SS7 wurde für einen vertrauenswürdigen Betreiberkreis entworfen und hat daher keine Authentifizierung auf Nachrichtenebene — ein fremder Knoten kann MAP-Operationen abfragen oder fälschen, um Standorte zu verfolgen, SMS und OTPs abzufangen oder Anrufe umzuleiten. GSMA FS.11 definiert eine Verteidigung: eingehende MAP-Nachrichten in die Kategorien 1, 2 und 3 einordnen und jede an der Netzgrenze filtern.
Warum SS7 ausnutzbar ist
SS7 nimmt an, dass jede Signalisierungs-Gegenstelle ein vertrauenswürdiger Betreiber ist, sodass MAP-Operationen keine kryptografische Authentifizierung ihres Ursprungs tragen. Als sich die Kopplung öffnete und der Zugang breit verfügbar wurde, konnte ein Angreifer mit SS7-Anbindung MAP-Abfragen und -Aktualisierungen senden, die ein Netz beantworten oder ausführen würde, als kämen sie von einem legitimen Partner. Das Ergebnis ist eine Klasse von Angriffen, die keinen Zugriff auf das Ziel-Endgerät benötigen — nur die Fähigkeit, SS7-Nachrichten in Richtung des Netzes des Opfers zu senden.
Die wichtigsten Angriffsklassen
SS7-Missbrauch fällt in einige anerkannte Kategorien. Standort-Tracking nutzt Interrogation-Operationen, um einen Teilnehmer auf eine Zelle oder ein Gebiet aufzulösen. Das Abfangen nutzt die Routing- und Mobilitätsprozeduren aus, um SMS oder Anrufe zum Angreifer umzuleiten. Betrug und Denial-of-Service manipulieren den Teilnehmerzustand oder Sperren. Da Einmalpasscodes häufig per SMS gesendet werden, untergräbt das SMS-Abfangen direkt die SMS-basierte Zwei-Faktor-Authentifizierung.
| Angriff | Missbrauchte Operationen | Auswirkung |
|---|---|---|
| Standortverfolgung | anyTimeInterrogation, provideSubscriberInfo, sendRoutingInfoForSM | Teilnehmer zu Zelle/Bereich auflösen |
| SMS / OTP Abhören | updateLocation (gefälscht), mt-ForwardSM-Umleitung | MT-SMS an Angreiferknoten umleiten |
| Anrufabfangung / -umleitung | updateLocation, provideRoamingNumber, insertSubscriberData | Anrufe umleiten oder überwachen |
| Betrug / DoS | cancelLocation, purgeMS, updateLocation | Teilnehmer abmelden, Dienst verweigern |
| Diebstahl von Zugangsdaten | sendAuthenticationInfo | Abgreifen von Authentifizierungsvektoren |
Die GSMA-FS.11-Kategorien
GSMA FS.11 (SS7 Interconnect Security Monitoring and Firewall Guidelines) klassifiziert eingehende MAP-Nachrichten danach, wo sie legitim entstehen dürfen, und gibt Betreibern ein Filter-Regelwerk an die Hand. Kategorie-1-Nachrichten sollten niemals über eine Kopplung von einem anderen Betreiber empfangen werden — sie gehören in ein einzelnes Netz —, daher werden sie an der Grenze grundsätzlich blockiert. Kategorie-2-Nachrichten sollten nur aus dem Heimatnetz des Teilnehmers kommen, daher werden sie blockiert, wenn der Ursprung nicht das Heimatnetz ist. Kategorie-3-Nachrichten können legitim aus einem Netz eintreffen, in dem der Teilnehmer roamt, sodass sie nicht allein anhand des Ursprungs blockiert werden können und stattdessen Plausibilitäts- und Geschwindigkeitsprüfungen erfordern.
| Kategorie | Legitimer Ursprung | Firewall-Aktion | Beispiele |
|---|---|---|---|
| 1 | Nur innerhalb des eigenen Netzwerks eines Betreibers | Am eingehenden Interconnect blockieren | anyTimeInterrogation, sendIMSI, provideSubscriberInfo (eingehend) |
| 2 | Nur aus dem Heimatnetz des Teilnehmers | Blockieren, wenn die Quelle nicht dem Heimnetzwerk entspricht | cancelLocation, insertSubscriberData, deleteSubscriberData |
| 3 | Aus einem besuchten Netzwerk, in dem der Teilnehmer roamt | Plausibilitäts- und Geschwindigkeitsprüfungen | updateLocation, sendRoutingInfoForSM, provideRoamingNumber |
Firewall-Regeln, die FS.11 umsetzen
Eine Signalisierungs-Firewall setzt FS.11 in Schichten durch. Auf der SCCP-Ebene prüft sie den Calling-Party-Global-Title gegen Allow-/Deny-Listen und kontrolliert die GT-vs-Point-Code-Konsistenz. Auf der MAP-Ebene inspiziert sie den Operation Code und wendet die Kategorie-Regel an. Für Kategorie 3 ergänzt sie zustandsbehaftete Prüfungen: Eine Geschwindigkeitsprüfung markiert einen Teilnehmer, der sich schneller zwischen weit entfernten Ländern zu bewegen scheint, als physikalisch möglich ist, und Konsistenzprüfungen vergleichen das behauptete bedienende Netz mit dem dem HLR bekannten Standort. Kategorie-1-Verkehr wird schlicht verworfen und protokolliert.
