Mobile Abhöranlagen

Aktive Komponenten

IMSI-Catcher

• auch als Virtuelle Basisstationen oder fake Base Station bekannt
• in der Basisversion, werden nur abgehende Rufe abgefangen

MITM-Impersonation

• durch „Dynamic SIM-Cloning“ (siehe AV-E03, bzw. Adam Kostrewa „Development of a man in the middle attack on the GSM Um-Interface“, Master Thesis, Technische Universität Berlin 2011)

UMTS-, LTE- und SS7-Catcher

Wegen den Sicherheitsproblemen bei SS7 (AV-C06 SS7-Protokolle) und dem Diebstahl von milliarden encryption keys (Shared Secret „Ki“ siehe AV-E03 Cloning SIM-Cards) kann ein Catcher 2.0 auch MITM (Man-in-the-middle) bei 3G und 4G Netze unterstüzten. Weitere Angriffsvektoren gegen LTE finden Sie in den Papers zu AV-F04.

MITM bei Femto-Zellen (UMTS) wie unter AV-A05 beschrieben

(Catcher der neuen Generation: SS7-Catcher, Stingray 2.0)

Semi-Aktiv

Erzwingen einer 2G-Verbindung und einer Verschlüsselung mit A5/1 (GSM).  Anschließend kann das Entschlüsseln des Datenstroms in Echtzeit erfolgen. 

Passive Abhör-Einrichtungen

Entschlüsseln des Datenstroms in Echtzeit ohne auf den Sender oder die Basisstation einzuwirken. Siehe Verschlüsselung A5/x (cs) AV-A06 und Verschlüsselung GEA/x (ps)  AV-A11

Funktionsweise eines IMSI-Catchers:

Das Problem bei GSM (CSD,HSCSD, GPRS und EDGE ist die fehlende Authentifizierung der Basisstation (BTS) gegenüber dem Endgerät. Hierdurch kann mit einer „fingierten Basisstation“, beziehungsweise einem IMSI-Catcher[1, 2] ein „Man In The Middle“-Angriff durchgeführt werden. Es sind aber noch weitere Schwachstellen in diesem Zusammenhang wichtig, wie z.B.: AV-A03 (IMSI /LAI im Klartext) und AV-A07 (Cipher Indicator).

Hierzu muss das System in der Nähe der auszuspionierenden Person platziert werden. Durch Erhöhung der Sendeleistung werden die im Umkreis befindlichen ME dazu gebracht, sich mit dieser Station des Angreifers zu verbinden. Ist die IMSI-Nummer der abzuhörenden Person noch nicht bekannt, muss sie erst aus der Vielzahl der im Umkreis geführten Telefonate identifiziert werden. Professionelle Geräte wie zum Beispiel der GA-901 von „Rohde & Schwarz“ können deshalb mehrere Kanäle gleichzeitig aufnehmen. Hierdurch werden dann auch unbeteiligte Personen abgehört. Es können bei dieser Methode nur abgehende Telefonate belauscht werden. Der ausgehende Ruf wird an eine „echte“ BTS weitergeleitet. Im Falle der Open-Source-Lösung[3] wird eine Breitbandverbindung genutzt, damit eine Verbindung zum angerufenen Teilnehmer aufgebaut werden kann.

Der sogenannte „MITM-Impersonation“ nutzt das „Dynamic SIM-Cloning“ Verfahren, um sich im Up- sowie auch im Down-Link Kanal zwischen den Kommunikationspartnern zu positionieren, was unter AV-E03 (Kapitel 2.3.2. „SIM- und USIM-Smartcard“) genauer beschrieben wird.

Das dieser Angriff auch bei einem gemeinsamen Betrieb von GSM- und UMTS-Netz möglich ist und in bestimmten Fällen sogar ein UMTS MITM, zeigen die wissenschaftlichen Arbeiten von Ulrike Meyer[4] und Susanne Wetzel.