SS7 & Signalisierungsgrundlagen

SS7 — Signalling System No. 7 — ist das Out-of-Band-Signalisierungsnetz, das Mobilfunk- und Festnetzbetreiber nutzen, um Anrufe aufzubauen, SMS zuzustellen und Roaming zu unterstützen. „Out-of-Band" bedeutet, dass die Signalisierung über einen separaten Steuerkanal läuft, getrennt von der Sprach- oder Nachrichtennutzlast.

SS7 wurde in einer Zeit entworfen, in der nur eine kleine, vertrauenswürdige Gruppe nationaler Carrier Zugang zum Netz hatte. Diese Vertrauensannahme — jeder Peer ist legitim — ist die Wurzel vieler Sicherheitsprobleme, die auftraten, sobald das Netz global verbunden wurde.

Obwohl es Jahrzehnte alt ist, trägt SS7 weiterhin zentrale Interworking-Funktionen. Es zu verstehen ist Voraussetzung, um SMS-Zustellung, Roaming und die zur Verteidigung der Signalisierungsebene gebauten Firewalls zu verstehen.

SS7 ist geschichtet aufgebaut. MTP (Message Transfer Part) stellt die unteren Transportschichten bereit. SCCP (Signalling Connection Control Part) fügt Global-Title-Adressierung und Routing hinzu, sodass eine Nachricht an ein logisches Netzelement adressiert werden kann statt an einen festen Point Code.

TCAP (Transaction Capabilities Application Part) trägt transaktionale Dialoge oberhalb von SCCP, und MAP (Mobile Application Part) ist das Anwendungsprotokoll, das mobilfunkspezifische Operationen ausdrückt — Teilnehmer lokalisieren, authentifizieren und SMS routen.

Zwei Adressierungskonzepte tauchen wiederholt auf: Point Codes (OPC/DPC — Originating und Destination Point Code) identifizieren Knoten auf Netzebene, während Global Titles (typischerweise eine E.164-artige Adresse) es SCCP erlauben, zu Elementen wie einem HLR zu routen, ohne deren Point Code zu kennen.

Die SMS-Zustellung stützt sich auf eine kleine Menge von MAP-Operationen. Um eine Nachricht zu terminieren, sendet das versendende SMSC eine SRI-SM (Send Routing Info for Short Message) an das HLR (Home Location Register) des Empfängers, um herauszufinden, an welchem bedienenden Knoten der Teilnehmer aktuell angemeldet ist.

Das HLR gibt die Adresse des bedienenden MSC/VLR zurück, und das SMSC stellt die Nachricht dort mit MT-ForwardSM zu. Ist der Teilnehmer nicht erreichbar, setzt das Netz ein Flag und benachrichtigt das SMSC, sobald das Mobiltelefon wieder verfügbar ist.

Genau diesen Ablauf manipulieren Home-Routing und Signalisierungs-Firewalls: Indem SRI-SM abgefangen wird, kann ein Betreiber terminierenden Verkehr durch eine kontrollierte Kontrollstelle zwingen — das ist der Mechanismus hinter dem MT-Bypass-Schutz.

Moderne Netze führen SS7 selten durchgängig über klassische TDM-Leitungen. SIGTRAN ist die Protokollfamilie, die Signalisierung über IP transportiert und dabei SCTP (Stream Control Transmission Protocol) als zuverlässigen Transport mit Anpassungsschichten wie M3UA nutzt, um MTP-Verkehr zu tragen.

SIGTRAN erhält die SS7-Anwendungsprotokolle — MAP und TCAP bleiben unverändert —, während es den darunterliegenden Transport modernisiert. Dies ermöglicht es einem Betreiber, Signalisierung über IP-Netze statt über dedizierte Leitungen zu verbinden.

Für eine Messaging-Plattform ist SIGTRAN die Ebene, auf der viele direkte Betreiber-Interconnects heute tatsächlich umgesetzt werden, weshalb Signalisierungssicherheit ebenso ein IP-Netzthema wie ein Telekomthema ist.

Da SS7 davon ausgeht, dass jeder Peer vertrauenswürdig ist, kann ein Angreifer mit Signalisierungszugang legitime Operationen missbrauchen. SRI-SM kann genutzt werden, um den Standort oder die Existenz eines Teilnehmers zu sondieren; andere MAP-Nachrichten können missbraucht werden, um SMS (einschließlich OTPs) abzufangen oder Bewegungen zu verfolgen.

Die Reaktion der Branche sind Signalisierungs-Firewalls, die kategoriebasierte Filterung anwenden — wie in GSMA FS.11 beschrieben — und Nachrichten unterscheiden, die nur aus dem Heimatnetz, nur von einem Roaming-Partner oder legitimerweise von überall kommen sollten. Nachrichten, die aus der falschen Richtung eintreffen, werden blockiert.

Diameter, das Signalisierungsprotokoll für LTE/4G und darüber hinaus, erbt ähnliche Bedenken und hat eigene Sicherheitsleitlinien (GSMA FS.19). Die Lehre bleibt bestehen: Signalisierungsnetze benötigen explizite Filterung, weil ihr ursprüngliches Vertrauensmodell nicht mehr gilt.