[论文解读] Easy 4G/LTE IMSI Catchers for Non-Programmers

Stig F. Mjølsnes, Ruxandra F. Olimid|arXiv (Cornell University)|Feb 15, 2017

Security in Wireless Sensor Networks参考文献 6被引用 5

一句话总结

本文展示了仅使用现成硬件和未经修改的开源软件，无需编程技能即可构建并运行4G/LTE IMSI捕获器。作者通过部署模仿合法网络的恶意eNodeB，成功捕获了IMSI并引发拒绝服务（DoS）攻击，证明此类攻击对非专家而言极易实施，严重威胁LTE的隐私与可用性。

ABSTRACT

IMSI Catchers are tracking devices that break the privacy of the subscribers of mobile access networks, with disruptive effects to both the communication services and the trust and credibility of mobile network operators. Recently, we verified that IMSI Catcher attacks are really practical for the state-of-the-art 4G/LTE mobile systems too. Our IMSI Catcher device acquires subscription identities (IMSIs) within an area or location within a few seconds of operation and then denies access of subscribers to the commercial network. Moreover, we demonstrate that these attack devices can be easily built and operated using readily available tools and equipment, and without any programming. We describe our experiments and procedures that are based on commercially available hardware and unmodified open source software.

研究动机与目标

• 证明仅使用标准且 readily available 的设备，无需编程技能即可构建4G/LTE IMSI捕获器。
• 验证使用未经修改的开源软件在现代LTE网络上实现IMSI收集和DoS攻击的可行性。
• 强调即使LTE采用比2G/3G更强的加密机制，其仍易受主动隐私攻击的影响。
• 提高移动网络运营商对IMSI捕获器真实世界风险的认识，并强调需改进安全协议。

提出的方法

• 研究人员使用未经修改的Open Air Interface（OAI）软件部署了恶意eNodeB，以避免代码级修改。
• 恶意基站被配置为使用合法移动网络的MCC和MNC，以伪装成归属网络（HPLMN）。
• 通过在设备开机或尝试重新附着网络时触发UE身份请求，系统捕获了IMSI。
• 通过发送特定原因值的ATTACH_REJECT消息，诱导DoS攻击，阻止UE连接到合法网络。
• 实验使用了处于非激活状态和激活状态的漫游USIM卡，以在不同网络条件下测试IMSI捕获效果。
• 该设置仅需基本计算机技能，无需编程，使非技术背景的攻击者也能实施此类攻击。

实验结果

研究问题

• RQ1 4G/LTE IMSI捕获器能否在无需任何编程知识的情况下构建和运行？
• RQ2 仅使用商用现成硬件和未经修改的开源软件，是否能够捕获LTE UE的IMSI？
• RQ3 恶意eNodeB通过拒绝UE附着请求，能在多大程度上引发DoS攻击？
• RQ4 在漫游场景中，特别是当UE在陌生网络中开机时，IMSI捕获器的效率如何？
• RQ5 这些攻击对LTE网络隐私和运营商信任度的实际影响是什么？

主要发现

• 研究人员仅使用未经修改的OAI软件和标准硬件，在数秒内成功捕获了LTE UE的IMSI。
• 一个配置了正确MCC和MNC的恶意eNodeB，可在UE开机时捕获处于非激活漫游模式的USIM的IMSI。
• 对于处于激活漫游状态的USIM，当UE开机并尝试重新连接其归属网络时，即使此前已在漫游状态下连接过，IMSI仍被成功捕获。
• 在UE接收到特定原因值的ATTACH_REJECT消息后，DoS攻击自动触发，导致UE无法访问网络，直至重启。
• 只要恶意eNodeB保持活跃，攻击持续有效，证明其具备持久的拒绝服务能力。
• 整个设置无需代码修改，证明非程序员仅凭基本计算机技能即可部署此类攻击。