Seguridad de comunicaciones móviles 3G. David Pérez y José Picó

Transcripción

1 Seguridad de comunicaciones móviles 3G David Pérez y José Picó #CyberCamp15

2 Quienes somos David Pérez José Picó Servicios de seguridad Investigación en seguridad

3 Introducción y un poco de historia

4 Las comunicaciones móviles 2G son totalmente vulnerables >Interceptación >Manipulación >Identificación de usuarios >Geolocalización <1.000 >Denegación de servicio (*) NOTA: solamente teniendo en cuenta los ataques con estación base falsa

5 Las comunicaciones móviles 2G son totalmente vulnerables Ataque con estación base falsa Ubicación de la infraestructura

6 Las comunicaciones móviles 2G son totalmente vulnerables Ataque con estación base falsa Caracterización de la celda

7 Las comunicaciones móviles 2G son totalmente vulnerables Ataque con estación base falsa Atacante comienza a emitir

8 Las comunicaciones móviles 2G son totalmente vulnerables Ataque con estación base falsa La víctima campa en la celda falsa

9 Las comunicaciones móviles 2G son totalmente vulnerables Ataque con estación base falsa El atacante toma control total de las comunicaciones de la víctima

10 Las comunicaciones móviles 2G son totalmente vulnerables En la práctica >Interceptación >Manipulación >Identificación de usuarios >Geolocalización >Denegación de servicio

11 Las comunicaciones móviles 2G son totalmente vulnerables En la práctica >Interceptación >Manipulación >Identificación de usuarios >Geolocalización >Denegación de servicio

12 Las comunicaciones móviles 2G son totalmente vulnerables En la práctica >Interceptación >Manipulación >Identificación de usuarios >Geolocalización >Denegación de servicio

13 Las comunicaciones móviles 2G son totalmente vulnerables En la práctica >Interceptación >Manipulación >Identificación de usuarios >Geolocalización >Denegación de servicio

14 Las comunicaciones móviles 2G son totalmente vulnerables En la práctica >Interceptación >Manipulación >Identificación de usuarios >Geolocalización >Denegación de servicio

15 Las comunicaciones móviles 2G son totalmente vulnerables En la práctica >Interceptación >Manipulación >Identificación de usuarios >Geolocalización >Denegación de servicio

16 Es posible aplicar estas técnicas a 3G? En 3G existe autenticación bidireccional La criptografía de 3G no está rota públicamente sin embargo

17 En 2014 ya pensábamos que una parte de los ataques era posible

18 Base teórica

19 El problema de la configuración y parametrización de la celda falsa Quién vive en el vecindario?

20 Las celdas vecinas

21 Las celdas vecinas en 2G y en 3G 2G: 74 ARFCNs (200KHz) en la banda de 900 sólo para un operador 935,1 935,3 935,5 935,7 935,9 936,1 936,3 936,5 936,7 936,9 937,1 937,3 937,5 937,7 937,9 938,1 938,3 938,5 938,7 938,9 939,1 939,3 939,5 939,7 939,9 940,1 940,3 940,5 940,7 940,9 941,1 941,3 941,5 941,7 941,9 942,1 942,3 942,5 942,7 942,9 943,1 943,3 943,5 943,7 943,9 944,1 944,3 944,5 944,7 944,9 945,1 945,3 945,5 945,7 945,9 946,1 946,3 946,5 946,7 946,9 947,1 947,3 947,5 947,7 947,9 948,1 948,3 948,5 948,7 948,9 949,1 949,3 949,5 949,7 949,9 3G: 3 ARFCNs(*) (5 MHz) en la banda de 2100 para un operador (*) En la práctica no se consideran solapamientos

22 Solución Ideal Un sniffer de 3G, DL y UL, de los mensajes de control (Broadcast y algunos dedicados) Trabajo en progreso

23 Solución alternativa xgoldmon Ref.: xgoldmon (Tobias Engel) extrae algunos mensajes de los canales de control, tanto de broadcast como dedicados, en las comunicaciones entre un móvil y la red 3G

24 Infraestructura estación base 3G Qué hace falta?

25 Lo que nosotros utilizamos USRP B200 Ref.: OpenBTS-UMTS Ref.: USRP B200

26 Lo que nosotros utilizamos

27 IMSI Catching En qué consiste? Por qué es peligroso? Pruebas en 3G

28 IMSI Catching Qué es el IMSI? El IMSI (Internation Mobile Subscriber Number) es el número que identifica a los usuarios de la red móvil MCC MNC MSIN Está asociado a cada persona que lo compra Es el único identificador de usuario (en el nivel de movilidad de la comunicaciones móviles) que es invariable Sólo debe ser conocido por el operador y por el usuario

29 IMSI Catching En qué consiste? Consiste en la captura no autorizada de IMSIs Puede hacerse utilizando diferentes técnicas la que nos ocupa es la utilización de una estación base falsa en este caso, la captura se hace en el entorno del atacante Por qué es peligroso? Determina la presencia de un usuario en la zona Qué se necesita? Una infraestructura de estación base falsa como la descrita anteriormente, sin necesidad de modificaciones software.

30 IMSI Catching

31 Denegación de servicio persistente y selectiva La técnica de LURCC aplicada a 3G (RAURCC)

32 Denegación de servicio de telefonía móvil Diferentes técnicas Ataque Masivo Ataque Selectivo Ataque Persistente Transparente al usuario Inhibidor de frecuencia Agotamiento de canales de radio en la BTS Redirección mediante estación base falsa Técnica LUPRCC

33 Técnica LURCC (RAURCC) Fundamentos teóricos

34 Técnica LURCC (RAURCC) Qué se necesita? Una infraestructura de estación base falsa UMTS como la descrita anteriormente Una modificación del software de la estación base falsa para que pueda implementar el ataque de forma selectiva y configurable

35 RAURCC: Illegal MS

36 Escenario de aplicación

37 Escenario de aplicación

38 Trabajos en curso y a futuro Qué es lo que estamos haciendo ahora y qué querríamos hacer en el futuro

39 Geolocalización

40 Geolocalización Trabajo en curso Portar el sistema ya realizado a 3G modificar la estación base para que mantenga los canales de radio abiertos el mayor tiempo posible obtener datos para triangular similares a los usados en 2G Otros caminos?

41 Downgrade selectivo a 2G Desarrollo de la funcionalidad necesaria dentro de OpenBTS-UMTS para probar las técnicas descritas en RootedCON2014

42 Trabajo futuro: Sniffer y 4G Continuar el trabajo del sniffer 3G Estudiar y probar si estas técnicas son igualmente posibles en redes 4G

43 CONCLUSIONES

44 Conclusiones Efectivamente, los ataques de IMSI Catching, denegación de servicio son posibles en la práctica Estamos trabajando para: portar la funcionalidad de geolocalización de 2G a 3G Implementar el downgrade selectivo 3G 2G Probar toda la funcionalidad en 4G

45 Muchas gracias!

46 Seguridad de comunicaciones móviles 3G David Pérez y José Picó #CyberCamp15