Aktive Angriffe mit gefälschter Basisstation

Bei der aktiven Angriffsvariante wird die gefälschte LTE-Basisstation in den Sendemodus geschaltet. Anders als bei klassischen IMSI-Catchern verbindet sich ein LTE-fähiges Endgerät nicht automatisch mit der Station mit der höchsten Sendeleistung, sondern wählt die Station nach dem Prinzip der "Absolute priority based cell reselection" aus. Dieses Verfahren gewichtet verschiedene Indikatoren wie Qualität und Sendeleistung. Angreifer müssen ihre Basisstation also so konfigurieren, dass sie den Endgeräten die beste Frequenz anbieten. Außerdem müssen die Geräte den gleichen Mobile Network Code (MNC) und Mobile Country Code (MCC) übertragen wie die Basisstationen der Hersteller, um den Endgeräten der Nutzern das richtige Netz vorzugaukeln.

LTE ermöglicht genaueres Tracking

Im Vergleich zu GSM soll es mit LTE-Paging möglich sein, den Aufenthaltsort eines Gerätes deutlich präziser zu bestimmen, weil Paging-Befehle nicht an die gesamte Funkzelle, sondern nur an einen kleineren Bereich gesendet werden. Außerdem konnten die Forscher nach eigenen Angaben GPS-Koordinaten und Informationen über benachbarte Funkzellen abgreifen. Allerdings lässt sich diese Art von Angriff auch deutlich leichter erkennen als das "passive" Zuhören. So soll es etwa mit Hilfe der auf der Blackhat 2014 vorgestellten App Darshank möglich sein, auch diese Art von IMSI-Catchern ausfindig zu machen.

Außerdem beschreiben die Forscher einen Angriff, der es ermöglicht, Nutzer auf unsichere Verbindungen wie GSM herunterzustufen (Downgrade-Angriff). Hier nutzen die Forscher eine Schwäche in der LTE-Implementierung aus. Das Gerät des Nutzers (UE - User Equipment) sendet eine Tracking-Area-Update-Anfrage (Tau) an die gefälschte Basisstation. Diese Anfrage ist integritätsgeschützt, aber nicht verschlüsselt. Die Anfrage wird dann von der Basisstation bearbeitet und an das Gerät zurückgesendet. Hierbei gibt es jedoch weder Verschlüsselung noch Integritätsschutz - das Signal kann also manipuliert werden. Damit ist es nach Angaben der Forscher möglich, dem Gerät der Nutzer entweder nur die Nutzung von LTE zu untersagen oder aber alle LTE und Nicht-LTE-Dienste zu blockieren.