Non di solo 2.4 GHz vive l hacker!

Transcript

1 June 25, 2014

2 Introduzione

3 Perchè un Hacker dovrebbe interessarsi di radio?

4 Taser drone

5 Intercettazioni

6 Intercettazioni

7 Fake Base Transmitter Station (BTS)

8 defined radio (SDR)

9

10 Ettaus-USRP Universal Radio Peripheral (USRP)

11 Applicazioni USRP Applicazioni: Lettore RFID Stazione base GSM Ricevitore GPS Trasmettitore/Ricevitore FM...

12 RTL-SDR

13

14 defined radio (SDR)

15 Identificare il segnale!

16 gqrx

17 RTL-SDR scanner frequency scanner GPS support for transmitter localization

18 Kalibrate Permette di calibrare l RTL-SDR Identifica i canali GSM

19 Gnuradio Basato su Python e C++ Grafico a blocchi o programmazione python Supportato dalla comunià

20

21 GSM Conoscenza di base GSM: Global System for Mobile Communication Bande di utilizzo: 450 Mhz, 850 Mhz, 900 Mhz, 1800 Mhz, 1900 Mhz FDMA: Frequency Division Multiple Access (200 khz di divisione) ARFCN: Absolute Radio Frequency Channel Number (200 khz di banda, offset tra uplink e downlink)

22 GSM

23 GSM MSISDN: Numero internazionale di telefono associato all utente IMSI: Identita internazionele del cellulare (associato alla SIM) formata da MCC+MNC+MSIN IMEI: Numero identificatiovo del telefono IMEISV: Nuovo IMEI che identifica anche la versione del software

24 Stazione mobile Il telefono (MS) è composta dal dispositivo hardware(me) + SIM, la quale contiene: IMSI, TMSI: identificativo assoluto e temporaneo MCC: Mobile Contry Code, codice nazionale MNC: Mobile Network Code, codice dell operatore (Wind,Vodafone...) MSIN: Identificatore dell utente all interno della rete GSM locale Ki e Kc: chiavi per criptazione, Ki è individuale mentre Kc è usata dall algoritmo di crpitazione A5 LAI: identificativo della zona (Local Area Identity)

25 Stazione di trasmissione (BTS) Una stazione di trasmissione BTS (Base Transceiver Station) gestisce il collegamento con i telefoni, la codifica, la criptazione,il multiplexing (TDMA) e la modulazione/demodulazione dei segnali radio. compre 120 gradi di raggio quindi una torre ha fino 3 BTS Cell identity: Ogni cella ha un numero che la identifica CGI: Cell Global Identification, sistema di identificazione dei BTS, usato anche per registrare la localizzazione dei MS (sistema VLR) Si connette agli MS tramite Um interface o Air interface

26 Rete di controllo dei BTS Per controllare I BTS si utilizzano BSC: Base Station Controller BSS: BSC + BTS MSC: Mobile Switching Center, routing delle chiamate GMSC: Gateway Mobile Switching Center, fa da ponte verso la rete telefonica pubblica (PSTN)

27 GSM

28 GSM

29

30 Cracking GSM Analizzare la cella della vittima Prendere il TMSI della vittima Catturare i dati e ricavare le informazioni per il cracking Crackare il protocollo A5 per ricavare la chiave di decodifica Decodificare il traffico sniffato tramite la chiave ricavata

31 Analizzare la cella della vittima Il primo passo è riuscire a capire cosa sta girando sulla BTS: Installare Wireshark Installare Airprobe (git://git.gnumonks.org/airprobe.git) Installare Gnuradio Usare il tool Kalibrate per trovare i canali ARFCN. Iniziare ad acquisire i dati con Airprobe e osservare...

32 Acquisire il TMSI Usare i comandi AT per acquisire i valori del TMSI del cell (utile anche per prendere il Kc) Utilizzare un Silent SMS e osservare su quale canale viene ricevuto il messaggio

33 Airpobe+Kraken Una volta acquisito il TMSI i dati dobbiamo utilizzare il tool Kraken per ricavare la chiave Kc da utilizzare per la decodifica. Kraken: Richiede in ingresso il keystream della comunicazione Utilizza una tabella da 2TB per trovare la Kc Può essere calcolato indipendentemente dai tool di sniffing

34 Esempio Esempio. Airprobe produce questo risultato: C : P : S : C1: bit criptati P1: bit decriptati S1: keystrem Kc (criptato XOR decriptati) seconda colonna: numero del frame trasmesso Usando il tool Kraken è possibile trovare il Kc che decripta il burst.

35 Conclusioni Una volta trovata la chiave Kc possiamo utilizzare Airpobe per decriptare al volo il flusso dati. Stato dell arte:

36 Conclusioni Una volta trovata la chiave Kc possiamo utilizzare Airpobe per decriptare al volo il flusso dati. Stato dell arte: UN CASINO! La maggior parte dei tool sono stati creati e mai mantenuti La configurazione è molto difficile Pochissima documentazione Pochi utenti bravi, solo sciacalli. Argomenti complessi, per lo più spiegati in articoli universitari.

37 Cose da fare Studiare

38 Cose da fare Studiare Creare una comunità

39 Cose da fare Studiare Creare una comunità Trasportare tutti gli algoritmi in Gnuradio