es probabilístico y dependiente del tiempo, es decir, cuanto más dure la audición, más probable será que elijas a K C . Por lo tanto, los 2 minutos indicados en el artículo son un tiempo aproximado y no garantizado para la selección de KC.

Carsten Nohl está desarrollando el proyecto de piratería GSM más famoso. Su empresa de seguridad informática iba a publicar a finales de 2009 acceso abierto tablas arcoíris de claves de sesión del algoritmo A5/1, que se utiliza para encriptar voz en redes GSM.

Karsten Nohl explica su gestión contra A5/1 como un deseo de llamar la atención del público sobre problema existente y obligar a los operadores de telecomunicaciones a cambiar a tecnologías más avanzadas. Por ejemplo, la tecnología UMTS implica el uso de un algoritmo A5 / 3 de 128 bits, cuya fuerza es tal que no puede ser pirateado por ningún medio disponible en la actualidad.

Carsten calcula que una tabla de claves A5/1 completa tendría un tamaño de 128 petabytes cuando se empaquetara y almacenara distribuida entre varias computadoras en una red. Para calcularlo, se requerirán alrededor de 80 computadoras y 2-3 meses de trabajo. El uso de tarjetas gráficas CUDA modernas y matrices programables Xilinx Virtex debería reducir significativamente el tiempo de cálculo. En particular, su discurso en el 26C3 (Congreso de Comunicación del Caos) en diciembre de 2009 hizo mucho ruido. Formule brevemente la esencia del discurso de la siguiente manera: pronto podemos esperar la aparición de sistemas de bajo costo para la decodificación en línea A5 / 1.

Pasemos a los problemas de ingeniería. ¿Cómo obtener datos del aire? Para interceptar conversaciones, debe tener un escáner completo que pueda determinar qué bases están transmitiendo, a qué frecuencias, a qué operadores pertenecen, qué teléfonos con qué TMSI están activos actualmente. El escáner debe poder seguir la conversación desde el teléfono especificado, procesar correctamente las transiciones a otras frecuencias y estaciones base.

Hay ofertas en Internet para comprar un escáner similar sin decodificador por 40-50 mil dólares. No se puede llamar un dispositivo de presupuesto.

Por lo tanto, para crear un dispositivo que, después de simples manipulaciones, pueda comenzar a escuchar una conversación en el teléfono, es necesario:

a) implementar la parte que trabaja con el éter. En particular, te permite especificar cuál de los TMSI corresponde al teléfono que estás buscando o, mediante ataques activos, obligar a los teléfonos a “descubrir” su IMSI y MSISDN reales;

b) implementar un algoritmo para ajustar K c para A5/1 que funcione bien en datos reales (con ruido/errores, lagunas, etc.);

d) combinar todos estos puntos en una solución de trabajo completa.

Karsten y el resto de los investigadores básicamente resuelven el punto "c". A

En particular, él y sus colegas sugieren usar OpenBTS, airdump y Wireshark para crear un interceptor IMSI (IMSI catcher). Más detalles sobre el dispositivo y la intercepción de llamadas con su ayuda se describen a continuación en la sección "Ataque de intermediario en GSM". Hasta ahora, podemos decir que este dispositivo emula una estación base y está integrado entre la MS y una estación base real.

Los oradores argumentan que una tarjeta SIM puede evitar fácilmente que un teléfono muestre que está funcionando en modo de encriptación A5/0 (es decir, sin encriptación) y que la mayoría de las tarjetas SIM en circulación son solo eso. Es realmente posible. En GSM 02.07, está escrito (Anexo Normativo B.1.26) que la tarjeta SIM contiene un bit OFM especial en el campo Administrativo, que, si se establece en uno, desactivará la indicación de cifrado de conexión (en forma de bloqueo de granero) . En GSM 11.11, se especifican los siguientes derechos de acceso a este campo: la lectura siempre está disponible y los permisos de escritura se describen como "ADM". El operador establece un conjunto específico de derechos que rigen las entradas en este campo en la etapa de creación de tarjetas SIM. Por lo tanto, los oradores esperan que la mayoría de las tarjetas se liberen con el bit establecido y sus teléfonos realmente no muestren una indicación de la falta de encriptación. Esto realmente facilita mucho el trabajo del IMSI catcher.

el propietario del teléfono no puede detectar la falta de encriptación y sospechar algo.

Un detalle interesante. Los investigadores se han encontrado con el hecho de que el firmware del teléfono se prueba para cumplir con las especificaciones GSM y no se prueba para manejar situaciones anormales, por lo tanto, en caso de operación incorrecta de la estación base (por ejemplo, el OpenBTS "ficticio" que se usó para la interceptación) , los teléfonos a menudo se congelan.

La mayor resonancia la causó la afirmación de que por solo $ 1500 es posible armar un kit listo para escuchar conversaciones de USRP, OpenBTS, Asterisk y airprobe. Esta información fue ampliamente difundida en Internet, solo los autores de estas noticias y los artículos derivados de ellas olvidaron mencionar que los propios oradores no brindaron detalles y la manifestación no se llevó a cabo.

En diciembre de 2010, Carsten y Munaut (Sylvain Munaut) volvieron a hablar en la conferencia 27C3 con un informe sobre la interceptación de conversaciones en redes GSM. Esta vez presentaron un escenario más completo, pero tiene muchas condiciones de "invernadero".

Para el descubrimiento de la ubicación, utilizan los servicios de Internet, que permiten enviar solicitudes de "envío de información de enrutamiento" a la red SS7. SSV es la pila de red/protocolo que se utiliza para comunicarse operadores telefónicos(GSM y "terrestre") entre sí y para comunicar componentes de red GSM entre sí.

Además, los autores hacen referencia a la implementación de las comunicaciones móviles en Alemania. Allí, el RAND obtenido como resultado de la consulta se correlaciona bien con el código de región (código de área/código postal). Por lo tanto, dichas solicitudes allí permiten determinar con precisión la ciudad o incluso parte de la ciudad donde se encuentra este suscriptor en Alemania. Pero el operador no está obligado a hacerlo.

Ahora los exploradores conocen la ciudad. Después de eso, toman un rastreador, van a la ciudad que encontraron antes y comienzan a visitar todos sus LAC. Al llegar al territorio que forma parte de algún LAC, envían un SMS a la víctima y escuchan para ver si el teléfono de la víctima está llamando (esto sucede a través de un canal no encriptado, en todas las bases a la vez). Si hay una llamada, reciben información sobre el TMSI que se emitió al suscriptor. Si no, van a comprobar el próximo LAC.

Cabe señalar que desde IMSI no se transmite durante la paginación (y los investigadores no lo saben), pero solo se transmite TMSI (que quieren saber), luego se realiza un "ataque de sincronización". Envían varios SMS con pausas intermedias y ven qué TMSI están siendo buscados repitiendo el procedimiento hasta que solo queda uno (o ninguno) en la lista de TMSI "sospechosos".