on inbound MAP message from interconnect peer P:
if opcode in CATEGORY_1: drop + alert # never valid across interconnect
if opcode in CATEGORY_2:
if P != subscriber.homeNetwork: drop + alert
if opcode in CATEGORY_3: # e.g. updateLocation, SRI-SM
if velocityImplausible(subscriber, P): drop + alert
if !consistentWithHLR(subscriber, P): drop + alert
else: allow + logGeschichtete Verteidigung
Keine einzelne Maßnahme genügt. Die FS.11-Filterung wird durch die FS.19-Diameter-Äquivalent-Leitlinien für LTE und durch SMS-Firewall-Maßnahmen (GSMA IR.70/SMS-Interworking) gegen Spam und Grey Routes ergänzt. Betreiber koppeln eine Signalisierungs-Firewall mit kontinuierlicher Überwachung, sodass neuartige Muster, die statische Regeln passieren, dennoch als Anomalien auffallen. Die strategische Minderung speziell für SMS-Abfangen ist, die Abhängigkeit von SMS-OTPs zu verringern, doch für Netze, die sie tragen müssen, bleibt die Grenzfilterung die primäre Verteidigung.
Häufig gestellte Fragen
Warum ist SS7 unsicher?
SS7 wurde für eine kleine, vertrauenswürdige Gruppe von Betreibern gebaut und ergänzte nie eine Authentifizierung des Nachrichtenursprungs. Sobald der Kopplungszugang breit verfügbar wurde, konnte ein Angreifer, der SS7-Nachrichten senden kann, ein legitimes Netz vortäuschen und MAP-Abfragen beantworten oder ausführen lassen — ohne Zugriff auf das Ziel-Endgerät.
Was sind die GSMA-FS.11-Kategorien?
FS.11 sortiert eingehende MAP-Nachrichten nach legitimem Ursprung. Kategorie 1 sollte niemals eine Kopplung überqueren und wird blockiert. Kategorie 2 sollte nur aus dem Heimatnetz des Teilnehmers kommen und wird andernfalls blockiert. Kategorie 3 kann aus einem besuchten Netz eintreffen, benötigt daher Plausibilitäts- und Geschwindigkeitsprüfungen statt einer grundsätzlichen Blockade.
Wie stoppt eine SS7-Firewall das SMS-Abfangen?
Sie prüft die Operationen SendRoutingInfoForSM und UpdateLocation, mit denen Angreifer MT-SMS umleiten. Sie kontrolliert die Quelle gegen die Heimat-/Besuchsbeziehung, wendet Geschwindigkeitsprüfungen an, sodass ein Teilnehmer nicht gleichzeitig in zwei weit entfernten Ländern erscheinen kann, und verwirft unplausiblen oder Kategorie-1-Verkehr.
Was ist eine Geschwindigkeitsprüfung?
Eine Geschwindigkeits- (oder Plausibilitäts-)Prüfung vergleicht den neu behaupteten Standort eines Teilnehmers mit seinem letzten bekannten Standort und der Zeit dazwischen. Ist die implizierte Reise physikalisch unmöglich — etwa Roaming-Aktualisierungen von zwei Kontinenten Sekunden auseinander —, wird die Nachricht als gefälscht behandelt und blockiert.
Ersetzt eine SS7-Firewall die Abkehr von SMS-OTPs?
Nein — sie verringert die Exposition, beseitigt sie aber nicht. Die Grenzfilterung ist die primäre Verteidigung für Netze, die SMS-OTPs tragen müssen, doch die stärkste Minderung gegen Abfangen ist, die Abhängigkeit von SMS-basierten Einmalpasscodes zu verringern, wo ein stärkerer Faktor verfügbar ist.
Quellenspezifikationen
Diese Seite basiert auf den veröffentlichten Standards. (Wird in einem neuen Tab geöffnet.)