"Location Leaks" im SS7-Protokoll
„Location Leaks“ im SS7-Protokoll beschreibt einen ortsbezogenen Angriff, bei dem Standortinformationen nicht direkt am Smartphone, sondern über Netzdienste und Signalisierung ausgelesen werden. Der Vektor ist damit besonders relevant, wenn ein Angreifer Zugriff auf providernahe Infrastruktur oder entsprechende Signalisierungswege hat.
Im Kern wird dabei nicht das Gerät selbst verändert, sondern die Netzreaktion auf Anrufe, Paging und SS7-Abfragen ausgenutzt. Dadurch kann ein Angreifer die aktuelle Cell-ID oder ähnliche Standortinformationen ermitteln und das Gerät so indirekt lokalisieren.
MITRE ATT&CK
T1430 – Location Tracking (T1430)
Matrix: Mobile
Taktik: Collection; Discovery (TA0035; TA0032)
Technik: Location Tracking
Auf MITRE ATT&CK ansehenDetails:
Um von außen auf diese Informationen zugreifen zu können, ohne das Smartphone manipulieren zu müssen, gibt es mehrere alternative Ansätze. Ein klassischer Weg ist das Abhören des Paging Channel (PCCH), wenn das Zielgerät an einem bestimmten Ort vermutet wird. Auch Messengerdienste wie WhatsApp, Telegram oder Facebook können Paging auf der Basisstation auslösen. Sogar bei LTE kann dieses Verfahren angewendet werden.
Das Signalling System No. 7 kann außerdem direkt zur Ortung benutzt werden. Dazu wird der Request MAP_SEND_ROUTING_INFO_FOR_SM an das Kernnetz des Providers gesendet, das den aktuellen Aufenthaltsort kennen muss. Ein entsprechender Angriff wurde bereits 2008 im Umfeld des 25. CCC beschrieben; spätere Arbeiten zeigen, dass ähnliche Ansätze auch in LTE-Netzen funktionieren.
Quellen/Links:
[1] Denis Foo Kune, John Koelndorfer, Nicholas Hopper, Yongdae Kim
„Location Leaks on the GSM Air Interface“, 2012
PDF öffnen (users.cs.umn.edu)
[2] Practical Attacks Against Privacy and Availability in 4G/LTE Mobile Communication Systems, 2016
[3] Tobias Engel, „Locating Mobile Phones using SS7”, 2008, 25th CCC
Link (events.ccc.de) Youtube Clip: Locating Mobile Phones using SS7 [25c3]
[4] User Location Tracking Attacks for LTE Networks Using the Interworking Functionality, 2016
Erkennung:
Eine Erkennung am Smartphone ist nicht möglich. Der Angriff spielt sich im Netz beziehungsweise bei providerseitigen Signalisierungswegen ab, sodass Nutzer am Gerät selbst in der Regel keine belastbaren Anzeichen sehen.
Erkennbar wird der Vektor eher auf Betreiber- oder Analystenseite, etwa durch ungewöhnliche SS7-Anfragen, auffällige Paging-Muster oder verdächtige Standortabfragen ohne passende Nutzerinteraktion. Dort lassen sich wiederholte Abfragen und die Korrelation von Anruf- oder Messaging-Ereignissen mit Standortbewegungen auswerten.
Gegenmaßnahmen:
Am Smartphone selbst sind nur begrenzte Gegenmaßnahmen möglich. Hilfreich ist es, unnötige Funk- und Messenger-Aktivität zu reduzieren, Standortdienste restriktiv zu verwenden und das Gerät aktuell zu halten. Ein vollständiger Schutz gegen providernahe Standortabfragen lässt sich auf dem Endgerät aber nicht erzwingen.
Wer Gegenmaßnahmen ergreifen kann, sind vor allem Betreiber und Sicherheitsverantwortliche im Netz. Dort helfen strengere SS7-Filtern, Monitoring auf ungewöhnliche Routing- und Paging-Anfragen sowie organisatorische Sperren gegen unberechtigte Standortabfragen. Je weniger freie Signalisierungswege im Kernnetz offen sind, desto geringer ist die Angriffsfläche.