Para evitar que la víctima se dé cuenta de tal "sondeo", se envía un SMS que no se mostrará al suscriptor. Este es un sms flash especialmente creado o un SMS incorrecto (roto), que el teléfono procesará y eliminará, mientras que no se mostrará nada al usuario.

Habiendo descubierto el LAC, comienzan a visitar todas las celdas de este LAC, envían SMS y escuchan las respuestas de búsqueda. Si hay una respuesta, entonces la víctima está en esta celda y puede comenzar a descifrar su clave de sesión (K C) y escuchar sus conversaciones.

Antes de eso, debe grabar la transmisión. Aquí, los investigadores sugieren lo siguiente:

1) hay placas FPGA hechas a medida que son capaces de grabar simultáneamente todos los canales o un enlace ascendente (canal de comunicación de un suscriptor (teléfono o módem) a una estación base operador móvil), o enlace descendente (canal de comunicación desde la estación base al suscriptor) de frecuencias GSM (890-915 y 935-960 MHz, respectivamente). Como ya se señaló, dicho equipo cuesta $ 4050, por lo que la disponibilidad de dicho equipo para un simple investigador de seguridad es dudosa;

2) puede tomar equipos menos potentes y más baratos y escuchar algunas de las frecuencias en cada uno de ellos. Esta opción cuesta unos 3,5 mil euros con una solución basada en USRP2;

Truco de clave de sesión. Estando en la misma celda que la víctima, le envían SMS, graban la comunicación de la víctima con la base, y crackean la clave, aprovechando que durante la configuración de la sesión (session setup) hay un intercambio de muchos paquetes semivacíos o con contenido predecible. Las tablas Rainbow se utilizan para acelerar la piratería. En el momento de 26C3, estas tablas no estaban tan bien llenas y la piratería no se realizaba en minutos o incluso en decenas de minutos (los autores mencionan una hora). Es decir, antes de 27C3, incluso Carsten (el principal investigador en esta área) no tenía una solución que le permitiera descifrar KC en un tiempo aceptable (durante el cual, muy probablemente, no habría cambio de clave de sesión (reinicio)).

Luego, los investigadores aprovechan el hecho de que el cambio de clave rara vez se realiza después de cada llamada o SMS, y la clave de sesión que aprenden no cambiará por un tiempo. Ahora, conociendo la clave, pueden decodificar el tráfico cifrado hacia/desde la víctima en tiempo real y realizar saltos de frecuencia al mismo tiempo que la víctima. En este caso, cuatro teléfonos flasheados son realmente suficientes para capturar el aire, ya que no es necesario escribir todas las frecuencias y todos los intervalos de tiempo. Los investigadores han demostrado esta tecnología en acción. Es cierto que la "víctima" se quedó quieta y fue atendida por una centésima.

Resumiendo el resultado intermedio, podemos responder afirmativamente a la pregunta sobre la posibilidad de interceptar y descifrar conversaciones GSM sobre la marcha. Al hacerlo, debe tener en cuenta lo siguiente:

1) La tecnología descrita anteriormente no existe en una forma disponible para nadie (incluidos los script kiddies). Ni siquiera es un constructor, sino un espacio en blanco para las partes del constructor que deben completarse hasta un estado utilizable. Los investigadores notan repetidamente que no tienen planes claros para publicar en acceso general especificaciones de implementación. Esto significa que, en base a estos desarrollos, los fabricantes de Medio Oriente no están produciendo en masa dispositivos de $100 que todos puedan escuchar.

2) OsmocomBB admite solo una familia de chips (aunque es la más común).

A diferencia de la demostración, en realidad hay miles de mensajes de paginación en un LA promedio de carga. Además, la paginación no funciona en el momento del envío, sino en determinadas ventanas de tiempo y por lotes (según grupos de paginación con sus propias colas, cuyo número es el resto de dividir IMSI por la cantidad de canales, que pueden ser diferentes en cada celda), lo que de nuevo complica la implementación.

4) Digamos que se encuentra LA. Ahora necesitamos “sentir” la respuesta del suscriptor. El transmisor del teléfono tiene una potencia de 1-2 vatios. En consecuencia, escanearlo desde una distancia de varias decenas de metros también es una tarea (no fácil). Resulta una paradoja: LA cubre, por ejemplo, toda una región (ciudad). En él, por ejemplo, 50 celdas, algunas de las cuales tienen un alcance de hasta 30 km. Estamos tratando de captar y descifrar la radiación en una antena omnidireccional. Para llevar a cabo esta tarea en esta realización, se requiere una gran cantidad de equipo. Si partimos de la premisa bajo la cual la víctima está en línea directa de visión, i.e. la distancia a la que la intercepción se ve más realista, el micrófono direccional es mucho más efectivo y simple. Cabe señalar que en la demostración, los investigadores interceptan sus teléfonos a una distancia de 2 metros.

5) El movimiento de la presa entre celdas también causa problemas, porque también necesitas moverte con él.

6) Los teléfonos utilizados en la demostración requieren una modificación de hardware, necesitan quitar el filtro de la antena, de lo contrario, los teléfonos de enlace ascendente "alienígenas" no "verán". El filtro en el teléfono es necesario para "escuchar" no todas las frecuencias, sino solo "la propia".

7) Si la red cambia regularmente la clave (nueva clave) o cambia el TMSI (ninguno de los investigadores tuvo esto en cuenta), entonces este método no funciona en absoluto o funciona muy mal (el tiempo de descifrado puede ser más largo que el tiempo de conversación ).

8) Escuchar toda la red no funcionará, necesita saber el número de teléfono.

Protección contra la interceptación del tráfico

1) En lugar de un byte constante, use valores aleatorios para paginar mensajes GSM vacíos.

2) Cambiar K C después de cada llamada.

3) Cambie TMSI tan a menudo como sea posible.

Los puntos 2 y 3 pueden resolverse mediante una simple reconfiguración de los elementos de red del proveedor y no requieren actualizaciones de firmware o hardware.

Además, varios teléfonos modificados están en el mercado, por ejemplo, el teléfono inteligente criptográfico Cancort, que proporciona operación en líneas de comunicación GSM 900/1800 en dos modos:

Modo abierto (modo GSM normal);

Modo de cifrado con cifrado de información a prueba de hackers.

Cancort realiza las siguientes funciones:

Cifrado/descifrado de mensajes cortos (servicio SMS)

Cifrado/descifrado de datos (servicio BS26 y GPRS).

Cifrado/descifrado de correo electrónico.

Cifrado/descifrado de información de todos los directorios telefónicos (SIM PB).

Cifrado/descifrado de información MMS.

También puede utilizar codificadores para la protección, que han demostrado su eficacia en la protección de redes telefónicas convencionales. Un ejemplo es GUARD GSM. Este dispositivo (como los análogos) se conecta a un teléfono celular a través de un auricular con cable y es de tamaño pequeño. El codificador GUARD GSM tiene treinta y dos modos de cifrado.

