IMSI-Catcher werden zum Auslesen der International Mobile Subscriber Identity (IMSI) eines SIM und zur Ortung bzw. zur Erstellung von Bewegungsprofilen des Teilnehmers innerhalb einer Funkzelle eingesetzt, indem sie ein Mobilfunknetzwerk simulieren. Das Mithören von Mobilfunkgesprächen in GSM-Netzen ist mittels IMSI-Catcher möglich. Der ISMI-Catcher fungiert dazu gegenüber der Mobile Station wie eine Basisstation und gegenüber dem Mobilfunknetz wie eine Mobile Station. Alle MS innerhalb der Reichwerte des IMSI-Catchers buchen sich hier ein, da er die Funkzelle mit dem stärksten Signal bereitstellt. Der Einsatz von IMSI-Catchern ist möglich, da sich lediglich die MS gegenüber dem Mobilfunknetz authentifiziert, das Mobilfunknetz sich jedoch gegenüber dem MS.

Ein ISMI-Catcher simuliert eine bestimmte Mobilfunkzelle des Netzbetreibers, indem er eine veränderte Location Area Identity ausstrahlt und damit die Mobile Station veranlasst, die Location Update“-Prozedur einzuleiten. Der IMSI-Catcher sendet daraufhin einen „Identity Request“, der von der MS mit einem Identity Response beantwortet wird. Diese Nachricht kann die IMSI bzw. die TMSI sowie die IMEI enthalten. Nachdem der IMSI-Catcher damit als Basisstation für die Mobile Station fungiert, deaktiviert er den verschlüsselten Übertragungsmodus im GSM-Protokoll. Damit ist jedes geführte Telefongespräch am IMSI-Catcher abhörbar; der Angreifer agiert dabei als Man-In-The-Middle. Um das abgehörte Gespräch an den gewählten Teilnehmer zu vermitteln, muss sich der IMSI-Catcher gegenüber dem Mobilfunknetz als Mobile Station identifizieren.
Dabei können die unverschlüsselten Nachrichten des Teilnehmers nicht unverschlüsselt an das Mobilfunknetz weitergeleitet werden, da nur die Basisstation vorgeben kann, ob eine Verschlüsselung genutzt werden muss. Aus diesem Grund benötigt der IMSI-Catcher eine eigene SIM, sodass er die abgehörten Daten als eigenes Gespräch an das Netzwerk weitergeben kann. Abgehende Anrufe des betroffenen Teilnehmers zeigen dem Angerufenen daher nicht die Telefonnummer des tatsächlichen Anrufers. Stattdessen wird entweder die Rufnummer des IMSI-Catchers angezeigt, meist wird die Rufnummerübermittlung jedoch deaktiviert.
In der nachfolgenden Grafik ist der Ablauf eines Man-in-the-Middle Angriff mittels IMSI-Catcher schematisch dargestellt.

Die nachfolgende Darstellung zeigt den Einsatz eines IMSI-Catchers innerhalb einer vereinfachten GSM-Architektur.

Zudem können IMSI-Catcher die Mobile Stations in ihrer Reichweite blockieren, um so die Kommunikation über Mobilfunk lokal zu verhindert.
Durch Monitor-Anwendungen, die ununterbrochen alle relevanten Signale wie beispielsweise Zellen-ID, Kanal und Location-Area aufzeichnet, kann der Einsatz eines IMSI-Catchers möglicherweise erkannt werden.
Es sind auch IMSI-Catcher erhältlich, die neben GSM in Universal Mobile Telecommunications System (UMTS) Netzen eingesetzt werden können. Da der hier vorgestellte Ansatz bei UMTS jedoch nicht zielführend ist, wird der häufig vorhandene Komptabilitätsmechanismus von UMTS-Netzen ausgenutzt. Um die Reichweite zu erhöhen, wird zusätzlich zu UMTS häufig auch GSM unterstützt. Hier kann das beschriebene Angriffsszenario mit einigen Anpassungen erfolgreich durchgeführt werden.

