GSM im Open Source Bereich

Transkript

1 GSM im Open Source Bereich VDE-AK Informationstechnik, München, 17. März 2011 Dipl.-Ing. Dieter Spaar

2 Über den Vortragenden - Seit ca. 16 Jahren selbständig als Softwareentwickler (Schwerpunkt Windows low-level, Mikrocontroller) - Aktiv in den Open Source Projekten OpenBSC und OsmocomBB - Erweiterungen am Open Source Projekt Airprobe

3 Agenda - Die Motivation sich mit GSM zu beschäftigen - Die wichtigsten Open Source GSM Projekte * OpenBTS * OpenBSC * Airprobe * OsmocomBB - Auswirkungen auf die Sicherheit von GSM

4 Motivation - GSM/3G im Vergleich zu TCP/IP kaum untersucht (obwohl es GSM in Deutschland seit 1992 gibt) - Geschlossene GSM Industrie, kaum Hardware verfügbar - Situation hat sich geändert: * Gebrauchte Hardware * OpenBTS * OpenBSC * Airprobe * OsmocomBB - Spezifikation bei der 3GPP oder ETSI verfügbar (umfangreich, ca Dokumente)

5 Vereinfachte Struktur des GSM Netzwerk Diagram derived from Wikipedia ( GNU Free Documentation License applies to this diagram

6 OpenBTS - seit 2007/8 - Hardware basiert auf dem USRP (Universal Software Radio Peripheral) - Luft-Schnittstelle (Um) basiert auf Software Defined Radio - Keine klassische GSM Architektur (BSC, MSC,...) Ansatz: direkt von Um nach SIP - Asterisk wird eingesetzt, SIP (Session Initiation Protocol) und Voice-over-IP

7 USRP Weiterverarbeitung der Daten auf dem PC mit GNU Radio USRP pictures from Ettus Research LLC (

8 OpenBSC - seit Ende Abis Protokoll Implementierung plus BSC/MSC/HLR - Unterstützt die Siemens BS11 microbts * GSM 900, 2 W (kann bis auf 30 mw reduziert werden) * ca. 12 Jahre alt * günstig * schwer (30 bis 40 Kg, abhängig von der Konfiguration) * E1 Schnittstelle für Abis - Unterstützt die ip.access nanobts * verschiedene RF Bänder, 200 mw bei DCS 1800 * klein * GPRS/EDGE * Abis über IP - 26C3: GSM Netzwerk mit fünf nanobts

9 nanobts im Vergleich zur BS11

10 Airprobe - seit 2007/8 - Passives Abhören der GSM Luft-Schnittstelle - Basiert auf dem USRP und GNU Radio - Verwendet WireShark für die Protokoll-Analyse - Debugging Werkzeug für GSM

11 OsmocomBB - Kontrolle über das Mobiltelefon hat gefehlt - Projekt-Start Januar Implementierung der GSM Baseband Software - Zum Projekt Namen: * Osmocom = Open Source MObile COMmunication * BB = Base Band

12 Herangehensweise 1/2 - Ein Ansatz: Irgendetwas aus allgemein verfügbaren Komponenten bauen (DSP, CPU, ADC, FPGA): * Kein Reverse Engineering nötig * Viel Aufwand fürs Hardware Design + Debugging * Nur kleine Stückzahlen, daher teuer - Ein andere Ansatz: Irgendetwas mit Baseband Chipsets bauen * Reverse Engineering oder Zugriff auf geleakte Doku * Weniger Aufwand für Layer 0 * Nach wie vor kleine Stückzahlen, teuer

13 Herangehensweise 2/2 - Alternativer Ansatz: Vorhandene Telefone zweckentfremden * Hardware funktioniert bereits * Keine Prototypen oder Hardware Revisionen * Reverse Engineering ist erforderlich * Aber: Mehr Zeit für die eigentliche Aufgabe: Protokoll Stack - Suche nach geeigneten Telefonen * So billig wie möglich * Verfügbar: Jeder Interessent kann die Hardware kaufen * So alt/einfach wie möglich -> niedrige Komplexität * Baseband Chipset mit viel geleakter Dokumentation

14 Baseband Chips mit geleakter Dokumentation - Texas Instruments Calypso * DBB Dokumentation auf cryptome.org * ABB Dokumentation auf Webseiten chinesischer Telefon Entwickler * Source Code eines GSM Stack war auf sf.net (TSM30) * End of life, keine neuen Telefone seit ca * Kein kryptographisch gesicherter Bootloader - Mediatek MT622x Chipsets * Viel Dokumentation auf chinesischen Webseiten * SDK mit binary-only GSM Stack Libraries auf chinesischen Webseiten * 95 Mio. produziert/verkauft im Q1/2010 => Ausgangsbasis: TI Calypso (GSM Stack Source verfügbar)

15 OsmocomBB Hardware Unterstützung - Baseband Chipsets * TI Calypso/Iota/Rita * Erste Experimente mit dem Mediatek MT622x (MT6235: ARM9 -> Linux + U-Boot) - Telefone * Compal/Motorola C11x, C12x, C13x, C14x und C15x * Haupt-Entwicklungsplatform: C123 und C155 * GSM Modem des Openmoko Neo1973 und Freerunner - Einfache Feature Phones basierend auf einem ARM7TDMI im DBB