El principio de funcionamiento de este codificador se basa en la destrucción inicial y el reordenamiento temporal del sonido en el lado transmisor con su posterior restauración en el lado receptor. Este proceso es bidireccional. La permutación temporal de segmentos de la señal de voz y el restablecimiento de su secuencia en la recepción requiere un cierto intervalo de tiempo. Por lo tanto, una propiedad obligatoria de dicho equipo es un pequeño retraso de señal en el lado receptor. El comienzo de una conversación, por regla general, comienza en un modo abierto y luego, en un comando mutuo, los dispositivos cambian al modo de codificación. Al negociar, el dispositivo realiza simultáneamente dos funciones, codificar y decodificar. Es decir, la voz pronunciada por uno de los abonados está cifrada por su parte, y el segundo codificador situado en el segundo abonado descifra esta voz. Y lo mismo ocurre en sentido contrario, cuando el segundo abonado empieza a hablar.

Especificaciones:

1. Inteligibilidad del habla de al menos 95%.

2. Tipo de conexión dúplex completo.

3. Retraso de la señal en la línea no más de 100 ms.

4. El nivel de protección de la señal lineal es temporal.

5. Uso en redes del estándar GSM 900/1800.

6. Tipo de conexión a Teléfono móvil auricular con cable 7. Dimensiones totales 80x45x16 mm

Ataque "man-in-the-middle" en GSM

El ataque discutido anteriormente utilizó activamente un dispositivo llamado IMSI-catcher. En esta sección se explica cómo funciona un dispositivo de este tipo y sus limitaciones.

En Internet, puede encontrar muchas ofertas para la venta de dispositivos especiales que pueden emular estaciones base. Dichos anuncios declaran que dichos emuladores le permiten escuchar en secreto cualquier conversación sin informar al operador y sin siquiera saber el número de teléfono de la persona intervenida.

Existen dispositivos con una funcionalidad similar (por ejemplo, el complejo RA 900 fabricado por Rohde & Schwarz), pero tienen capacidades mucho menos impresionantes:

1) en secreto, solo puede determinar si el teléfono está en el área de cobertura, en la que se inserta la tarjeta SIM con el IMSI especificado, u obtener una lista de IMSI / IMEI pero no números de teléfono en el área de cobertura "pseudo-base". Esto implica que el atacante conoce la IMSI.

2) Puede escuchar conversaciones salientes desde un teléfono específico, pero el suscriptor tendrá deshabilitado el cifrado de señal. Además, el número de la persona que llama se cambiará u ocultará. Al mismo tiempo, el propio suscriptor puede detectarlo y establecer el hecho de escuchar (o sospechar).

3) Con escucha directa, las llamadas entrantes no se pueden entregar al suscriptor y, por lo tanto, no se pueden escuchar. Para otros suscriptores de la red, el suscriptor escuchado está "fuera del área de cobertura".

Como puede ver, la funcionalidad asume la presencia de cierta información sobre la víctima.

Cómo funciona IMSI-catcher

IMSI-catcher es un dispositivo que, por un lado, se comporta como una estación base de la red GSM, y por otro lado, contiene una tarjeta SIM o algún otro medios tecnicos para conectarse a las redes de comunicación. Se utiliza de la siguiente manera:

1. El dispositivo se coloca cerca del teléfono móvil de la víctima. El alcance se determina en función del nivel de potencia de una estación base real.

2. Durante el funcionamiento, el dispositivo aparece como una estación normal. Naturalmente, debe hacerse pasar por la estación del operador a la que pertenece la víctima. El estándar GSM no requiere que la estación base se autentique en el teléfono (a diferencia de las redes UMTS, por ejemplo), por lo que esto es bastante fácil de hacer. La frecuencia y la intensidad de la señal de la base falsa se seleccionan para que las estaciones base reales de todas las redes vecinas no interfieran con su funcionamiento.

3. El teléfono de la víctima se ve obligado a elegir una base falsa como la mejor estación base disponible debido a su buena y fuerte señal. El principio de selección se ha descrito anteriormente. Como resultado, el atacante puede determinar el IMEI de la víctima.

4. Para escuchar conversaciones durante el registro, la base falsa informa al teléfono sobre la necesidad de cambiar al modo de encriptación A5 / 0, es decir, sin encriptación en absoluto. El teléfono GSM no puede rechazar.

5. Después de eso, todas las llamadas salientes de la víctima pasan a través de la estación falsa en claro y se pueden grabar/escuchar allí. En este caso, el dispositivo actúa como un proxy, conectándose de forma independiente al número marcado y transmitiendo de forma transparente la voz a través de sí mismo en ambas direcciones.

Limitaciones de IMSI-catcher

1. Cuando se conecta a una estación falsa, la víctima deja de estar disponible para las llamadas entrantes. Para admitir llamadas entrantes, el dispositivo debe ser atendido por la red del operador de la misma manera que otras estaciones base. Para hacer esto, debe conectarse a algún tipo de controlador de estación base (BSC) y registrarse en sus tablas de enrutamiento. Pero si un atacante tiene acceso a la red del operador a un nivel que le permite conectarse y configurar nuevas estaciones base, entonces en este caso es más eficiente usar SORM. Si además de la víctima, otras personas entran en el área de cobertura del dispositivo teléfonos móviles ubicados junto a la víctima, mostrarán cobertura, pero no se atenderán las llamadas entrantes ni salientes. Esto puede despertar sospechas.

2. Mayoría telefonos modernos tienen una indicación de encriptación (en forma de candado) y la víctima puede desconfiar si ve que la conexión no está encriptada.

3. Para transmitir llamadas salientes, el dispositivo necesita una salida en red telefonica. Si usa su propio módulo GSM con una tarjeta SIM para esto, las llamadas salientes desde una estación falsa se realizarán con un número diferente al número de la víctima. Para ocultar esto, puede usar el servicio "ocultar el número de la persona que llama" (restricción de identificación de la línea de llamada, CLIR), que también puede alertar a los destinatarios de la llamada y pueden informar esto a la víctima. Alternativamente, al usar WiFi + VoIP, puede reemplazar el número de estación falso con el correcto, pero esto complica el diseño.

Para una sustitución más precisa, el dispositivo debe utilizar una tarjeta SIM del mismo operador utilizado por la víctima, en cuyo caso el atacante podrá transmitir las llamadas al servicio y los números cortos de la víctima.

4. Si la víctima se está moviendo, puede salir fácilmente del área de cobertura del dispositivo, esto llevará al hecho de que el proceso tendrá que comenzar de nuevo.

Estas deficiencias muestran que el uso de un dispositivo de este tipo se limita a la interceptación de conversaciones a corto plazo y prácticamente no es adecuado para la escucha a largo plazo.

Por lo tanto, el uso principal de dicho dispositivo puede ser identificar el SHZSHMSH de la víctima, del cual solo se conoce exactamente su ubicación, y luego usar la información sobre SH5I para realizar una escucha normal por medio de SORM.

Conclusión

Es posible la interceptación de mensajes en redes MBM. Pero, dadas las condiciones necesarias para la implementación de la interceptación, podemos decir que el MBM está mucho mejor protegido de lo que se muestra en las películas e Internet.

