SS7 è stato progettato per un club fidato di operatori, quindi non ha autenticazione a livello di messaggio — un nodo estraneo può interrogare o falsificare operazioni MAP per tracciare la posizione, intercettare SMS e OTP o reindirizzare chiamate. GSMA FS.11 definisce una difesa: classificare i messaggi MAP in ingresso nelle categorie 1, 2 e 3 e filtrare ciascuna al confine di rete.
Perché SS7 è sfruttabile
SS7 presume che ogni peer di segnalazione sia un operatore fidato, quindi le operazioni MAP non trasportano alcuna autenticazione crittografica della loro origine. Man mano che l'interconnessione si è aperta e l'accesso è diventato ampiamente disponibile, un attaccante con connettività SS7 poteva inviare query e update MAP a cui una rete rispondeva o dava seguito come se provenissero da un partner legittimo. Ne deriva una classe di attacchi che non richiede alcun accesso al terminale bersaglio — solo la capacità di inviare messaggi SS7 verso la rete della vittima.
Le principali classi di attacco
L'abuso di SS7 rientra in alcune categorie riconosciute. Il tracciamento della posizione usa le operazioni di interrogazione per risolvere un abbonato in una cella o area. L'intercettazione sfrutta le procedure di instradamento e mobilità per deviare SMS o chiamate verso l'attaccante. La frode e il denial-of-service manipolano lo stato o il barring dell'abbonato. Poiché gli one-time passcode sono comunemente inviati via SMS, l'intercettazione degli SMS mina direttamente l'autenticazione a due fattori basata su SMS.
| Attacco | Operazioni sfruttate | Effetto |
|---|---|---|
| Tracciamento della posizione | anyTimeInterrogation, provideSubscriberInfo, sendRoutingInfoForSM | Risoluzione dell'abbonato a cella/area |
| Intercettazione SMS / OTP | updateLocation (falsificato), reindirizzamento mt-ForwardSM | Deviare MT-SMS al nodo dell'attaccante |
| Intercettazione/reindirizzamento delle chiamate | updateLocation, provideRoamingNumber, insertSubscriberData | Reindirizzare o monitorare le chiamate |
| Frode / DoS | cancelLocation, purgeMS, updateLocation | Annullare la registrazione dell'abbonato, negare il servizio |
| Furto di credenziali | sendAuthenticationInfo | Raccolta di vettori di autenticazione |
Le categorie GSMA FS.11
GSMA FS.11 (SS7 Interconnect Security Monitoring and Firewall Guidelines) classifica i messaggi MAP in ingresso in base a dove possono legittimamente originarsi, fornendo agli operatori un manuale di filtraggio. I messaggi di categoria 1 non dovrebbero mai essere ricevuti su un'interconnessione da un altro operatore — appartengono all'interno di una singola rete — quindi vengono bloccati del tutto al confine. I messaggi di categoria 2 dovrebbero provenire solo dalla rete home dell'abbonato, quindi vengono bloccati quando l'origine non è la rete home. I messaggi di categoria 3 possono legittimamente arrivare da una rete dove l'abbonato è in roaming, quindi non possono essere bloccati per sola origine e richiedono invece controlli di plausibilità e velocità.
| Categoria | Origine legittima | Azione del firewall | Esempi |
|---|---|---|---|
| 1 | Solo all'interno della rete dell'operatore | Blocco sull'interconnessione in ingresso | anyTimeInterrogation, sendIMSI, provideSubscriberInfo (in entrata) |
| 2 | Solo dalla rete home dell'abbonato | Blocca se l'origine ≠ rete home | cancelLocation, insertSubscriberData, deleteSubscriberData |
| 3 | Da una rete visitata in cui l'abbonato effettua il roaming | Verifiche di plausibilità e velocità | updateLocation, sendRoutingInfoForSM, provideRoamingNumber |
Regole di firewall che implementano FS.11
Un firewall di segnalazione applica FS.11 a livelli. A livello SCCP filtra il Global Title del Calling Party rispetto a liste di allow/deny e verifica la coerenza GT-vs-point-code. A livello MAP ispeziona l'operation code e applica la regola di categoria. Per la categoria 3 aggiunge controlli stateful: un controllo di velocità segnala un abbonato che sembra spostarsi tra Paesi distanti più velocemente di quanto sia fisicamente possibile, e i controlli di coerenza confrontano la rete servente dichiarata con la posizione nota all'HLR. Il traffico di categoria 1 viene semplicemente scartato e registrato.
on inbound MAP message from interconnect peer P:
if opcode in CATEGORY_1: drop + alert # never valid across interconnect
if opcode in CATEGORY_2:
if P != subscriber.homeNetwork: drop + alert
if opcode in CATEGORY_3: # e.g. updateLocation, SRI-SM
if velocityImplausible(subscriber, P): drop + alert
if !consistentWithHLR(subscriber, P): drop + alert
else: allow + logDifesa a livelli
Nessun singolo controllo è sufficiente. Il filtraggio FS.11 è complementato dalle linee guida equivalenti per Diameter di FS.19 per LTE e dai controlli di SMS-firewall (GSMA IR.70/SMS interworking) contro spam e grey route. Gli operatori affiancano a un firewall di segnalazione un monitoraggio continuo, affinché pattern inediti che superano le regole statiche emergano comunque come anomalie. La mitigazione strategica per l'intercettazione SMS in particolare è ridurre la dipendenza dagli OTP via SMS, ma per le reti che devono trasportarli il filtraggio al confine resta la difesa primaria.
Domande frequenti
Perché SS7 è insicuro?
SS7 è stato costruito per un piccolo insieme fidato di operatori e non ha mai aggiunto l'autenticazione dell'origine dei messaggi. Una volta che l'accesso all'interconnessione è diventato ampiamente disponibile, un attaccante in grado di inviare messaggi SS7 poteva impersonare una rete legittima e ottenere che le query MAP venissero risposte o eseguite — senza alcun accesso al terminale bersaglio.
Quali sono le categorie GSMA FS.11?
FS.11 ordina i messaggi MAP in ingresso in base all'origine legittima. La categoria 1 non dovrebbe mai attraversare un'interconnessione ed è bloccata. La categoria 2 dovrebbe provenire solo dalla rete home dell'abbonato ed è altrimenti bloccata. La categoria 3 può arrivare da una rete visitata, quindi richiede controlli di plausibilità e velocità anziché un blocco totale.
Come ferma un firewall SS7 l'intercettazione degli SMS?
Filtra le operazioni SendRoutingInfoForSM e UpdateLocation che gli attaccanti usano per reindirizzare gli MT-SMS. Verifica l'origine rispetto alla relazione home/visited, applica controlli di velocità affinché un abbonato non possa apparire in due Paesi distanti contemporaneamente e scarta il traffico non plausibile o di categoria 1.
Che cos'è un controllo di velocità?
Un controllo di velocità (o plausibilità) confronta la posizione appena dichiarata di un abbonato con la sua ultima posizione nota e il tempo trascorso. Se lo spostamento implicito è fisicamente impossibile — ad esempio update di roaming da due continenti a secondi di distanza — il messaggio è considerato falsificato e bloccato.
Un firewall SS7 sostituisce l'abbandono degli OTP via SMS?
No — riduce l'esposizione ma non la elimina. Il filtraggio al confine è la difesa primaria per le reti che devono trasportare OTP via SMS, ma la mitigazione più forte contro l'intercettazione è ridurre la dipendenza dagli one-time passcode via SMS dove è disponibile un fattore più robusto.
Specifiche della fonte
Gli standard pubblicati su cui si basa questa pagina. Si apre in una nuova scheda.