Architektur von GSM-Netzen
GSM-Netze werden in vier Teilsysteme unterteilt: Mobile Station (MS), Base Station Subsystem (BSS), Network Switching Subsystem (NSS) und Network Management Center (NMC).

Die Mobile Station (MS) ist das Mobiltelefon des Teilnehmers. Sie besteht aus einer Antenne, an die eine Sende- und Empfangseinheit angeschlossen ist. Zudem verfügt sie über eine Stromversorgung, Lautsprecher und Mikrofon sowie der Möglichkeit, einen anderen Teilnehmer auszuwählen. Die SIM-Karte ist wesentlicher Bestandteil der Mobile Station.
Das Base Station Subsystem (BSS) wird auch als Mobilfunksendesystem bezeichnet. Es besteht aus einer oder mehreren Basisstationen, die über angeschlossene Antennen eine oder mehrere Funkzellen bedienen. Die Basisstationen sind mit der zentralen Steuerungseinheit Base Station Controller (BSC) verbunden. Diese überwacht die Funkverbindungen und koordiniert erforderliche Zellwechsel (Handover).
Das Network Switching Subsystem (NSS) bildet das Vermittlungsteilsystem des Mobilfunknetzes. Dabei stellt das Mobile-Services Switching Centre (MSC) die Vermittlungsstelle und die Schnittstelle zwischen dem Mobilfunknetz und dem Telefonnetz dar. Es beinhaltet das Visitor Location Register (VLR), in dem Informationen über alle Teilnehmer innerhalb des Funknetzes vorgehalten werden. Das Home Location Register (HLR) speichert hingegen Informationen über alle Teilnehmer des Netzbetreibers sind. Das Authentication Center (AUC) führt die Authentifizierung der Mobile Stations durch, während das Equipment Identity Register (EIR) die Seriennummern der der verwendeten Mobile Stations enthält. Das EIR ist optional.
Zur paketvermittelten Datenübertragung mittels GPRS werden zudem im GRPS Core Network der Serving GPRS Support Node (SGSN) sowie der Gateway GPRS Support Node (GGSN) eingesetzt.
Die nachfolgende Grafik zeigt schematisch und vereinfacht den Aufbau eines GMS-Netzes.

Das Network Management Center (NMC) überwacht das gesamte Mobilfunknetz und steuert dabei unter anderem die Basisstationen und Mobile-Services Switching Centres.

Adressierung
In einem GSM-Netz werden die Mobile Subscriber ISDN Number (MSISDN), die International Mobile Subscriber Identity (IMSI) sowie die Temporary Mobile Subscriber Identity (TMSI) und die Mobile Station Roaming Number (MSRN) verwendet.
Die MSISDN ist dabei die Telefonnummer, unter der ein Teilnehmer weltweit erreichbar ist.
Die interne Teilnehmerkennung ISMI wird zur Identifizierung eines Teilnehmers innerhalb eines Funknetzes verwendet. Die IMSI wird auf dem Subscriber Identity Module (SIM) gespeichert und weltweit einmalig vergeben. Dabei ist die IMSI unabhängig von der Telefonnummer (MSISDN), die dem SIM zugeordnet wird. Um den Datenschutz des Teilnehmers zu gewährleisten, wird die IMSI nur bei der initialen Authentifizierung der mobilen Station übermittelt. Bei weiteren Authentifizierungen wird anstelle der IMSI eine lediglich temporär gültige TMSI eingesetzt.
Für das Roaming innerhalb des Mobilfunknetzes wird die MSRN verwendet. Dabei wird die MSRN während eines Gesprächs solange aufrechterhalten, wie die MS im Arbeitsbereich dieses VLRs ver-bleibt. Dadurch kann der Teilnehmer auch in fremden Funknetzen aufgefunden werden.