Pasamos a la consideración de hackear GSM. Los artículos sobre vulnerabilidades en A5/1 aparecieron hace unos 15 años, pero aún no ha habido una demostración pública del hackeo de A5/1 en el mundo real. Además, como puede verse en la descripción del funcionamiento de la red, debe entenderse que, además de descifrar el propio algoritmo de cifrado, deben resolverse una serie de problemas puramente de ingeniería, que normalmente siempre se omiten (incluso en demostraciones públicas). ). La mayoría de los artículos sobre piratería GSM se basan en el artículo de 2006 de Eli Barkan y en la investigación de Karsten Noh. En su artículo, Barkan et al demostraron que desde en GSM, la corrección de errores va antes del cifrado (y debería ser al revés), es posible una cierta reducción en el espacio de búsqueda para seleccionar KC y la implementación de un ataque de texto cifrado conocido (con escucha del aire completamente pasiva) en un aceptable tiempo usando datos pre-calculados. Los propios autores del artículo dicen que cuando se recibe sin interferencias por un hackeo en 2 minutos, se requieren 50 terabytes de datos precomputados. En el mismo artículo (en el apartado sobre A5/2) se indica que la señal del aire siempre viene con interferencias, lo que complica la selección de la clave. Para A5 / 2, se presenta un algoritmo modificado que puede tener en cuenta la interferencia, pero al mismo tiempo requiere el doble de datos precalculados y, en consecuencia, el tiempo de craqueo se duplica. Para A5/1, se indica la posibilidad de construir un algoritmo similar, pero no se presenta el algoritmo en sí. Se puede suponer que en este caso también es necesario duplicar la cantidad de datos precalculados. El proceso de selección de claves A5/1 es probabilístico y dependiente del tiempo, es decir, cuanto más dura la audición, más probable es que elija a KC. Por lo tanto, los 2 minutos indicados en el artículo son un tiempo aproximado y no garantizado para la selección de KC. Carsten Nohl está desarrollando el proyecto de piratería GSM más famoso. A finales de 2009, su empresa de seguridad informática iba a lanzar al público tablas arcoíris de claves de sesión del algoritmo A5/1, que se utiliza para cifrar el habla en redes GSM, a finales de 2009. Karsten Nol explica su gestión contra A5/1 como un deseo de llamar la atención del público sobre el problema existente y obligar a los operadores de telecomunicaciones a cambiar a tecnologías más avanzadas. Por ejemplo, la tecnología UMTS implica el uso de un algoritmo A5 / 3 de 128 bits, cuya fuerza es tal que no puede ser pirateado por ningún medio disponible en la actualidad. Carsten calcula que una tabla de claves A5/1 completa tendría un tamaño de 128 petabytes cuando se empaquetara y almacenara distribuida entre varias computadoras en una red. Para calcularlo, se requerirán alrededor de 80 computadoras y 2-3 meses de trabajo. El uso de tarjetas gráficas CUDA modernas y matrices programables Xilinx Virtex debería reducir significativamente el tiempo de cálculo. En particular, su discurso en el 26C3 (Congreso de Comunicación del Caos) en diciembre de 2009 hizo mucho ruido. Formule brevemente la esencia del discurso de la siguiente manera: pronto podemos esperar la aparición de sistemas de bajo costo para la decodificación en línea A5 / 1. Pasemos a los problemas de ingeniería. ¿Cómo obtener datos del aire? Para interceptar conversaciones, debe tener un escáner completo que pueda determinar qué bases están transmitiendo, a qué frecuencias, a qué operadores pertenecen, qué teléfonos con qué TMSI están activos actualmente. El escáner debe poder seguir la conversación desde el teléfono especificado, procesar correctamente las transiciones a otras frecuencias y estaciones base. Hay ofertas en Internet para comprar un escáner similar sin decodificador por 40-50 mil dólares. No se puede llamar un dispositivo de presupuesto. Por lo tanto, para crear un dispositivo que, después de simples manipulaciones, pueda comenzar a escuchar una conversación en el teléfono, es necesario:

b) implementar un algoritmo de selección de KC para A5/1 que funcione bien con datos reales (con ruido/errores, lagunas, etc.);

d) combinar todos estos puntos en una solución de trabajo completa.

Karsten y el resto de los investigadores básicamente resuelven el punto "c". En particular, él y sus colegas sugieren usar OpenBTS, airdump y Wireshark para crear un interceptor IMSI (IMSI catcher). Hasta ahora, podemos decir que este dispositivo emula una estación base y está integrado entre la MS y una estación base real. Los oradores argumentan que una tarjeta SIM puede evitar fácilmente que un teléfono muestre que está funcionando en modo de encriptación A5/0 (es decir, sin encriptación) y que la mayoría de las tarjetas SIM en circulación son solo eso. Es realmente posible. En GSM 02.07, está escrito (Anexo Normativo B.1.26) que la tarjeta SIM contiene un bit OFM especial en el campo Administrativo, que, si se establece en uno, desactivará la indicación de cifrado de conexión (en forma de bloqueo de granero) . En GSM 11.11, se especifican los siguientes derechos de acceso a este campo: la lectura siempre está disponible y los permisos de escritura se describen como "ADM". El conjunto específico de derechos que rigen la entrada en este campo lo establece el operador en la etapa de creación de tarjetas SIM. Por lo tanto, los oradores esperan que la mayoría de las tarjetas se liberen con el bit establecido y sus teléfonos realmente no muestren una indicación de la falta de encriptación. Esto realmente facilita mucho el trabajo del IMSI catcher. el propietario del teléfono no puede detectar la falta de encriptación y sospechar algo. Un detalle interesante. Los investigadores se han encontrado con el hecho de que el firmware del teléfono se prueba para cumplir con las especificaciones GSM y no se prueba para manejar situaciones anormales, por lo tanto, en caso de operación incorrecta de la estación base (por ejemplo, el OpenBTS "ficticio" que se usó para la interceptación) , los teléfonos a menudo se congelan. La mayor resonancia la causó la afirmación de que por solo $ 1500 es posible armar un kit listo para escuchar conversaciones de USRP, OpenBTS, Asterisk y airprobe. Esta información fue ampliamente difundida en Internet, solo los autores de estas noticias y los artículos derivados de ellas olvidaron mencionar que los propios oradores no brindaron detalles y la manifestación no se llevó a cabo. En diciembre de 2010, Carsten y Munaut (Sylvain Munaut) volvieron a hablar en la conferencia 27C3 con un informe sobre la interceptación de conversaciones en redes GSM. Esta vez presentaron un escenario más completo, pero tiene muchas condiciones de "invernadero". Para el descubrimiento de la ubicación, utilizan los servicios de Internet, que permiten enviar solicitudes de "envío de información de enrutamiento" a la red SS7. SS7 es una pila de red/protocolo que se utiliza para comunicarse entre operadores telefónicos (GSM y líneas fijas) y para comunicarse entre componentes de red GSM. Además, los autores hacen referencia a la implementación de las comunicaciones móviles en Alemania. Allí, el RAND obtenido como resultado de la consulta se correlaciona bien con el código de región (código de área/código postal). Por lo tanto, dichas solicitudes allí permiten determinar con precisión la ciudad o incluso parte de la ciudad donde se encuentra este suscriptor en Alemania. Pero el operador no está obligado a hacerlo. Ahora los exploradores conocen la ciudad. Después de eso, toman un rastreador, van a la ciudad que encontraron antes y comienzan a visitar todos sus LAC. Al llegar a un territorio que forma parte de algún LAC, envían un SMS a la víctima y escuchan para ver si se activa la localización del teléfono de la víctima (esto sucede a través de un canal no cifrado, en todas las bases a la vez). Si hay una llamada, reciben información sobre el TMSI que se emitió al suscriptor. Si no, van a comprobar el próximo LAC. Cabe señalar que desde IMSI no se transmite durante la paginación (y los investigadores no lo saben), pero solo se transmite TMSI (que quieren saber), luego se realiza un "ataque de sincronización". Envían varios SMS con pausas intermedias y ven qué TMSI están siendo buscados repitiendo el procedimiento hasta que solo queda uno (o ninguno) en la lista de TMSI "sospechosos". Para evitar que la víctima se dé cuenta de tal "sondeo", se envía un SMS que no se mostrará al suscriptor. Este es un sms flash especialmente creado o un SMS incorrecto (roto), que el teléfono procesará y eliminará, mientras que no se mostrará nada al usuario. Habiendo descubierto el LAC, comienzan a visitar todas las celdas de este LAC, envían SMS y escuchan las respuestas a la paginación. Si hay una respuesta, entonces la víctima está en esta celda y puede comenzar a descifrar su clave de sesión (KC) y escuchar sus conversaciones. Antes de eso, debe grabar la transmisión. Aquí, los investigadores sugieren lo siguiente:

