Die Zustellung einer mobil-terminierten SMS über SS7 erfolgt in zwei MAP-Schritten. Zuerst sendet das SMSC SendRoutingInfoForSM an das HLR des Empfängers, das die IMSI und die Adresse der bedienenden MSC/SGSN zurückgibt. Dann sendet das SMSC MT-ForwardSM an diese MSC, die das Endgerät pagt, die Nachricht zustellt und das Ergebnis an das SMSC zurückgibt.
Schritt 1 — Routing-Abfrage (SRI-SM)
Das SMSC beginnt nur mit der MSISDN des Empfängers. Es sendet ein MAP SendRoutingInfoForSM an das HLR, dem diese Nummer gehört, und adressiert das HLR per Global Title (SSN 6). Das HLR schlägt den Teilnehmer nach und antwortet, sofern er erreichbar ist, mit der IMSI plus locationInfoWithLMSI — der Adresse der MSC (oder SGSN), die den Teilnehmer derzeit bedient. Das ist die Routing-Information, die das SMSC zur Zustellung der Nachricht benötigt.
Schritt 2 — Zustellung (MT-ForwardSM)
Mit der Adresse der bedienenden MSC ausgestattet sendet das SMSC ein MAP MT-ForwardSM an diese MSC (SSN 8) und trägt die SMS-DELIVER-TPDU — den eigentlichen Nachrichteninhalt, die Absenderadresse und die Data-Coding — innerhalb des MAP-Parameters. Die MSC pagt das Endgerät und stellt bei Kontakt die Kurznachricht über die Funkschnittstelle zu. Ein erfolgreiches ReturnResult fließt über die MSC zum SMSC zurück.
1 SMSC → HLR MAP sendRoutingInfoForSM { MSISDN, SC address }
2 HLR → SMSC MAP result { IMSI, servingMSC address }
3 SMSC → MSC MAP mt-ForwardSM { IMSI, SMS-DELIVER TPDU }
4 MSC → MS paging + radio delivery of the short message
5 MSC → SMSC MAP result (delivered) → SMSC generates delivery reportWenn der Teilnehmer nicht erreichbar ist
Ist das Endgerät ausgeschaltet oder außerhalb der Abdeckung, gibt die MSC einen MAP-Fehler wie absentSubscriber zurück, oder das HLR meldet den Teilnehmer in Schritt 1 als unerreichbar. Das SMSC speichert dann die Nachricht und bittet das HLR über ReportSM-DeliveryStatus, die Message-Waiting-Data-Flags (MWD) zu setzen — die Flags Mobile-station-Not-Reachable und Memory-Capacity-Exceeded. Die Nachricht bleibt am SMSC in der Warteschlange, bis der Teilnehmer erreichbar wird, bis zu ihrer Gültigkeitsdauer.
| Fehler | Bedeutung |
|---|---|
| absentSubscriber(SM) | Endgerät ausgeschaltet / außerhalb des Empfangsbereichs – MWD setzen, später erneut versuchen |
| subscriberBusyForMT-SMS | Teilnehmer ist mit einer anderen MT-SMS beschäftigt – erneut versuchen |
| sm-DeliveryFailure | Zustellung fehlgeschlagen (Speicher voll, Geräteprotokollfehler…) |
| unknownSubscriber | MSISDN nicht im HLR provisioniert – endgültiger Fehler |
| callBarred | Sperre durch Betreiber/Teilnehmer verhindert die Zustellung |
Der Retry — Alert und ReadyForSM
Wenn der Teilnehmer wieder auftaucht — sich einschaltet, wieder in die Abdeckung kommt oder Endgerätespeicher freigibt —, signalisiert die bedienende MSC/SGSN ReadyForSM an das HLR, das die MWD-Liste konsultiert und AlertServiceCentre an jedes wartende SMSC sendet. Jedes SMSC wiederholt dann die SRI-SM/MT-ForwardSM-Folge, um die eingereihte Nachricht zuzustellen. Dieser Alert-Mechanismus ist der Grund, warum eine an ein ausgeschaltetes Telefon gesendete SMS Momente nach dem Wiedereinschalten ankommt.
Warum dieser Ablauf für die Sicherheit wichtig ist
Jeder Schritt legt Informationen oder Vertrauen offen, das missbraucht werden kann. Ein von einem fremden Netz gesendetes SRI-SM kann die IMSI und die Adresse der bedienenden MSC eines Teilnehmers extrahieren — das Rohmaterial für Standort-Tracking und Folgeangriffe —, ohne dass eine Nachricht zugestellt wird. Eine gefälschte Adresse der bedienenden MSC kann MT-SMS, einschließlich Einmalpasscodes, an einen Angreifer umleiten. Signalisierungs-Firewalls prüfen daher SRI-SM und MT-ForwardSM nach Ursprung, Plausibilität und Geschwindigkeit.
Häufig gestellte Fragen
Was sind die zwei Hauptschritte, um eine SMS über SS7 zuzustellen?
Erstens SendRoutingInfoForSM: Das SMSC fragt das HLR des Empfängers nach der IMSI und der Adresse der den Teilnehmer derzeit bedienenden MSC. Zweitens MT-ForwardSM: Das SMSC sendet die Nachricht an diese MSC, die das Endgerät pagt und sie zustellt.
Was gibt das HLR in der SRI-SM-Antwort zurück?
Für einen erreichbaren Teilnehmer gibt das HLR die IMSI und locationInfoWithLMSI zurück — die Adresse der bedienenden MSC oder SGSN. Das SMSC nutzt diese Adresse als Ziel für das anschließende MT-ForwardSM. Ist der Teilnehmer nicht erreichbar, gibt das HLR stattdessen einen Fehler zurück.
Was passiert, wenn ich ein ausgeschaltetes Telefon anschreibe?
Die Zustellung schlägt mit absentSubscriber fehl, und das SMSC reiht die Nachricht ein und bittet das HLR, die Message-Waiting-Data-Flags zu setzen. Kommt das Telefon wieder online, sendet die MSC ReadyForSM, das HLR gibt AlertServiceCentre aus, und das SMSC versucht die Zustellung erneut.
Was ist Message Waiting Data (MWD)?
MWD ist eine Liste, die das HLR über SMSCs führt, die Nachrichten für einen unerreichbaren Teilnehmer haben, zusammen mit den Flags MNRF und MCEF. Sie steuert die AlertServiceCentre-Benachrichtigungen, die den Retry auslösen, sobald der Teilnehmer wieder erreichbar wird.
Wie kann dieser Ablauf missbraucht werden, um ein OTP abzufangen?
Ein Angreifer, der ein UpdateLocation fälscht oder eine falsche Adresse der bedienenden MSC liefert, kann das Netz dazu bringen, MT-SMS — einschließlich Einmalpasscodes — an einen von ihm kontrollierten Knoten zu routen. Das Prüfen von Ursprung und Geschwindigkeit bei SRI-SM/MT-ForwardSM ist die übliche Verteidigung.
Quellenspezifikationen
Diese Seite basiert auf den veröffentlichten Standards. (Wird in einem neuen Tab geöffnet.)