Authentifizierung
Für die Authentifizierung wird jedem Teilnehmer bei der Aufnahme in das Mobilfunknetz Subscriber Authentication Key Ki zugeteilt. Der Schlüssel besitzt eine Länge von 128 Bit und wird teilnehmerseitig in der SIM-Karte gespeichert. Der Netzbetreiber speichert den Schlüssel entweder im HLR oder im AuC.
Die Authentifizierung erfolgt, indem der Netzbetreiber eine 128 Bit lange Zufallszahl RAND an das MS überträgt. Durch den A3-Algorithmus wird anhand der Zufallszahl und dem hinterlegten Authentication Key auf dem SIM der Authentifizierungsschlüssel Signed Response (SRES’) errechnet. Parallel wird der Authentifizierungsschlüssel SRES netzseitig im AuC errechnet. AUC und MS stellen die ermittelten Authentifizierungsschlüssel dem VLR. Hier werden SRES und SRES’ verglichen. Eine MS gilt als authentifiziert, wenn beide Werte identisch sind. Der eingesetzte A3-Algorithmus kann vom Netzbetreiber selbst ausgewählt werden, die Details der Implementierung werden geheim gehalten.

Nutzdatenverschlüsselung
Zur Verschlüsselung wird aus der zur Authentifizierung benötigten Zufallszahl und dem hinterlegten Authentication Key mit dem Algorithmus A8 ein Schlüssel mit der Länge 64 Bit errechnet. Nachfolgend wird dieser Schlüssel vom A5- Algorithmus zur symmetrischen Verschlüsselung der übertragenen Nutzdaten verwendet. Aufgrund der geringen Schlüssellänge bietet diese Verschlüsselung keinen Schutz gegen ernsthafte Angriffe. Es sind verschiedene erfolgreiche Angriffe auf den verwendeten Algorithmus A5/1 bekannt.
Die Verschlüsselung ist in den meisten GSM-Netzen aktiviert. Einige Länder wie z.B. Indien verbieten gesetzlich die Verschlüsselung der GSM-Verbindungen. Der GSM-Standard schreibt vor, dass MS bei unverschlüsselten Verbindungen eine Warnung anzeigen. Wird ein IMSI-Catchers zum Ausspähen eingesetzt, wird die Verschlüsselung meist deaktiviert.

Weiterführende Informationen: GSM TS 03.20: Security-related network functions, Release 9.0.0, Quelle http://www.3gpp.org/ftp/Specs/archive/03_series/03.20/0320-900.zip

Insbesondere für die Industriespionage werden Rogue Access Points in Unternehmen verwendet. Sehr leistungsstarke Access Points werden dabei mit der SSID des firmeneigenen Access Points versehen. Damit werden die mittels WLAN angebundenen Endgeräte dazu gebracht, den Roque Hotspot zu verwenden und alle Daten über das System des Angreifers zu leiten.

Es ist insbesondere für nicht sensibilisierte Anwender kaum möglich, einen Rogue Access Point von einem legitimen Access Point zu unterscheiden. Ab 2012 sollen nach den Vorgaben der WiFi Alliance alle Hotspots über erweiterte Sicherheitsfunktionen verfügen, die den Einsatz von Roque Access Points erschweren sollen. Als Anwender kann zudem die Verwendung eines VPN-Tunnels helfen, sensiblen Datenverkehr durch potentiell unsichere Netzwerke zu übertragen. Durch den VPN-Tunnel sind alle übertragenden Daten verschlüsselt und auch am Access Point nicht einsehbar.

ICMP ist spezifiziert für die Version 4 des Internet Protocols (IPv4).  Das Protokoll Internet Control Message Protocol for the Internet Protocol Version 6 (ICMPv6) ist als Gegenstück in IPv6-Umgebungen.

ICMP-Nachrichten werden als Nutzlast in IP-Datagramme eingekapselt. Dabei sind im IP-Header der Servicetyp 0 und die Protokollnummer 1 gesetzt. Im Fall von ICMPv6 lautet die Protokollnummer 58. Um verschiedene Aufgaben und Zustände übermitteln zu können, bietet ICMP verschiedene Typen und Codes.  Zu jedem Typ kann es mehrere Codes geben, die den Typ genauer spezifizieren.

