Исследование: Перехват трафика мобильного Интернета через GTP и GRX

    image

    Большинство абонентов считают, что работа через сотовую сеть достаточно безопасна, ведь крупный оператор связи наверняка позаботился о защите. Увы, на практике в мобильном Интернете есть множество лазеек, дающих широкие возможности для злоумышленников.

    Исследователи Positive Technologies обнаружили уязвимости в инфраструктуре сетей мобильной связи, которые позволяют перехватывать GPRS-трафик в открытом виде, подменять данные, блокировать доступ к Интернету, определять местоположение абонента. Под угрозой оказываются не только мобильные телефоны, но и специализированные устройства, подключенные к 2G/3G/4G-сетям с помощью модемов: банкоматы и терминалы оплаты, системы удаленного управления транспортом и промышленным оборудованием, средства телеметрии и мониторинга и т.д.

    Операторы сотовой связи, как правило, шифруют трафик GPRS между мобильным терминалом (смартфоном, модемом) и узлом обслуживания абонентов (SGSN) алгоритмами GEA-1/2/3, что осложняет перехват и расшифровку информации. Чтобы обойти это ограничение, злоумышленник может проникнуть в опорную сеть оператора, где данные не защищены механизмами аутентификации. Ахиллесовой пятой являются узлы маршрутизации (или шлюзовые узлы), которые называются GGSN. Их легко обнаружить, в частности, с помощью поисковика Shodan. У проблемных узлов открыты GTP-порты, что позволяет атакующему установить соединение, а затем инкапсулировать в созданный туннель управляющие пакеты GTP. При правильном подборе параметров GGSN воспримет их как пакеты от легитимных устройств сети оператора.

    Протокол GTP, описанный выше, никаким образом не должен быть «виден» со стороны Интернета. Но на практике это не так: в Интернете имеется более 207 тысяч устройств по всему земному шару с открытыми GTP-портами. Более полутысячи из них являются компонентами сотовой сети и отвечают на запрос об установлении соединения.

    image

    Еще одна возможность для атак связана с тем, что GTP — далеко не единственный протокол управления на найденных узлах. Также встречаются Telnet, FTP, SSH, Web и др. Используя уязвимости в этих интерфейсах (например, стандартные пароли), нарушитель может подключиться к узлу оператора мобильной связи.

    Экспериментальный поиск по сайту Shodan выдает несколько уязвимых устройств, в том числе с открытым Telnet и отключенным паролем. Достаточно подключиться к данному устройству и произвести в нем необходимые настройки для того, чтобы оказаться внутри сети оператора в Центральноафриканской Республике.

    image
    При этом всякий, кто получил доступ к шлюзовому узлу любого оператора, автоматически получает доступ к сети GRX, которая объединяет всех сотовых операторов и используется для предоставления доступа к Интернету абонентам в роуминге. Воспользовавшись единичной ошибкой в конфигурации на одном устройстве, злоумышленник получает возможность проводить различные атаки на абонентов любого оператора в мире.

    Среди множества вариантов использования скомпрометированного пограничного узла следует отметить следующие: отключение абонентов от Интернета или блокировка их доступа к нему; подключение к Интернету под видом другого абонента и за чужой счёт; перехват трафика жертвы и фишинг. Злоумышленник также может определить идентификатор абонента (IMSI) и следить за местоположением абонента по всему миру, пока он не сменит SIM-карту.

    Опишем некоторые угрозы более подробно.

    Интернет за чужой счет


    Цель: исчерпание счета абонента, использование подключения в противозаконных целях.

    Вектор атаки: злоумышленник действует через сеть GRX или из сети оператора.

    Атака заключается в отправке пакетов «Create PDP context request» с IMSI известного заранее абонента, таким образом происходит подключение к сети с его учетными данным. Ничего не подозревающий абонент получит огромные счета.

    Возможно подключение с IMSI несуществующего абонента, так как авторизация абонента происходит на этапе подключения к SGSN, а к GGSN доходят уже «проверенные» соединения. Поскольку SGSN в данном случае скомпрометирован, никакой проверки не проводилось.



    Результат: подключение к сети Интернет под видом легитимного абонента.

    Перехват данных


    Цель: подслушивание трафика жертвы, фишинг.

    Вектор атаки: злоумышленник действует через сеть GRX или из сети оператора.

    Злоумышленник может перехватить данные, передающиеся между абонентским устройством и сетью Интернет, путем отправки на обслуживающий SGSN и GGSN сообщения «Update PDP Context Request» с подмененными адресами GSN. Данная атака представляет собой аналог атаки ARP Spoofing на уровне протокола GTP.



    Результат: подслушивание или подмена трафика жертвы, раскрытие конфиденциальной информации.

    DNS-туннелирование


    Цель: получить нетарифицируемый доступ к Интернету со стороны мобильной станции абонента.

    Вектор атаки: злоумышленник — абонент сотовой сети, действует через мобильный телефон.

    Давно известная атака, уходящая корнями во времена dial-up, потерявшая смысл при появлении дешевого и быстрого выделенного Интернета. Однако в мобильных сетях находит применение, например, в роуминге, когда цены за мобильный Интернет неоправданно высоки, а скорость передачи данных не так важна (например, для проверки почты).

    Суть атаки в том, что некоторые операторы не тарифицируют DNS-трафик, обычно для того, чтобы переадресовать абонента на страницу оператора для пополнения счета. Этим можно воспользоваться — путем отправления специализированных запросов на DNS-сервер; также для этого необходим специализированный узел в интернете, через который будет осуществляться доступ.



    Результат: получение нетарифицируемого доступа к сети Интернет за счет оператора сотовой связи.

    Подмена DNS на GGSN


    Цель: подслушивание трафика жертвы, фишинг.