1) hay tarjetas FPGA hechas a la medida que son capaces de grabar simultáneamente todos los canales de enlace ascendente (canal de comunicación desde el suscriptor (teléfono o módem) a la estación base del operador celular), o enlace descendente (canal de comunicación desde la estación base al suscriptor) de frecuencias GSM (890-915 y 935-960 MHz, respectivamente). Como ya se señaló, dicho equipo cuesta entre 40 y 50 mil dólares, por lo que la disponibilidad de dicho equipo para un simple investigador de seguridad es dudosa;

2) puede tomar equipos menos potentes y más baratos y escuchar algunas de las frecuencias en cada uno de ellos. Esta opción cuesta unos 3,5 mil euros con una solución basada en USRP2;

3) primero puede romper la clave de sesión y luego decodificar el tráfico sobre la marcha y seguir el salto de frecuencia utilizando cuatro teléfonos que tienen un firmware OsmocomBB alternativo en lugar del firmware nativo. Roles telefónicos: el primer teléfono se utiliza para el control de llamadas y respuestas, el segundo teléfono se asigna al suscriptor para la conversación. En este caso, cada teléfono debe escribir tanto recepción como transmisión. Este es un punto muy importante. Hasta ese momento, OsmocomBB en realidad no funcionaba, y en un año (de 26C3 a 27C3) OsmocomBB se completó a un estado utilizable, es decir, hasta finales de 2010 no había una solución práctica de trabajo. Truco de clave de sesión. Estando en la misma celda que la víctima, le envían SMS, graban la comunicación de la víctima con la base, y crackean la clave, aprovechando que durante la configuración de la sesión (session setup) hay un intercambio de muchos paquetes semivacíos o con contenido predecible. Las tablas Rainbow se utilizan para acelerar la piratería. En el momento de 26C3, estas tablas no estaban tan bien llenas y la piratería no se realizaba en minutos o incluso en decenas de minutos (los autores mencionan una hora). Es decir, antes de 27C3, incluso Carsten (el principal investigador en esta área) no tenía una solución que le permitiera descifrar KC en un tiempo aceptable (durante el cual, muy probablemente, no habría cambio de clave de sesión (reinicio)). Luego, los investigadores aprovechan el hecho de que el cambio de clave rara vez se realiza después de cada llamada o SMS, y la clave de sesión que aprenden no cambiará por un tiempo. Ahora, conociendo la clave, pueden decodificar el tráfico cifrado hacia/desde la víctima en tiempo real y realizar saltos de frecuencia al mismo tiempo que la víctima. En este caso, cuatro teléfonos flasheados son realmente suficientes para capturar el aire, ya que no es necesario escribir todas las frecuencias y todos los intervalos de tiempo. Los investigadores han demostrado esta tecnología en acción. Es cierto que la "víctima" se quedó quieta y fue atendida por una centésima. Resumiendo el resultado intermedio, podemos responder afirmativamente a la pregunta sobre la posibilidad de interceptar y descifrar conversaciones GSM sobre la marcha. Al hacerlo, debe tener en cuenta lo siguiente:

1) La tecnología descrita anteriormente no existe en una forma disponible para nadie (incluidos los script kiddies). Ni siquiera es un constructor, sino un espacio en blanco para las partes del constructor que deben completarse hasta un estado utilizable. Los investigadores notan repetidamente que no tienen planes claros para exponer los detalles de la implementación en el dominio público. Esto significa que, en base a estos desarrollos, los fabricantes de Medio Oriente no están produciendo en masa dispositivos de $100 que todos puedan escuchar.

2) OsmocomBB admite solo una familia de chips (aunque es la más común).

3) El método de determinación de la ubicación mediante solicitudes al HLR y la enumeración de los LAC funciona en teoría más que en la práctica. En la práctica, el atacante sabe dónde está físicamente la víctima o no puede entrar en la misma celda que la víctima. Si el atacante no puede escuchar la misma celda donde se encuentra la víctima, entonces el método no funciona. A diferencia de la demostración, en realidad hay miles de mensajes de paginación en un LA promedio de carga. Además, la paginación no funciona en el momento del envío, sino en determinadas ventanas de tiempo y por lotes (según grupos de paginación con sus propias colas, cuyo número es el resto de dividir IMSI por la cantidad de canales, que pueden ser diferentes en cada celda), lo que de nuevo complica la implementación.

4) Digamos que se encuentra LA. Ahora necesitamos “sentir” la respuesta del suscriptor. El transmisor del teléfono tiene una potencia de 1-2 vatios. En consecuencia, escanearlo desde una distancia de varias decenas de metros también es una tarea (no fácil). Resulta una paradoja: LA cubre, por ejemplo, toda una región (ciudad). En él, por ejemplo, 50 celdas, algunas de las cuales tienen un alcance de hasta 30 km. Estamos tratando de captar y descifrar la radiación en una antena omnidireccional. Para llevar a cabo esta tarea en esta realización, se requiere una gran cantidad de equipo. Si partimos de la premisa bajo la cual la víctima está en línea directa de visión, i.e. la distancia a la que la intercepción parece más realista, un micrófono direccional mucho más eficaz y sencillo. Cabe señalar que en la demostración, los investigadores interceptan sus teléfonos a una distancia de 2 metros.