Die nachfolgende Tabelle zeigt die wichtigsten Typen und Codes von ICMP (in Version 4).

Die bekannteste Anwendung von ICMP ist die Applikation “Ping”. Dabei wird ein ICMP-Paket vom Typ 8 Code 0 (Echo Anfrage) an ein entferntes Gerät verschickt. Erhält der Absender ein ICMP-Paket vom Typ 0 Code 0 zurück, ist das entsprechende Gerät auf Netzwerk-Ebene (Layer 3) erreichbar. Bleibt dieses Paket aus, gibt es Probleme in der IP-Kommunikation. Ping wird daher häufig als erstes Hilfsmittel im Debugging von IP-Netzwerken eingesetzt.

Weiterhin stehen unter der Bezeichnung TEST-NET-1/2/3 die Adressbereiche 192.0.2.0/24, 198.51.100.0/24 sowie 203.0.113.0/24 nun für Dokumentationszwecke zur Verfügung. Durch die Freigabe der Adressbereiche erhoffen sich die verwaltenden Stellen eine Verfügbarkeit von IPv4-Adressen bis Mitte 2011. Spätestens dann werden alle verfügbaren Adressen vergeben sein und die Umstellung auf IPv6 erfolgen müssen.

Eine aktuelle Übersicht über die IP-Adressräume von IPv4 und IPv6 gibt es hier.

Die folgende Tabelle stellt die drei Modi gegenüber.

Terminal Monitor

Sofern die Verbindung zwischen dem PC und dem Gerät über den seriellen Anschluss (Console) hergestellt wird, werden alle Debugging-Ausgaben auf dem PC ausgegeben. Erfolgt die Kommunikation jedoch über Telnet oder SSH, werden die Ausgaben des Debuggings nicht direkt ausgegeben. Um die Ausgabe der Meldungen auf den Terminal-Sitzung umzuleiten, wird der Befehl terminal monitor verwendet.

Router#terminal monitor

Dabei ist zu beachten, dass jeweils nur eine Sitzung die Ausgaben empfangen kann. Mehrere parallel arbeitende Administratoren können sich demnach gegenseitig behindern.

Debugging aktivieren

Um das Debugging zu starten, wie der Befehl debug im globalen Modus verwendet. Mittels debug ? kann die Liste der verfügbaren Debuggings aufgerufen werden.

Router#debug ?

Durch die umfangreiche Hierachie kann das Debugging zielführend konfiguriert werden. Die Hierachie entspricht im Wesentlichen dem zur Konfiguration eingesetzten Aufbau.

Debugging von IP-Datenverkehr

Beispielhaft wird hier der gesamte IP-Datenverkehr des Routers analysiert. Dazu sollen ale IP-Pakete analysiert und detailliert dargestellt werden.

Router#debug ip packet detail

Debugging von IP-Datenverkehr mittels ALCs

Mit dem oben vorgestellten Debugging erhält der Administrator eine Vielzahl von Informationen über den IP-Datenverkehr, der auf dem Gerät stattfindet. In der Regel führt dies jedoch nicht zum Ziel, da die Informationen ungefiltert ausgegeben werden. Um das Debugging besser steuern zu können, lassen sich Access Controll Lists (ACLs) definieren. Diese werden zunächst in die Konfiguration geschrieben, ehe sie für das Debugging verwendet werden können. Der grundsätzliche Aufbau einer ACL sieht folgenden Aufbau vor:

access-list <ID> <permit|deny> <Protokoll> <Quelladresse> <Quellnetzmaske (Wildcard)> <Zieladresse> <Zielnetzmaske (Wildcard)

Um beispielsweise den Datenverkehr von Netz 10.0.0.0/24 zum Host 10.1.1.4 zu analysieren, wird die folgende ACL in die Konfiguration des Routers geschrieben:

Router(config)#access-list 101 permit ip 10.0.0.0 0.0.0.255 host 10.1.1.4

Nach dem ACL angelegt ist, kann das Debug-Kommando um die ID der ACL ergänzt werden:

Router#debug ip packet detail 101

Nun werden lediglich die IP-Pakete analysiert, die der ACL entsprechen. So kann durch den Einsatz geeigneter Access Controll Lists die Anzahl der Pakete im Debugging drastisch reduziert werden. Dies erleichert dem Adminstrator die Analyse und vermindert die Auslastung des Systems. Die Access Controll Lists können auch über einen ACL-Generator erzeugt werden.