16 OsmocomBB Software Architektur - Möglichst wenig Code läuft auf dem Telefon (RAM!) * Debugging auf dem PC ist viel einfacher * Viel mehr Platz auf dem Bildschirm * Hardware Treiber und Layer1 läuft auf dem Telefon * Layer2/3 und das eigentliche Telefon läuft auf dem PC * Layer2/3 kann später auf das Telefon übertragen werden - Schnittstelle zum Layer1/2 kann von anderen Anwendungen verwendet werden - Protokoll Tracing des Layer2/3 mit WireShark und GSMTAP

17 Der GSM Baseband Chipset

18 Das Motorola/Compal C123

19 OsmocomBB Projekt Status - Kontroll- und Sprachkanäle können aufgebaut werden - Kontrolle über den Synthesizer -> GSM-R - Beliebige Nachrichten auf den Kontrollkanälen (u.a. auch SMS) - TCH (Traffic Channel) für Sprachverbindungen * Mehrere 20+ Minuten Verbindungen in Test-Netze * 30+ Minuten Verbindungen ins echte Netz - Spezialanwendungen : * DSP Code Patch für die empfangenen Roh-Daten * BTS Standorte per Timing-Advance Messung

20 Sicherheit IMSI Catcher - treffendere Bezeichnung: Fake Basestation - das Mobiltelefon wählt die Zelle mit dem stärksten Signal - das Netz braucht sich nicht zu authentisieren - Verschlüsselung/Authentisierung des Telefon wird vom Netz festgelegt (keine Verschlüsselung/Authentisierung ist möglich) - nur wenige Mobiltelefone zeigen den Verschlüsselungs-Status an

21 Sicherheit RACH DoS - Theorie schon länger bekannt, Implementierung Der Zugriff aufs Netz erfolgt durch den RACH (Random Access Channel) Burst - prinzipbedingt kürzer als andere Bursts, nur 8 Bit Information - bewirkt netzseitig die Zuweisung eines Kanals, beschränkte BTS-Resource (20-40 Kanäle bei durschnittlichen Zellen) - Freigabe nicht benutzter Kanäle nach einem Timeout (ca. 2 s), aber das Telefon kann zwischen RACH Burst pro Sekunde erzeugen - Konsequenz: ein modifiziertes Telefon kann sämtliche Kanäle einer Zelle belegen

22 Sicherheit RRLP - Radio Resource Location Services (LCS) Protocol - viele moderne Telefone (Smartphones) sind mit GPS ausgestattet - die GPS Position lässt sich über RRLP vom Netz aus abfragen - der Anwender hat normalerweise keinen Einfluss darauf

23 HAR 2009 in Holland: Telefon Positionen

24 HAR 2009 in Holland: BTS

25 Sicherheit IMSI Detach DoS - entdeckt von Sylvain Munaut - IMSI (International Mobile Subscriber Identity) identifiziert den Teilnehmer im Netz - beim Ausschalten meldet sich das Telefon mit IMSI Detach im Netz ab - IMSI Detach ist nicht verschlüsselt bzw. authentisiert - andere Netzteilnehmer können dadurch abgemeldet werden

26 Sicherheit Baseband Exploits - untersucht durch Ralf-Philipp Weinmann, Universität Luxemburg - Smartphones bestehen aus getrenntem Application- und Baseband Prozessor: * Application Prozessor: Linux, Windows Mobile, ios * Baseband Prozessor: GSM/UMTS Stack - der GSM Stack geht teilweise auf Code von 1990 zurück, Sicherheit (z.b. Längenprüfungen) stand nicht im Vordergrund - es lassen sich u.a. Buffer-Überläufe ausnutzen - ein Beispiel: Aktivierung des Auto-Answere Modus, dadurch nimmt ein Telefon einen eingehenden Anruf automatisch an ohne dass der Benutzer es bemerkt

27 Sicherheit SMS Fuzzing - untersucht durch Collin R. Mulliner und Nico Golde, TU Berlin - SMS mit zufälligen Daten wird ans Telefon geschickt, solange bis es zum Absturz kommt - sehr viele der untersuchten Telefone sind anfällig - Folgen: Abstürze bzw. Neu-Booten des Telefon - in einigen Fällen startet das Telefon nicht mehr bzw. der Absturz wiederholt sich ständig da das Telefon vor Empfangs-Bestätigung der SMS abstürzt und das Netz die SMS erneut ausliefert

28 Sicherheit Unsichere Verschlüsselung - lange Zeit Security by Obscurity - langsame Reaktion trotz bekannter Probleme - A5/2 kann in realtime seit 2003 gebrochen werden, aber erst 2006 wurde eine Deadline für das Entfernen von A5/2 gesetzt - aktuell ist A5/1, mit Known-Text und Rainbow-Tables (2 TByte) sowie GPU Hilfe kann in ca. 30 Sekunden der Schlüssel gefunden werden (siehe - die sichere Alternative A5/3 ist nicht im Einsatz

29 Ausblick - mehr Sicherheit durch Beseitigen von Schwachstellen - Open Source Unterstützung von 3G (UMTS), sowohl auf der Netzseite als auch auf dem Telefon - günstige 3G Hardware durch Femto-Zellen

30 Links - OsmocomBB - OpenBTS: - OpenBSC: - Airprobe: - 3GPP: - ETSI: Danke an Harald Welte

31 Fragen?