Lokalisation durch Unique-IDs
Die Ortung über eindeutig zuweisbare Kennungen wie IMSI, IMEI/MEID sowie WLAN- und Bluetooth-IDs ist ein lokaler Angriffsvektor, der ohne Infrastruktur des Providers auskommt. Mit geeigneter Funk- und Auswertehardware kann ein Angreifer ein Gerät in der Nähe identifizieren und unter Umständen auch dessen Position eingrenzen.
Im Unterschied zu zellulären Ortungsverfahren wird hier nicht primär die aktuelle Cell-ID ausgewertet, sondern direkt das Endgerät bzw. seine eindeutige Kennung angesprochen. Damit sind auch Geräte betroffen, die nur eingeschränkt aktiv sind oder sich in speziellen Betriebsmodi befinden.
MITRE ATT&CK
T1430 – Location Tracking (T1430)
Matrix: Mobile
Taktik: Collection; Discovery (TA0035; TA0032)
Technik: Location Tracking
Auf MITRE ATT&CK ansehenDetails:
Der Elaman 3GN[1] kann durch einen „Blind Call“ ein Smartphone orten, auch wenn es in einem „3G only“-Modus betrieben wird. Die eindeutige Identifizierung ist außerdem über die aktivierte WLAN-Schnittstelle (MAC-Adresse) oder die Bluetooth-Schnittstelle (BD ADDR) möglich. Auch über mehrere hundert Meter Entfernung können diese Signale empfangen werden, wenn der Angreifer über die nötige Hard- und Software verfügt. Professionelle IMSI-Catcher verfügen ebenfalls häufig über Zusatzfunktionen zur Ortung.
IMEI und MEID sind vom Hersteller festgelegt und werden nach dem Einschalten an den Provider übertragen. Laut ETSI-Spezifikation kann diese Nummer im EIR (Equipment Identity Register) gespeichert werden. Dort sind Sperrlisten, Weiß- und Graulisten möglich; bei einem Diebstahl kann das Gerät so über mehrere Netze hinweg blockiert werden, sofern die Sperre auch international gepflegt wird.
Zusätzlich kann die Identität in vielen Fällen über die IMSI der SIM-Karte festgestellt werden. Die Relevanz des Vektors liegt damit nicht nur in der Ortung, sondern auch in der eindeutigen Geräte- und Nutzerzuordnung über mehrere Funkkennungen hinweg.
2003 wurde die Spezifikation geändert (IMEISV) und erhielt eine weitere Stelle. SV ist 2 digits groß und dient als Prüfziffer (Luhn check). Wenn Null eingetragen ist, wurde auf die Prüfziffer verzichtet. FAC mit dem Wert 40 bedeutet China, 50 steht für Brazil, USA, Finland und 20 für Germany.
Quellen/Links:
[1] Siehe Wiki "Spy-Files": „Elaman Newsletter“, Ausgabe 01/2011, Seite 21
[2] IMEI Database: http://imeidb.gsm.org/imei/login.jsp
[3] ETSI TS 100 508 v6.2.0 und TSGS3_06_9910
http://www.numberingplans.com/index.php?page=databases
Erkennung:
Am Smartphone selbst ist der Angriff für Nutzer meist nur indirekt erkennbar: Auffällig werden eher wiederkehrende, unplausible Netzabfragen, ungewöhnliche Funkaktivität oder ein Verhalten, das nicht zu den normalen Nutzungsparametern passt. Wenn eine eindeutige ID wiederholt abgefragt oder beobachtet wird, kann das auf eine Identifikation oder Ortung hindeuten.
Auf Betreiber- oder Analystenseite lassen sich solche Vorgänge eher über Protokoll- und Logauswertungen erkennen, etwa durch auffällige Abfrageintervalle, wiederholte Verbindungsversuche oder die Korrelation von Funkdaten mit Ortungsereignissen. Eine belastbare Erkennung am Endgerät allein ist in der Regel schwierig.
Gegenmaßnahmen:
Am Smartphone selbst sind nur begrenzte Gegenmaßnahmen möglich. Sinnvoll ist es, nicht genutzte Funkinterfaces wie Bluetooth und WLAN zu deaktivieren, 2G/3G nur dann zu verwenden, wenn es zwingend nötig ist, und standortbezogene Rechte sowie Hintergrundzugriffe restriktiv zu vergeben. Wo verfügbar, helfen auch MAC-Randomisierung und konsequente Update-Pflege.
Wer die Maßnahme umsetzen kann, hängt vom Kontext ab: Nutzer können ihre Schnittstellen und Berechtigungen direkt am Gerät reduzieren; Organisationen können Geräte über Richtlinien härter konfigurieren; Betreiber können durch Netzmaßnahmen, EIR-/CEIR-Einträge und konsequente Sperrprozesse die Missbrauchsmöglichkeiten weiter senken. Gegen einen gezielten Funkangriff bleibt jedoch meist nur die Verringerung der Angriffsfläche und die Vermeidung unnötig aktiver eindeutiger Kennungen.
