Mobilfunk: DoS- und Hijacking-Angriff auf GSM

Forscher der TU-Berlin haben einen DoS-Angriff auf GSM entwickelt, mit dem sich GSM-Netze mit wenigen Handys stören, aber auch Gespräche und SMS abfangen lassen. Sie haben dazu eine eigene Baseband-Firmware geschrieben, die ein kleines, aber entscheidendes Bisschen schneller ist als kommerzielle Implementierungen.

Artikel veröffentlicht am 30. August 2013, 11:04 Uhr, Jens Ihlenfeld

Wenige Handys können große GSM-Regionen lahmlegen. (Bild: Nico Golde, Kévin Redon, Jean-Pierre Seifert)

Der GSM-Standard geht davon aus, dass sich alle Geräte im Netz vertrauenswürdig verhalten. Wird dagegen verstoßen, lassen sich GSM-Netze mit einfachen Mitteln stören, wie die Forscher Nico Golde, Kévin Redon und Jean-Pierre Seifert von der TU Berlin auf dem Usenix Security Symposium im August 2013 zeigten. Ihnen gelingt es, Telefonate abzufangen, gezielte Denial-of-Service-Angriffe gegen einzelne Teilnehmer durchzuführen und ganze Regionen zu stören.

Die Berliner Forschergruppe macht sich dabei zunutze, dass bei GSM sogenannte Paging-Requests per Broadcast versendet werden, bevor irgendeine Verschlüsselung greift. Sie antworten auf diese Paging-Anfragen, die eigentlich für einen anderen Teilnehmer bestimmt sind. Das Netz kann anhand der Antwort nicht erkennen, welche der Antworten die korrekte ist.

Gelingt es schneller zu antworten als der legitime Adressat, lässt sich damit ein Denial-of-Service-Angriff umsetzen, denn das GSM-Protokoll empfiehlt, nach der ersten Antwort keine weiteren zuzulassen. Erst im nächsten Schritt muss sich das antwortende Gerät authentifizieren. Gelingt das aber nicht, wird der Anruf fallengelassen.

Um schneller antworten zu können, haben die Forscher auf Basis der freien GSM-Implementierung OsmocomBB eine eigene Baseband-Firmware implementiert, die auf hohe Geschwindigkeit optimiert ist. Sie können damit schneller auf Paging-Requests antworten als jede andere von ihnen getestete GSM-Implementierung und so ihren DoS-Angriff umsetzen. Das Ganze funktioniert in jedem der vier großen Mobilfunknetze in Deutschland.

Telefonate stehlen

Da nicht in jedem Fall die Empfänger von Telefonaten in den GSM-Netzen authentifiziert werden, lassen sich Telefonate und SMS in solchen Fällen leicht abfangen. Dem Projekt Gsmmap zufolge werden nur in 20 Prozent aller Netze weltweit bei 100 Prozent aller Telefonate die GSM-Empfänger authentifiziert. In 50 Prozent der Netze wird in weniger als 10 Prozent aller Fälle der Empfänger geprüft.

Auch einen solchen Hijacking-Angriff konnten die Forscher nach eigenen Angaben erfolgreich durchführen.

DoS gegen eine ganze Region

Mit ihrer Implementierung können die Forscher 64,8 Paging-Requests pro Sekunde mit einem Handy beantworten. Je nach Netzwerkaktivität kann das ausreichen, um alle Paging-Requests schneller zu beantworten als die legitimen Empfänger. Daher kann es notwendig sein, mehrere Handys zusammenzuschalten, um eine größere Region lahmzulegen.

Gegenmaßnahmen

Die Forscher belassen es aber nicht bei dem Angriff, sondern schlagen auch Gegenmaßnahmen vor. So empfehlen sie unter anderem eine Änderung des Paging-Algorithmus. Die Netze sollten einen verschlüsselten Zufallswert versenden, der nur mit einer gültigen SIM entschlüsselt werden kann. Die Empfänger sollten daraus eine Antwort berechnen, die dann netzseitig geprüft werden kann. So ließen sich sowohl DoS- als auch Hijacking-Angriffe verhindern.

Die Forschergruppe erläutert ihre Angriffe ausführlich unter Let Me Answer That For You: Exploiting Broadcast Information in Cellular Networks. Zudem haben sie ein Video ihres Vortrags auf dem 22. Usenix Security Symposium veröffentlicht.