5) El movimiento de la presa entre celdas también causa problemas, porque también necesitas moverte con él.

8) Escuchar toda la red no funcionará, necesita saber el número de teléfono.

No hace mucho, estudié las posibilidades de HackRF para analizar el tráfico de las redes GSM, la señal del reloj del dispositivo flota un poco, pero en cualquier caso, el resultado será el acceso a varios mensajes del sistema. Además, asumo que tiene Linux instalado con gnuradio, y también es el orgulloso propietario de hackrf. Si no, puede usar un CD en vivo, que se encuentra en la sección de Software del foro. Esta es una gran opción cuando hackrf funciona de inmediato.

Primero necesitamos determinar la frecuencia de la estación GSM local. Para esto usé gprx, que viene incluido con el live cd. Después de analizar frecuencias alrededor de 900 MHz, verá algo como esto:

Puedes ver canales fijos en 952 MHz y 944,2 MHz. En el futuro, estas frecuencias serán los puntos de partida.

Ahora, con la ayuda de los siguientes comandos, debemos instalar Airprobe.

git clone git://git.gnumonks.org/airprobe.git

cd airprobe/gsmdecode
./oreja
./configurar
hacer

cd airprobe/receptor gsm
./oreja
./configurar
hacer

Instalación completa. Ahora podemos recibir la señal GSM. Ejecute wireshark con el comando

Seleccione “lo” como dispositivo receptor y seleccione gsmtap como filtro, como se muestra en la siguiente figura:

Ahora vuelve a la terminal y escribe

cd airprobe/gsm-receiver/src/python
./gsm_receive_rtl.py -s 2e6

Se abrirá una ventana emergente y deberá desactivar la recopilación automática y configurar el control deslizante al máximo. A continuación, ingresamos las frecuencias GSM obtenidas anteriormente como frecuencia media.

También seleccionamos los valores pico y promedio en la sección de opciones de seguimiento, como se muestra a continuación:

Verá que solo la señal de secuencia correcta (gráfico azul) supera el valor máximo (gráfico verde) en algunos lugares, lo que indica que se trata de un canal permanente. Ahora tenemos que empezar a decodificar. En la ventana, haga clic en el medio de este mismo salto de frecuencia. Es posible que vea errores, pero esto es normal. Empecé a obtener datos de esta manera:

Ahora puede notar que los datos gsm están llegando a wireshark. Como mencioné al comienzo del artículo, la señal del reloj flota, por lo que debe seguir haciendo clic en el circuito para mantener la frecuencia establecida. Sin embargo, el programa funciona bastante bien. Por divertido que parezca, envolver su hack rf en una toalla (o algo similar) aumentará la estabilidad térmica de la señal del reloj y reducirá la propagación. Por sí solo, probablemente no encuentre este método muy útil, pero creo que al menos muestra el enorme potencial de HackRF.

interceptación GSM
*GSM 900* Intercepción
El producto *GM* está diseñado para recibir y procesar señales
estándar GSM-900, 1800 tanto en ausencia como en presencia de criptoprotección
(algoritmos A5.1 y A5.2).
"GM" permite:
- control de control directo o canal de voz (radiación
base)
- monitorear el control inverso o canal de voz (radiación
tubos)
- escanear todos los canales en busca de los activos en una ubicación determinada
- escanear canales de forma selectiva y establecer su tiempo de reescaneo
- organizar la escucha de extremo a extremo
- organizar la escucha selectiva por TMSI, IMSI, IMEI,
Número AON, Ki.
- grabar automáticamente la conversación en el disco duro
- controlar la conversación sin grabar
- buscar un suscriptor activo (para canales abiertos)
- fijar el número marcado por el suscriptor celular
- fijar el número de teléfono de la persona que llama en el dispositivo celular (si
sistema de identificación de llamadas habilitado)
- mostrar todos los registros en el canal
El producto contiene dos canales de recepción: adelante y atrás.
En ausencia de criptoprotección, *GM* puede operar en dos modos:
- buscar un suscriptor móvil activo.
En presencia de criptoprotección solo en el modo
- control del canal de control de la estación (adelante y atrás);
Al monitorear el canal de control de una estación, *GM* determina lo siguiente
parámetros para cada conexión:
- IMSI o TMSI (dependiendo del modo de funcionamiento del controlado)
mi red, estas señales son transmitidas por la estación base);
- IMEI (cuando lo solicite la estación base y cuando la energía

Disponibilidad del abonado móvil, ya que la radiación es fija
tubos);
- número marcado (al conectarse iniciado por el móvil)
del abonado y con su disponibilidad energética, ya que en este caso el
radiación de tubo);
- Número ANI (cuando es transmitido por la estación base).
En el modo de búsqueda activa de suscriptores, se monitorea cualquier próxima llamada.
compuesto. En este modo, *GM* escanea constantemente todo el rango y
cuando se detecta un suscriptor activo, cambia al modo de control (por supuesto
si el suscriptor está hablando actualmente, porque el dispositivo enciende el transmisor
sólo durante la duración de la llamada). Si es necesario (si esta conversación no es
interesado) el operador puede restablecer el modo de control y "GM" volverá a ir a
en modo de escaneo hasta que encuentre otra parte activa. Modo
Se recomienda buscar un suscriptor activo al realizar el mantenimiento. A
¡*GM* no detecta identificadores de suscriptor en este modo de operación!
Al monitorear el canal de control de la estación base, hay dos opciones posibles
obras:
- en modo pasante
- en el modo de selección de características
En el modo de extremo a extremo, la primera conversación disponible en
celda monitoreada, y se muestran todos los registros. si se da
la conversación no es interesante, entonces el control se puede detener presionando el botón
Romper.
En el modo de selección, sólo las conexiones con un determinado
Número TMSI, IMSI, IMEI, ANI o número marcado. Lista de selección
incluye hasta 200 identificadores. En caso de control de canal cerrado
La selección del modo criptográfico se realiza de acuerdo con el Ki conocido, lo que permite
identificar de forma única al suscriptor sin especificar TMSI, IMSI o IMEI.
La lista de selección incluye hasta 40 suscriptores.
*GM* se fabrica en forma de monobloque de 450x250x50 mm. Control
el trabajo *GM* se realiza desde un PC externo (es posible conectar
portátil) a través del puerto serie RS-232.
El paquete incluye un dispositivo con software,
permitiendo leer el parámetro Ki de la tarjeta SIM, la lectura se realiza en
dentro de 10 horas.
*GM* alimentado por red corriente alterna 220V. asi que
Voltaje de CC de 12 V, por ejemplo, de la red de a bordo del automóvil.
Bajo pedido, es posible fabricar canales en el rango de 1800 MHz y 450 MHz.