    Вектор атаки: злоумышленник действует через Интернет.

    В случае получения доступа к GGSN (что, как мы уже заметили, вполне возможно) можно подменить адрес DNS на свой, перенаправить весь абонентский трафик через свой узел и таким образом осуществить «подслушивание» всего мобильного трафика.



    Результат: подслушивание или подмена трафика всех абонентов, сбор конфиденциальных данных, фишинг


    Как защититься



    Некоторые подобные атаки были бы невозможны при правильной настройке оборудования. Но результаты исследования Positive Technologies говорят о том, что некорректная настройка — отнюдь не редкость в мире телекоммуникационных компаний. Зачастую и производители устройств оставляют включенными некоторые сервисы, которые должны быть отключены на данном оборудовании, что дает нарушителям дополнительные возможности. В связи с большим количество узлов подобный контроль рекомендуется автоматизировать с использованием специализированных средств, таких как MaxPatrol.

    image


    В целом, необходимые для защиты от таких атак меры безопасности включают правильную настройку оборудования, использование межсетевых экранов на границах сети GRX и Интернета, использование рекомендаций 3GPP TS 33.210 для настройки безопасности внутри сети PS-Core, мониторинг защищенности периметра, а также выработку безопасных стандартов конфигурации оборудования и периодический контроль соответствия этим стандартам.

    Ряд специалистов возлагают надежды на новые стандарты связи, которые включают и новые технологии безопасности. Однако, несмотря на появление таких стандартов (3G, 4G), совсем отказаться от сетей старого поколения (2G) не удастся. Причиной этого являются особенности реализации мобильных сетей, в частности то, что у базовых станций 2G лучше покрытие, а также то, что на их инфраструктуре работают и сети 3G. В стандарте LTE все так же используется протокол GTP, а поэтому необходимые меры по защите будут актуальными в обозримом будущем.

    Результаты данного исследования было получены экспертами компании Positive Technologies в 2013 и 2014 годах в ходе консалтинговых работ по анализу защищенности нескольких крупных мобильных операторов. Полный текст отчета «Уязвимости мобильного Интернета (GPRS)» можно скачать на нашем сайте: www.ptsecurity.ru/download/GPRS%20security.pdf

    P.S. 19 февраля в 14.00 один из авторов исследования, Павел Новиков, сможет подробнее рассказать об этих проблемах в ходе бесплатного вебинара. Регистрация на вебинар начнется 12 февраля по адресу: www.ptsecurity.ru/lab/webinars/#40018.
    Positive Technologies 247,32
    Компания
    Поделиться публикацией
    Похожие публикации
    Комментарии 12
      0
      При этом всякий, кто получил доступ к шлюзовому узлу любого оператора, автоматически получает доступ к сети GRX, которая объединяет всех сотовых операторов и используется для предоставления доступа к Интернету абонентам в роуминге. Воспользовавшись единичной ошибкой в конфигурации на одном устройстве, злоумышленник получает возможность проводить различные атаки на абонентов любого оператора в мире.
      Означает ли это, что любой сотовый оператор может «атаковать» любого другого?
        0
        Да, операторские сети объединяются через сеть GRX, которая предназначена для предоставления доступа пользователей в интернет в роуминге.
        Данная сеть является относительно доверенной, поэтому операторы могут производить атаки друг на друга через нее.
          0
          у фразы не хватает продолжения "… что в 100% случаев приведёт к мгновенному разрыву роумингового соглашения и огласке через GSMA."

          Абы кто заключить роуминговое соглашение не может — для этого у атакующего должна быть своя сеть (стоящая нехилых денег) и пара-другая миллионов абонентов «для прикрытия». Городить это всё ради подключения к интернету за счёт другого абонента? Это даже не из пушки по воробьям, это — муху прихлопывать баллистической ракетой.

          Ресурсы такого калибра есть только у государств. Но им подвластно просто обязать оператора поставить чёрный ящик на SGSN и не утруждать себя ловлей тонких мест в протоколах связи.
            0
            Тонкость в том, что государство может поставить «черный ящик» у своего оператора, а слушать — чужих. Действительно ли это будет обнаружено достаточно быстро?
            +1
            Конечно, речь не идет о создании «плохого оператора связи» для атак на мирных операторов:).
            Речь о том, что при компрометации одного единого GGSN-шлюза любого оператора связи, этот шлюз может быть использован злоумышленником для атак на всех остальных операторов через один самых незащищенных интерфейсов взаимодействия — Gp-интерфейс — в сторону GRX. И разумеется, при этом проблемы будут как у атакуемого, так и несчастного «атакующего» оператора, чьей сетью просто воспользовались.
              0
              буду читать перед тем, как писать.
              Меня опередили более толковые товарищи *)
          –2
          Простите, открыт ли у Вас набор в Питерский офис по вакансиям пентеста?
          0
          Что-то не пойму, какое отношение к атаке на GRX имеет пункт про DNS-туннелирование. Исходя из описания, этот прием вообще не требует какого-либо взлома — либо DNS сервер оператора отвечает независимо от статуса абонента, либо нет.

          Или это приведено как вступление к подмене DNS внутри сети оператора? Так там тоже взаимосвязь не очень-то…
            0
            Вы правы. DNS-туннелирование — это не атака на GRX. Это вариант воспользоваться нетарифицируемым DNS трафиком для доступа к дорогому Интернету, например, в роуминге.

            Наше исследование, часть которого здесь цитируется, посвящено уязвимостям мобильного Интернета в целом. Атаки через GRX занимают в этом исследовании существенное место, поэтому они и попали в заголовок данной новости. Но в исследовании есть и другие примеры уязвимостей и атак. DNS-туннелирование – один из таких примеров.

          Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

          Самое читаемое