Debugging deaktivieren

Um das Debugging einer einzelnen Funktion zu beenden, wird der zu Aktivierung verwendet Ausdruck verwendet. Jedoch wird debug durch undebug ersetzt. Sollen alle Debugging-Vorgänge beendet werden, kann der Befehl undebug all genutzt werden.

Router#undebug ip packet detail 101

1. Voraussetzungen

Für das folgende Szenario wird ein Linux-Server benötigt, auf dem admistrative Berechtigungen bestehen. Weiterhin müssen in der Firewall die Ports 3128 (Squid-Proxy) und 22 (SSH) freigegeben werden.

2. Installation des Proxy-Servers

Zunächst wird der Proxy-Server Squid, einer der meistverbreitesten seiner Art, installiert. In der Regel kann Squid über den Paketverwaltungsdienst installiert werden (bspw. apt-get install squid). Unbedingt beachtet werden sollten die Hinweise des BSI zur Sicherheitsuntersuchung der Squid Proxy-Servers. Hier werden wichtige Hinweise zur Absicherung des Servers gegeben. Weitere Konfigurationen sind nicht notwendig.

3. Konfiguration von PuTTY

Das Programm PuTTY ist ein freier SSH/Telnet-Client, der kostenfrei bezogen werden kann. Es steht für alle gängigen Betriebssysteme zur Verfügung.
Nach dem Ausführen erscheint zunächst eine Eingabemaske, in der die IP-Adresse und der SSH-Port des Servers eingegeben werden muss. Über das Menü Connection > SSH > Tunnels kann die Tunnel-Konfiguration erreicht werden. Der lokale Source-Port kann entsprechend der Richtlinien zur Portvergabe frei gewählt werden. Jeder Datenverkehr, der das lokale System auf diesem Port erreicht, wird von nun an über den SSH-Tunnel an den Server übertragen. Als Destination-Adress dient die Kombination der Server-Adresse und des Squid-Ports, in der Regel Port 3128. Nachdem diese Einstellungen gespeichert wurden, kann die Verbindung zum Server nun aufgebaut werden.

Konfiguration eines SSH-Tunnels mittels PuTTY - 1

Konfiguration eines SSH-Tunnels mittels PuTTY - 2

Wichtig: PuTTY bzw. die Verbindung zum Server darf keinesfalls beendet werden, sonst ist ein verschlüsselter Internet-Zugriff nicht möglich!

4. Konfiguration der Internetverbindung

Nachdem der Server nun als Proxy-Server arbeitet und ein SSH-Tunnel zwischen dem lokalen System und der Server aufgebaut ist, muss nun der Internet-Datenverkehr in diesen SSH-Tunnel geleitet werden. Dazu muss in den Internetoptionen lediglich die Option Proxy-Server aktiviert werden. Als Server-Adresse wird localhost verwendet, als Port der im Abschnitt 3 definierte lokale Source-Port.

5. Funktionstest

Um zu prüfen, ob auch wirklich der gesamte HTTP-Datenverkehr verschlüsselt über den SSH-Tunnel bis zum Proxy-Server transportiert wird, kann mit Hilfe eines Sniffers (bspw. Wireshark) der Paketfluss analysiert werden. Während der Sniffer analysiert, können beliebige Internetseiten aufgerufen werden. Dabei sollten keine HTTP-Verbindungen im Sniffer erkennbar sein. Sofern lediglich SSH- und TCP-Pakete sichtbar sind, ist die Kommunikation korrekt verschlüsselt.

Die folgende Tabelle stellt wichtige Befehle beider Systeme gegenüber.

Routing-Tabellen

(Quelle: Juniper)