Abreviatura y designaciones
TMSI - identificador temporal (número) del suscriptor móvil
IMSI - Identidad de suscriptor móvil internacional
IMEI - Número de identificación de equipo internacional
móvil
estaciones
Ki: clave de autenticación individual del suscriptor
1. El complejo está diseñado para recibir señales del sistema TTT.
2. El complejo tiene dos canales de recepción y procesamiento: uno en la parte superior y otro en la parte inferior del rango.
3. El complejo proporciona sintonización a cualquiera de los 124 canales de control posibles.

4. Durante el funcionamiento del complejo, son posibles dos modos:
- sin selección;
- con selección.
La tabla de selección puede incluir hasta 40 identificadores.
El identificador consta de IMSI e IMEI (es posible especificar solo IMSI o solo IMEI).
El complejo realiza la selección por IMSI, IMEI y TMSI. Selección por TMSI después de encender el complejo.
proporcionado solo después de recibir un comando con un IMEI o IMSI determinado.
¡Atención! IMEI - número de identificación del teléfono (determinado por su fabricante). IMSI -
número de identificación internacional del suscriptor (registrado en la tarjeta SIM). En general, no hay directo
correspondencia con el número de ciudad del suscriptor. La tabla de correspondencia la establece el operador (la empresa que emite
tubos).
5. Se proporciona la identificación del número saliente.
6. Se está resolviendo el modo de traspaso.
7. No se proporciona procesamiento de acuerdo con los algoritmos A5.
8. El complejo está controlado por un programa de Windows a través de un puerto serie.
9. El registro se puede realizar tanto en una grabadora como en un sound blaster.
10. Cuando se enciende la alimentación, el complejo cambia al modo de búsqueda activa de suscriptores. Tras su descubrimiento
el complejo entra en modo de recepción. Se proporciona el restablecimiento del suscriptor. En este modo, el control
no requiere computadora. En este modo, no se determinan los ID de suscriptor.
Después de iniciar el programa de control, el complejo cambia al modo de control del canal especificado
gestión (se garantiza el cumplimiento de los puntos 3 ... 5).

BREVE DESCRIPCIÓN DEL SISTEMA.
El uso generalizado del sistema comenzó en 1993 con el establecimiento de MTS y
obtener permiso para usar el rango 890 - 915 MHz y 935 - 960 MHz sin 10 MHz,
destinados al funcionamiento del radar.
Según la prensa abierta, actualmente hay entre 180.000 y 220.000
usuarios Según indicadores económicos, el sistema es bastante caro y sus usuarios, como
por regla general, existe un estrato de la sociedad perteneciente a la llamada clase media (al menos).
Este hecho creó los requisitos previos y la necesidad de desarrollar medios de control sobre la información,
sistema que circula en la red.
Este estándar se ha generalizado en áreas con alta densidad de población.
El sistema está actualmente desplegado y en operación en las siguientes ciudades:
- MOSCÚ;
- SAN PETERSBURGO;
- SÁMARA;
- TOLIATI;
- ROSTOV DEL DON;
- KALUGA;
- SEVERODVINSK;
- MURMANSK;
- SMOLENSK;
- TULA;
- PSKOV;
- RIAZÁN;
- VLADIMIR;
- ARKHANGELSK;
- PETROZAVODSK.
- Kyiv
- DNEPROPETROVSK
- DONETSK
- ODESA
La introducción del sistema en algunas otras ciudades, como Yaroslavl, también está finalizando.
El estándar proporciona roaming automático con aproximadamente 58 países del mundo.

Las ventajas del sistema incluyen un método digital de transmisión de datos, un gran número de
suscriptores atendidos simultáneamente, la dificultad de crear gemelos (clonación de una tarjeta SIM), conveniencia
operación de suscriptor, la capacidad de identificar dispositivos robados al usar tarjetas SIM legales y
etc.
Los factores anteriores han determinado la factibilidad de crear controles.
ALGORITMOS BÁSICOS DE FUNCIONAMIENTO COMPLEJO.
Los algoritmos de procesamiento de tráfico de radio brindan el acceso más completo y de alta calidad a
información que circula en la red, y también le permiten aumentar las capacidades del complejo cuando
nuevos estándares sin cambiar los básicos software agregando adicional
módulos. Estos incluyen, por ejemplo, la introducción planificada de un codificador de voz mejorado,
transmisión de datos y fax. Durante la operación de prueba del complejo, es posible refinar
Modos para tareas específicas del usuario.
El complejo se utiliza en versiones estacionarias y móviles.
MODOS DE TRABAJO.
(set de entrega básico)
El modo de exploración le permite determinar las frecuencias visibles de las estaciones base en el punto de parada, así como
configuración de red básica. En el curso del trabajo, se proporciona la elección del tiempo para analizar una frecuencia específica y
se analiza el modo de funcionamiento de los canales de control. Este modo proporciona una óptima
recibir la configuración de la ruta. La configuración seleccionada se puede cargar o guardar sobre la marcha.
El modo de exploración manual n.º 1 proporciona detección automática de canales cargados
frecuencias visibles con una indicación de la presencia de actividad. Permite al operador seleccionar qué activo
ranuras de voz. Si hay un suscriptor en la zona de visibilidad de radio, proporciona recepción dúplex.
El modo de exploración manual n.º 2 ofrece sintonización automática de frecuencias visibles con
deténgase en las ranuras de frecuencia activas y forme hasta cuatro dúplex en modo de extremo a extremo
máquina. Cuando el canal activo está deshabilitado, la exploración automática continúa. Posible continuar
escaneo por comandos del operador. Este modo le permite arreglar las negociaciones en la máquina
en ausencia o presencia de un operador del máximo número posible de canales. Utilizado principalmente para
baja actividad de tráfico, por ejemplo, cuando no hay operador por la noche o cuando hay pocos
frecuencias visibles. Proporciona recepción dúplex en presencia de este último en la zona de visibilidad de radio.
El modo de operación por números temporales permite en canales de control seleccionados (no más de seis)
proporcionar sintonización automática a números temporales de suscriptores con estadísticas, y al elegir
un suscriptor de interés según la información recibida o al volver a registrarse en la red al trabajar en
versión móvil, ingréselo en la base de datos y monitoree constantemente con monitoreo continuo.
La probabilidad de control constante depende del número de frecuencias de cruce (en 10-12, la probabilidad
es del 80%), así como sobre la velocidad de circulación (hasta 80 km/h según el estándar de la señal utilizada).
Juego de entrega adicional.
El modo de determinación de energía n.º 1 proporciona la determinación de energía disponible
determinando las frecuencias activas y emitiendo el resultado al operador, a las órdenes de este último,
ajuste del canal para recepción con recepción simultánea de dúplex. Número de canales de recepción - hasta cuatro
dúplex.
El modo de determinación de energía n.º 2 proporciona la determinación de energía disponible
abonados dentro de la gama de dispositivos portátiles. Le permite proporcionar un rango de escaneo automático con
determinación de frecuencias activas y sintonización automática a slots activos con fijación de negociaciones. Por
Cuando finaliza la sesión, continúa el autocontrol.
Con la versión ampliada se suministra un módulo que permite determinar e identificar, cuando
la presencia de un dispositivo portátil en la zona de visibilidad de radio, el número de un abonado fijo o móvil cuando
llamada en la dirección de la estación base, así como al pasar números IMEI hacer identificación
abonado.
Regiones de Rusia donde los suscriptores de MTS pueden utilizar los servicios de comunicación:
(datos al 6 de abril)
1. SMT
Moscú, región de Moscú, Tver, región de Tver, Syktyvkar, Ukhta, Kostroma, República de Komi.
2. Compañía telefónica rusa (RTK): conectado al conmutador MTS

Vladimir, región de Vladimir, Kaluga, región de Kaluga, Pskov, Ryazan, región de Ryazan, Smolensk,
región de Smolensk, Tula, región de Tula
3. Recomendar
Águila, Lípetsk.
4. Telecomunicaciones Tambov
Tambov, Michurinsk.
5. Itinerancia nacional
Ciudad, operador Área de servicio
1. San Petersburgo
Noroeste GSM
(250 02)
Arcángel,
Vólogda,
región de Leningrado.,
Murmansk,
Nóvgorod el Grande,
petrozavodsk,
Severodvinsk,
Cherepovéts
2. Sámara
PICARDÍA
(250 07)
Astracán,
Toliatti,
Ufá
3. Rostov del Don
Dontelecom
(250 10)
azov,
Taganrog
4. Krasnodar
Kuban GSM
(250 13)
Adler, Anapa,
Gelendzhik,
tecla de acceso rápido,
Dagomys, Yeysk,
Lázarevskaya, Matsesta,
Krásnaya Poliana,
Dinskaya, Novorossiysk,
Tuapsé, Sochi,
Timashevsk, Temryuk,
Krymsk, Khosta
5. Ekaterimburgo
Uraltel
(250 39)
6. Nizhni Nóvgorod
NSS
(250 03)
(!!! Para la comunicación saliente, necesita
acceso internacional)
7. Stavropol
Convertirse en TeleSot
(250 44)
Essentuki,
Nevinomissk,
Kislovodsk,
Piatigorsk,
Agua mineral
8. Novosibirsk
CCC 900
(250 05)
9. Omsk
Sistemas de comunicación móvil
(250 05)
10. Surgut
RMS de Ermak
(250 17)
Langepas,
Nizhnevartovsk,
megion,
Khanty-Mansiysk,
Neftyugansk
11. Jabárovsk
celular del lejano oriente
sistemas-900
10
(250 12)
12. Kaliningrado
EXCEL
(250 28)
Roaming Internacional
Operadores de países
1. Austria 1. MobilKom
2. máximo móvil. Servicio de telecomunicaciones
3. CONECTAR
2. Australia 4. Telstra
3. Azerbaiyán (CEI) 5. Azercell
4. Andorra 6. ESTA
5. Baréin 7. Batelco
6. Bélgica 8. Belgacom Mobile
9 Mobistar S.A.
7. Costa de Marfil 10. SIM
8. Bulgaria 11. MobilTel AD
9. Reino Unido 12. Vodafone Ltd.
13. Red celular
14. Naranja GSM-1800
10. Hungría 15. Westel 900 GSM Móvil
16. Pannon GSM
11. Alemania 17. DeTeMobile (D-1)
18. Mannesmann Mobilfunk (D-2)
12. Grecia 19. Panafon S.A.
20. STET Hellas
13. Georgia (CEI) 21. Geocelda
22 Magticom Ltd
14. Hong Kong 23. CSL de telecomunicaciones de Hong Kong
24. Compañía telefónica de Hutchison.
25. Comunicaciones móviles SmartTone
15. Gibraltar 26. Gibtel
16. Dinamarca 27. Sonofon
28 TeleDanmark Móvil A/S
17. o. Jersey 29. Telecomunicaciones de Jersey
18. Italia 30. TIM
31. Omnitel Pronto Italia S.p.A.
19. Islandia 32. Lands siminn
33.TAL
20. España 34. Airtel Móvil, S.A.
35. Telefónica Móviles
21. Indonesia 36. Satélite
37. PT Excelcomindo Pratama
38. Telkomsel
22. Irlanda 39. Aircell
40. Esat Digifone
23. Chipre 41. CYTA
24. China 42. Telecomunicaciones de China
25. Letonia 43. LMT
44. Baltcom GSM
26. Lituania 45. Mordedura GSM
46. Omnitel
27. Líbano 47. LibanCell
48. FTML S.A.L.
28. Luxemburgo 49. P&T Luxemburgo
50. Tango
29. o. Maine 51. Manx Telecom Ltd.
30. Macao 52. Marca comunitaria
31. Macedonia 53. GSM MobiMak
11
32. Mauricio 54. Cellplus
33. Malasia 55. Celcom
34. Malta 56. Telecell Limited
57 Vodafone Malta
35. Moldavia 58. Voxtel
36. Noruega 59. Telenor Mobil AS
60. NetCom GSM como
37. Nueva Zelanda 61. BellSouth Nueva Zelanda
38. Países Bajos 62. Libertel B.V.
63. Telecomunicaciones KPN
64. Telfort
39. EAU 65. Etisalat
40. Portugal 66. Telecel
67.TMN
41. Polonia 68. Polska Telefonia Cyfrowa (ERA)
69. Polkomtel S.A.
70. Centertel GSM-1800
42. Rumania 71. MobilFon SA
72. Móvil Rom
43. EE. UU. 73. Omnipunto
44. Singapur 74. SingTel Mobile (GSM 900/1800)
75.Móvil uno
45. Eslovaquia 76. Globtel
77. EuroTel Bratislava
46. Eslovenia 78. Mobitel
47. Tailandia 79. Servicio de información avanzada (AIS)
48. Taiwán 80. Chunghwa Telecom LDM
81 GSM PCC
82. Tono Lejano Oriente
83Mobitai Communications Corp.
49. Turquía 84. Telsim
85. Turkcell
50. Uzbekistán 86. Coscom
51. Ucrania 87. UMC
88. Estrella de Kiev
89.URS
52. Finlandia 90. Oy Radiolinja Ab
91. Soneras
53. Francia 92. SFR
93 Francia Telecom
54. Croacia 94. HPT
55. República Checa 95. EuroTel Praha
96. Radio Móvil
56. Suecia 97. Europolitan AB
98 Comviq GSM AB
99 Telia móvil AB
57. Suiza 100. Swiss Telecom PTT
58. Sri Lanka 101. MTN
59. Estonia 102. EMT
103. Radiolinja Eesti
104. Como Ritabell
60. Yugoslavia 105. Mobtel *Srbija* BK-PTT
106. ProMonte (Montenegro)
61. Sudáfrica 107. MTN
108. Vodacom (Pty) Ltd

¡Se puede pedir!
Saca tus propias conclusiones.

Consejos informáticos para usuarios novatos